ffuf (Fuzz Faster U Fool), web uygulamalarında içerik keşfi ve güvenlik testleri için kullanılan hızlı bir fuzzing aracıdır. Genellikle bug bounty, pentest ve web güvenliği araştırmalarında kullanılır.
Temel amacı: Bir web sunucusunun gizli veya bilinmeyen kaynaklarını otomatik olarak denemelerle bulmak.
FFUF ne için kullanılır?
1) Dizin ve dosya keşfi (Directory/File Fuzzing)
Bir sitenin herkese açık olmayan klasörlerini veya dosyalarını bulmaya çalışır.
Örnek:
site.com/FUZZ
FFUF bir kelime listesi kullanarak şunları dener:
site.com/admin
site.com/login
site.com/backup
site.com/uploads
site.com/test
Amaç:
Gizli yönetim panelleri
Eski dosyalar
Yedekler
Test ortamları
Unutulmuş klasörler
bulunabilir.
---
2) Alt alan adı keşfi (Subdomain Fuzzing)
Bir domain altında bulunan alt alan adlarını aramak için kullanılır.
Örnek mantık:
FUZZ.example.com
Denenenler:
admin.example.com
dev.example.com
test.example.com
api.example.com
Amaç:
Geliştirme ortamları
API sunucuları
Eski sistemler
gibi alanları keşfetmektir.
---
3) Parametre keşfi (Parameter Fuzzing)
Web uygulamalarında gizli parametreleri bulmaya yardımcı olabilir.
Örneğin:
site.com/page.php?FUZZ=value
Deneyebilir:
id
user
file
debug
admin
Amaç:
Gizli API parametreleri
Kontrol noktaları
Test parametreleri
bulmaktır.
---
4) Sanal host keşfi (VHost Fuzzing)
Aynı IP üzerinde çalışan farklı siteleri arayabilir.
Örnek:
Host: FUZZ.site.com
Bulabilecekleri:
panel.site.com
staging.site.com
internal.site.com
---
5) API endpoint keşfi
Modern uygulamalarda API yollarını bulmak için kullanılır.
Örnek:
api.site.com/FUZZ
Denemeler:
users
login
auth
v1
admin
---
FFUF neden popüler?
Hızlıdır
Go diliyle yazıldığı için çok yüksek hızlarda istek gönderebilir.
Esnektir
Filtreleme seçenekleri vardır:
Durum koduna göre filtreleme
Boyuta göre filtreleme
Kelime sayısına göre filtreleme
Satır sayısına göre filtreleme
Modern sistemlere uygundur
Desteklediği şeyler:
HTTP Header fuzzing
POST veri fuzzing
JSON fuzzing
Cookie fuzzing
---
FFUF mantığı
Genel çalışma şekli:
Wordlist
|
↓
FFUF
|
↓
HTTP istekleri
|
↓
Sunucu cevapları
|
↓
Filtreleme
|
↓
Sonuçlar
---
FFUF ile sık kullanılan güvenlik araçları arasındaki yeri
Nmap: Ağ ve servis keşfi
Gobuster: Dizin/alt alan adı keşfi
FFUF: Daha hızlı ve esnek web fuzzing
Burp Suite: Manuel web testleri
Nuclei: Otomatik zafiyet taraması
---
Öğrenirken hangi konularla birlikte çalışılır?
FFUF öğrenmek için iyi temel konular:
1. HTTP mantığı
2. Status kodları (200, 301, 403, 404 vb.)
3. Web dizin yapısı
4. Wordlist kullanımı
5. Burp Suite
6. OWASP Top 10
---
Özetle: FFUF bir "açık bulma aracı" değil, keşif (recon) aracıdır. Güvenlik uzmanlarının hedef yüzeyini anlamasına yardımcı olur; bulduğu şeyler daha sonra manuel analiz edilir.
Nasıl indirilir?
pkg install ffuf
Son düzenleme: W • (Değişiklikleri Gör)
