在使用类似的词表关键字时,`ffuf` 会向 `replay-proxy` 发送不正确的结果
作者: Rand0x创建于 2026年2月9日更新于 2026年2月20日
当在"ffuf"中使用多条带有"重放-proxy"旗帜的单词列表时,如果单词列表关键词相似,该工具可能会向代理发送不正确的结果.
之所以出现这种情况,是因为ffuf'用第一个单词列表(FUZZ')的关键词来代替第二个模糊器(`FUZZ1'),导致参数名称相冲突。
-- -- . . .
- ** 重写**
- 执行下列命令: {\fn黑体\fs22\bord1\shad0\3aHBE\4aH00\fscx67\fscy66\2cHFFFFFF\3cH808080}你觉得呢? fuf -w :FUZZ-w :FUZZ1-u https://example.com/FUZZ/FUZZ1 -ic -fs 3534 - replay-proxy (中文(简体) ).
2. 观察该工具发现两个不同的结果:
- `ABC ' (取自`词语列表1')
- `YZ ' (从`字清单2 ' )
3. 寄给代理人的结果名称不正确:
- `ABC'和`ABC1'(而不是`ABC'和`YZ')
-- -- . . .
** 预期行为**
- `ffuf ' 应将两种正确的结果送交代理人:
- `ABC ' (取自`词语列表1')
- `YZ ' (从`字清单2 ' )
-- -- . . .
** 实际行为**
- `ffuf ' 发送:
- " ABC " (正确)
- `ABC1'(不正确,取而代之`YZ')
-- -- . . .
** 循环原因**
由于`ffuf'使用`FUZZ'和`FUZZ1'作为多个单词列表的占位符,因此产生冲突。 当第二个模糊器( " FUZZ1 " )被第一个单词列表( " FUZZ " )的关键词所取而代之时,即使实际值不同( " ABC " 和 " QQYZ " ),该代用人也会收到两个名称相近的结果。
-- -- . . .
** 其他情况**
- 使用 " replay-proxy " 旗时,问题就更严重了,因为代理机构依靠 " ffuf " 生成的参数名称进行结果跟踪。
- 附上问题截图,显示代理人收到`ABC'和`ABC1',而不是`ABC'和`YZ'。
-- -- . . .
** 建议的解决办法**
增强 `ffuf' 为每个模糊器生成独特的参数名称, 即使使用相近的关键字( 重放- 代用)
-- -- . . .
** 附录**
- ** Screenshot:**<img宽="2543"高="731" alt="Image" src="https://GitHub.com/user-attachments/assets/97cbb1a1-77a9-44e5-9902-e47e5533f0cb" />内容来源: ffuf/ffuf