收集一些常用的字典,用于渗透测试、SRC漏洞挖掘、爆破、Fuzzing等实战中。

收集以实用为原则。目前主要分类有认证类、文件路径类、端口类、域名类、无线类、正则类。

涉及的内容包含设备默认密码、文件路径、通用默认密码、HTTP参数、HTTP请求头、正则、应用服务默认密码、子域名、用户名、系统密码、Wifi密码等。

该项目计划持续收集。

2022年12月07日

1. 增加trickest/wordlists字典,主要包括robots.txt 文件中的disallow的路径汇总和168的子域名字典。

2022年07月16日

1. k8s 路径
2. phpunit路径
3. properties 文件路径字典
4. yaml文件名字典
5. 用户名字段名称字典

2022年05月08日

1. 增加 keys/secret 正则表达式
2. 增加Dom XSS sink

2021年12月14日

1. 增加EyeWitness的识别规则

2021年10月04日

1. 增加Burp的Software Version Checks的识别规则
2. 增加Client-Side Prototype Pollution的规则(基于Burp的Software Version Checks插件)

2021年09月22日

1. 增加MQTT 爆破用的用户名和密码。

2021年08月01日

1. 增加100余条CND列表
2. 系统命令执行Fuzzing payload

2021年07月30日

1. 增加19个cdn服务列表。 感谢@leveryd 提供

2021年07月26日

1. 增加一个子域名爆破字典

2021年06月23日

1. 一些开源Web应用的ViewState默认key。
2. upload 一些上传文件的参数名

2021年06月18日

1. 增加Bug-Bounty-Wordlists

2021年06月06日

1. 增加SuperWordlist的用户名和密码字典。包括Tomcat、PMA、DEV等密码字典,还有CN、EN邮箱用户名、TOP20管理用户名。
2. 200万子域名字典

2021年06月02日

1. 增加43个云waf或cdn列表

2021年05月28日

1. 增加wappalyzer的指纹规则

2021年04月28日

1. XXE payloads for specific DTDs

2021年04月26日

1. 增加云厂商的metadata有用的一些地址。(包含AWS、Google Cloud、Digital Ocean 、Packetcloud、Azure、Oracle Cloud 、Alibaba、OpenStack/RackSpace 、Oracle Cloud、Kubernetes)

2021年02月19日

1. 增加aem路径列表

2021年02月07日

1. 增加top25 漏洞参数(SQLI/XSS/RCE/OPENREDIRECT/LFI/SSRF)

2021年02月04日

1. 增加all.txt 字典。

2021年02月03日

1. 增加amass的子域名字典。

2021年01月31日

1. 增加AllAboutBugBounty项目的文档

2021年01月27日

1. 增加几个可能导致RCE的端口

2021年01月24日

1. 增加两个github dork

2021年01月16日

1. 增加cve的一些路径

2. 一些已知错误配置的路径

3. 一些API端点或服务器信息的特殊路径

4. 以上3种的合集(去重后)

2021年01月13日

1. 增加callback参数字典

2. 增加常见报错信息字符串列表

3. 增加debug参数字典

4. 增加snmp密码字典

5. 增加weblogic常见用户名密码

6. 增加oracle用户名、密码字典

2021年01月04日

1. 增加DefaultCreds-cheat-sheet

2021年01月03日

1. 增加crackstation下载地址(由于字典太大,给出下载链接)。

2. 增加rockyou字典。

3. 增加cain字典。

2021年01月02日

1. 增加webshell密码字典

2. 增加7w和81万请求参数字典

3. 增加Lcoalhost地址字典

4. HTML标签列表

2020年12月31日

1. 增加域账户弱密码字典(7000+)

2020年12月30日

1. 增加ntlm验证的路径

2020年12月15日

1. 增加github dork的搜索脚本。

2020年12月09日

1. 增加CEH web services的用户名和密码字典。

2020年12月07日

1. 增加oracle路径列表

2020年11月23日

1. 增加ctf字典。

2. 增加摄像rtsp默认路径和默认用户名和密码

2020年11月14日

1. 增加1个ics 默认密码字典

2. 增加1个设备默认密码字典(3400余条)

2020年11月04日

1. 增加 Wordpress BruteForc List

2020年11月03日

1. 增加几个默认口令

2020年10月15日

1. 增加一些payload

2020年09月30日

1. 增加常见可以RCE的端口

2020年09月29日

1. bugbounty oneliner rce

2. 一些默认路径

3. top 100k 密码字典

4. top 5k 用户名字典

5. 一些代码审计正则表达式

2020年09月27日

1. 增加cms识别指纹规则集,包含 fofa/Wappalyzer/WEBEYE/web中间件/开发语言 等众多指纹库内容

2020年09月22日

1. 修改swagger字典,添加5条路径

2020年09月21日

1. 增加3种类型密码字典,拼音、纯数字、键盘密码字典

2. 增加scada 默认密码,硬编码等列表

2020年09月18日

1. 增加11k+用户名密码组合

2020年09月17日

1. 增加action后缀 top 100

2. javascript 中on事件列表

3. URL 16进制fuzz

2020年09月15日

1. 增加XXE bruteforce wordlist

2. 增加sql备份文件名字典

3. 删除重复的spring boot内容

2020年09月10日

1. 增加自己收集的webservices内容。包含webservices目录,文件名,拓展名。后续计划增加存在漏洞webservices路径内容

2. readme中增加更新历史

2020年09月09日

1. 增加weblogic路径

2. 增加swagger路径

3. 增加graphql路径

4. 增加spring-boot路径

5. 去掉device/default_password_list.txt文件中的空行

2020年09月08日

1. 更新jsFileDict.txt字典,增加4个js文件名

2020年09月07日

1. 添加绕过ip限制的http请求投

2. 修改readme.md

2020年08月29日

1. 增加常见设备、安全产品默认口令

2. 增加一行命令的BugBounty tips

3. 增加两处参数字典

4. 增加bruteforce-lists的字典

5. Readme 文件增加来源。逐渐完善。

2020年08月28日

1. 增加api路径

2. 增加js文件路径

3. 增加http请求参数

4. 增加http请求参数值

2020年08月27日

1. 删除一些多余文件

2. 精简Files下的dict的层级

3. 增加DirBuster字典

4. 增加spring boot actuator字典

2020年08月26日

首次提交

该项目内容均来源于网络或自己整理,感谢各位大佬们的共享精神和辛苦付出~

• https://github.com/maurosoria/dirsearch

• https://github.com/dwisiswant0/awesome-oneliner-bugbounty

• https://github.com/internetwache/CT_subdomains

• https://github.com/lijiejie/subDomainsBrute

• https://github.com/shmilylty/OneForAll

• https://github.com/random-robbie/bruteforce-lists

• https://github.com/dwisiswant0/awesome-oneliner-bugbounty

• https://github.com/OfJAAH/KingOfBugBountyTips

• https://github.com/danielmiessler/SecLists

• https://github.com/TheKingOfDuck/fuzzDicts

• https://github.com/NS-Sp4ce/Dict

• https://github.com/s0md3v/Arjun

• https://github.com/fuzzdb-project/fuzzdb

• https://github.com/YasserGersy/Enums/

• https://gist.github.com/honoki/d7035c3ccca1698ec7b541c77b9410cf

• https://twitter.com/DanielAzulay18/status/1304751830539395072

• https://github.com/cwkiller/Pentest_Dic

• https://github.com/huyuanzhi2/password_brute_dictionary

• https://github.com/Clear2020/icsmaster/

• https://github.com/LandGrey/SpringBootVulExploit

• [https://github.com/al0ne/Vxscan][https://github.com/al0ne/Vxscan]

• https://github.com/L0kiii/FofaScan

• https://github.com/nw01f/CmsIdentification-masterV2

• https://github.com/Lucifer1993/cmsprint

• https://github.com/erwanlr/Fingerprinter

• https://github.com/lewiswu1209/fingerprint

• https://github.com/shelld3v/RCE-python-oneliner-payload

• https://twitter.com/ptswarm/status/1311310897592315905

• https://github.com/xer0days/BugBounty

• https://twitter.com/ptswarm/status/1323266632920256512

• https://github.com/kongsec/Wordpress-BruteForce-List/

• https://github.com/nyxxxie/awesome-default-passwords

• https://github.com/arnaudsoullie/ics-default-passwords

• https://github.com/Ullaakut/cameradar

• https://github.com/pwnfoo/NTLMRecon

• https://github.com/chroblert/domainWeakPasswdCheck

• https://github.com/gh0stkey/Web-Fuzzing-Box

• https://crackstation.net/crackstation-wordlist-password-cracking-dictionary.htm

• https://github.com/ihebski/DefaultCreds-cheat-sheet

• https://github.com/epony4c/Exploit-Dictionary

• https://github.com/ayoubfathi/leaky-paths

• https://github.com/obheda12/GitDorker

• https://github.com/daffainfo/AllAboutBugBounty

• https://github.com/OWASP/Amass

• https://gist.github.com/jhaddix/86a06c5dc309d08580a018c66354a056

• https://github.com/lutfumertceylan/top25-parameter

• https://github.com/clarkvoss/AEM-List

• https://gist.github.com/BuffaloWill/fa96693af67e3a3dd3fb

• https://raw.githubusercontent.com/GoSecure/dtd-finder/master/list/xxe_payloads.md

• https://raw.githubusercontent.com/AliasIO/wappalyzer/master/src/technologies.json

• https://github.com/fuzz-security/SuperWordlist

• https://wordlists.assetnote.io/

• https://github.com/Karanxa/Bug-Bounty-Wordlists

• https://github.com/yuanhaiGreg/Fuzz-Dict

• https://github.com/MistSpark/DNS-Wordlists

• https://github.com/0x727/ShuiZe_0x727/blob/master/Plugins/infoGather/subdomain/CDN/cdn-domain.conf

• https://github.com/omurugur/OS_Command_Payload_List

• https://github.com/akamai-threat-research/mqtt-pwn

• https://github.com/BlackFan/cspp-tools

• https://github.com/augustd/burp-suite-software-version-checks

• https://github.com/FortyNorthSecurity/EyeWitness/

• https://gist.github.com/h4x0r-dz/be69c7533075ab0d3f0c9b97f7c93a59

• https://github.com/Karanxa/Bug-Bounty-Wordlists

• https://github.com/trickest/wordlists