wfuzz とは — Python 製の柔軟な Web ファジングツール

wfuzz を理解する鍵は 2 つ、FUZZ キーワードとペイロード (-z)。リクエストのどこにこの文字列を置いても、wfuzz はそこをペイロードの 1 要素ずつで置き換えてリクエストを送る。置く場所によって「何を探すか」が変わる。

複数の位置を同時に総当たりしたいときは、2 個目以降を FUZ2Z / FUZ3Z … と書き、-z を並べた順に対応させる。wfuzz 自体は「当たり/外れ」を文脈で理解しているわけではなく、レスポンスの違いを頼りに人間が当たりを判定する — だからこそ後述の「show/hide フィルタ」が生命線になる。

wfuzz は短時間に数百〜数万のリクエストを送る。これは技術的には DoS に近い負荷であり、対象によっては明確な攻撃と見なされる。許可なく他人のサーバへ wfuzz を撃つことは、日本の不正アクセス禁止法や業務妨害に問われ得る違法行為になりうる。

ffuf がワードリスト一本 (-w) を中心に据えるのに対し、wfuzz は 「どんな素材を流し込むか」をペイロード型 (-z) で選ぶのが特徴。書式は -z 型,パラメータ。

-w wordlist.txt は -z file,wordlist.txt の短縮形。ffuf と同じ感覚で -w を使ってもよい。

複数の -z を並べると FUZZ / FUZ2Z … に順番で対応する。組み合わせ方は イテレータ (-m) で選ぶ — Burp Suite Intruder の攻撃モードに相当する。

wfuzz を「ただ撃つだけ」だと、結果が 偽陽性 (false positive) の海に沈む。多くのサーバは存在しないパスにも 200 でカスタム 404 ページ (soft-404) を返したり、全リクエストに同じ応答を返したりするからだ。ここを制御するのが show 系 (表示するものを限定) と hide 系 (除外するもの)。wfuzz を使いこなせるかどうかは、ほぼこの絞り込みにかかっている。

⚠️ ここが ffuf との最大の違い。ffuf はマッチャ -m* / フィルタ -f* だが、wfuzz は show --s* / hide --h*。-mc は wfuzz には無い (それは ffuf の構文)。wfuzz でステータスコードを絞るなら --sc / --hc を使う。

たとえば HTTP 200 のものだけを見たいなら --sc 200、逆に 404 を消したいなら --hc 404。h は chars (バイト数)、w は words、l は lines に対応する点に注意 (ffuf の -ms は size だが wfuzz は文字数 --sh/--hh)。

外れの応答が候補ごとに微妙にブレて固定値で弾けないとき、wfuzz は 強力なフィルタ式言語 (--filter) で論理条件を書ける。これは ffuf には無い wfuzz ならではの武器だ。フィールドは c (code) / l (lines) / w (words) / h (chars) で、and / or / = / != / > / < / =~ (正規表現) を組み合わせる。

FUZZ をどこに置くかでモードが切り替わる。代表的な 3 つ。

パラメータ名 / 値の発見 #

URL のクエリ部に FUZZ を置けば、アプリが受け付ける 隠しパラメータ名や有効な値を探せる (例: LFI を誘発する file、デバッグ用 debug など)。

POST データ / ログイン総当たり #

-d でボディに FUZZ を置けば、ログインフォームのパスワード総当たりができる (メソッドは -d 指定で自動的に POST)。失敗レスポンスを --hc / --hh で弾き、成功だけを残す。

数値レンジで ID を総当たり #

-z range を使えば辞書ファイル無しで連番を流せる。IDOR (アクセス制御の不備) の検証などに向く。

ペイロードを送信前に変換したいときは、-z の第 3 フィールドにエンコーダを書く (例: -z file,words.txt,urlencode)。利用可能なエンコーダは wfuzz -e encoders で一覧できる。

撃ち方の調整に使う主要オプション。とくに レート制御は、対象を落とさないため・検知を避けるため・そして礼儀として重要。

Web コンテンツ探索ツールは複数あり、wfuzz は **「Python ゆえの柔軟さ + フィルタ式言語 + エンコーダ/イテレータ」**を特徴とする。一方で速度では Go 製ツールに劣る。