TONG-H

妙妙小工具——Fenjing

妙妙小工具2025-01-21

妙妙小工具——Fenjing


简介

焚靖(Fenjing)是一个针对 CTF 比赛中 Jinja SSTI 绕过 WAF 的全自动脚本。它可以自动攻击给定的网站或接口,省去手动测试接口、fuzz 题目 WAF 的时间。


官方使用说明(命令行)

以下为命令行子命令和选项说明:

通用说明

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
官方使用说明:

Usage: python -m fenjing scan [OPTIONS]

扫描指定的网站

Options:
-u, --url TEXT 需要扫描的URL
-e, --exec-cmd TEXT 成功后执行的shell指令,不填则进入交互模式
--interval FLOAT 每次请求的间隔
--detect-mode TEXT 检测模式,可为accurate或fast
--user-agent TEXT 请求时使用的User Agent
--header TEXT 请求时使用的Headers
--cookies TEXT 请求时使用的Cookie
--help Show this message and exit.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
Usage: python -m fenjing crack [OPTIONS]

攻击指定的表单

Options:
-u, --url TEXT form所在的URL
-a, --action TEXT form的action,默认为当前路径
-m, --method TEXT form的提交方式,默认为POST
-i, --inputs TEXT form的参数,以逗号分隔
-e, --exec-cmd TEXT 成功后执行的shell指令,不填则成功后进入交互模式
--interval FLOAT 每次请求的间隔
--detect-mode TEXT 分析模式,可为accurate或fast
--user-agent TEXT 请求时使用的User Agent
--header TEXT 请求时使用的Headers
--cookies TEXT 请求时使用的Cookie
--help Show this message and exit.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
Usage: python -m fenjing get-config [OPTIONS]

攻击指定的表单,并获得目标服务器的flask config

Options:
-u, --url TEXT form所在的URL
-a, --action TEXT form的action,默认为当前路径
-m, --method TEXT form的提交方式,默认为POST
-i, --inputs TEXT form的参数,以逗号分隔
--interval FLOAT 每次请求的间隔
--detect-mode TEXT 分析模式,可为accurate或fast
--user-agent TEXT 请求时使用的User Agent
--header TEXT 请求时使用的Headers
--cookies TEXT 请求时使用的Cookie
--help Show this message and exit.

详细使用

Web UI

在终端运行:

1
python -m fenjing webui

终端(命令行)

更多示例请查看项目文档或使用 --help 选项。
项目示例文档:
Click Here(GitHub 示例)