我正在使用Metasploit辅助/扫描/ http模块，如dir_listing，http_login，files_dir ....对于某些模块，不需要cookie，所有内容都可以在根页面上进行测试。
但对于某些模块，例如扫描程序，blind_sql_query，您无法使用根页范围测试所有内容，如果网站需要日志记录或认证页面需要cookie或http_referer。
抓取工具模块具有USER和PASSWORD选项，但登录网站作为抓取的起点和设置良好的凭据，它不会运行良好，它不会要求字段的名称，如果它POST登录等
有人知道如何表演吗？如何使用metasploit进行审核，就像您是用户一样，在其他应用程序中，您可以设置cookie或登录表单。
答案 0 :(得分：0)
由于每种登录机制的实现方式可能略有不同，因此您可能需要更多的手动交互。我认为这个MSF插件可能不是正确的工具。
我建议使用拦截代理来完成此任务，并使用已集成的爬虫程序。这样，您就可以登录该应用程序，获取所需的权限令牌并抓取该站点。其中一个最好的 - http://portswigger.net/。您可以使用免费版本执行此任务。或OWASP Zed攻击代理。
如果您仍然需要使用MSF，您可以使用PROXIES MSF变量通过其中一个功能更强的代理链接插件。