百分号的自动编码
作者: plmi创建于 2025年11月30日更新于 2025年11月30日
顿 我注意到了一种怪异的行为,同时模糊了CVE-2021-41773(一些Apache Directory Traversal)的目录穿行.
** 说明:** 百分比标志似乎自动被用 " 25 " 编码,导致模糊尝试失败。
我的"Gobuster-version"产出. 我在M4 Macbook Pro的UTM虚拟机中运行着Kali 6.16.8-1kali1.
gobuster 版本 3.8
构建信息 :
去去1.24.4号
路径 GitHub.com/OJ/gobuster
构建 - 构建mode=exe
构建 - 编译器=gc
构建 - 三进制=真
建立默认GODEBUG=asynctimerchan=1,gotestjsonbuilttex=1,gotypesalias=0,httplaxcontent长=1,httpmuxgo121=1,httpservecentkeepheaders=1,multiptcp=0,netedns0=0,panicnil=1,randseednop=0,rsa1024min=0,tls10server=1,tls3des=1,tlsmlkem=0,tlssakex=1,tlsunsafeekm=1,winreadlinktlopt=0,winsmlink=0,x509keypairleaf=0,x509negativeserial=1,x509ersact=0,x509usepolics=0
构建 CGO ENBLED=1
建造GOARCH=arm64
构建 GOOS=linux
构建 GOARM64=v8.0** 要复制的种子:**
- 使用有URL编码的单词列表,例如,
% 2e% 2e/ opt/ 密码字
% 2e% 2e/% 2e% 2e/ opt/ passwords
% 2e% 2e/% 2e% 2e/% 2e% 2e/ opt/ passwords
% 2e% 2e/% 2e% 2e/% 2e% 2e/% 2e% 2e/ opt/ passwords
% 2e% 2e/% 2e% 2e/% 2e% 2e/% 2e% 2e/% 2e% 2e/% 2e% 2e/opt/ passwords- 尝试那些目录的目标:
gobuster fuzz - u http://192.168.187.16:80/cgi-bin/FUZZ-w-tmp/wordlist.txt-t 5-b 404,403,400-proxy http://127.0.0.1:8080虽然我知道至少有两条路是正确的,但袭击没有找到任何东西。 我检查了Burp,看到要求的URL实际上是不同的.
<img宽="2082"高="264" alt="Image" src="https://GitHub.com/user-attachments/asset/97866cfd-17b9-406e-bd26-766e44ebbae1"/".
看来QQ标志是自动用""25"编码的,所以我的命令失败了. 我本期望字表会像现在这样使用。 我本来期望有类似“ curl-path-as- is http://192.168.187.16:80/cgi-bin/%2e%2e%2e%2e%2e/%2e%2e%2e%2e%2e%2e%2e/opt/passwords”的行为。
我用"wfuz"再次尝试过,这里的要求似乎没有改变. QQ标志没有附加编码,攻击会找到文件.
wfuzz -c -z 文件,/tmp/wordlist.txt --hc 404 -p 127.0.0.1:8080:HTTP http://192.168.187.16:80/cgi-bin/FUZZ<img宽="1642"高="212" alt="Image" src="https://GitHub.com/user-attachments/assets/dbbf82c1-a77d-4c1e-80a6-a7c59c83eab3"/
内容来源: OJ/gobuster