theoffsecgirl/pathraider
GitHub: theoffsecgirl/pathraider
一款专注于 LFD 与目录遍历检测的编码绕过扫描器，帮助安全人员在授权场景下高效发现路径遍历漏洞。
Stars: 3 | Forks: 1
# pathraider
**Offensive LFD and Directory Traversal scanner**
*by [theoffsecgirl](https://github.com/theoffsecgirl)*
```
┌──────────────────────────────────────────────────────┐
│ │
│ ██████╗ ██████╗ ███████╗██╗ ██╗ │
│ ██╔══██╗██╔════╝ ██╔════╝██║ ██║ │
│ ██████╔╝███████╗█████╗ ███████║ │
│ ██╔═══╝ ██╔══██╗██╔══╝ ██╔══██║ │
│ ██║ ╚██████╔╝███████╗██║ ██║ │
│ ╚═╝ ╚═════╝ ╚══════╝╚═╝ ╚═╝ │
│ │
│ ██████╗ ██████╗ ██╗ █████╗ ██████╗ │
│ ██╔══██╗██╔══██╗██║██╔══██╗██╔════╝ │
│ ██████╔╝██████╔╝██║██║ ██║█████╗ │
│ ██╔═══╝ ██╔══██╗██║██║ ██║██╔══╝ │
│ ██║ ██║ ██║██║╚█████╔╝╚██████╗ │
│ ╚═╝ ╚═╝ ╚═╝╚═╝ ╚════╝ ╚═════╝ │
│ │
│ LFD & Directory Traversal scanner v1.1.0 │
│ encodings: plain · %2e · double · unicode · null │
│ by theoffsecgirl │
└──────────────────────────────────────────────────────┘
```
## 它做什么？
检查 Web 应用程序参数是否允许读取本地系统文件（LFD / 路径遍历）。自动生成编码变体以绕过过滤器和 WAF。
## 特性
- 单目标（`--url`）或多目标文件（`--list`）
- 通过 `FUZZ` 标记或可配置参数（`--param`）注入
- **132 个测试路径**自动从 12 个基础路径生成，并包含以下编码：
- 明文、`%2e%2e%2f`、双重编码、`..%2f`、反斜杠、`..%5c`、Unicode 超长编码、`%c0%ae`、空字节
- 敏感内容启发式检测（如 `/etc/passwd`、`win.ini` 等）
- 多线程并发扫描
- JSON 导出
## 安装
```
git clone https://github.com/theoffsecgirl/pathraider.git
cd pathraider
pip install requests colorama
```
## 用法
```
# 使用 FUZZ 标记扫描
python3 pathraider.py -u "https://example.com/download.php?file=FUZZ"
# 带参数
python3 pathraider.py -u "https://example.com/get.php" -p file
# 目标列表
python3 pathraider.py -L scope.txt -T 20
# 导出 JSON
python3 pathraider.py -L scope.txt --json-output results.json
# 显示版本
python3 pathraider.py --version
```
## 参数
```
-u, --url Target URL (can contain FUZZ)
-L, --list File with list of targets
--paths Custom traversal paths
-p, --param Parameter without FUZZ (default: file)
-t, --timeout Timeout per request (default: 5)
-T, --threads Threads per target (default: 10)
-A, --agent Custom User-Agent
--insecure Disable TLS verification
--json-output Save results to JSON
-v, --verbose More output
--version Show version
```
## 道德使用
仅限用于漏洞赏金、实验室和授权审计。
## 许可证
MIT · [theoffsecgirl](https://theoffsecgirl.com)标签：Bug Bounty, LFD, Web安全, 可自定义解析器, 安全防护测试, 开源安全工具, 编码绕过, 网络安全, 蓝队分析, 路径遍历, 逆向工具, 逆向工程平台, 隐私保护