简介这份资源是面向渗透测试初学者与安全运维人员的 Fikker 弱口令检测脚本用于在授权安全测试场景中快速排查 Fikker 服务是否存在弱密码风险帮助定位并修复相关漏洞。压缩包共 4 个文件包含 1 个 Python 脚本、2 个 txt 文本与 1 个 md 说明文档整体仅约 2KB轻量易用。脚本通过读取 host.txt 中的目标列表批量检测疑似存在弱口令的 URL 会以绿色标记检测结果统一输出到 res.txt 文本中便于后续整理与复核。资源附带的说明文档与标签文件可辅助理解使用方式与适用范围。目前已有 70 人学习关注适合刚接触渗透测试、需要练习弱口令检测思路的安全从业者参考也可作为企业授权安全评估中的辅助排查工具。需注意本工具仅限合法授权测试使用使用者应自觉遵守《中华人民共和国网络安全法》严禁未授权攻击站点。1. 拿到 fikker 弱口令检测脚本先搞清楚它到底在测什么fikker 是一套带 Web 管理后台的缓存/代理服务很多中小站点把它当 CDN 或反向代理入口用。管理后台一旦用弱口令等于把整条流量链路交出去。这份fikker-weak-password.py就是针对 fikker 后台登录接口做批量口令尝试的检测脚本配套host.txt目标清单、res.txt结果落盘外加README.md、标签.txt、资源内容.txt三个说明文件。它解决的是「我手上有一批 fikker 资产怎么快速筛出哪些后台还在用 admin/admin、admin/123456 这类口令」的问题适合做授权范围内的资产自查、渗透测试前期信息收集以及运维侧的口令合规巡检。脚本本身不复杂但用之前得先想清楚你测的是自己的资产还是拿到书面授权的目标这条线不能越。2. 脚本运行机制拆解从 host.txt 到 res.txt 的完整链路2.1 请求构造与判定逻辑这类弱口令脚本的核心就三件事读目标、发登录请求、判断响应。fikker 后台登录一般是 POST 表单字段名常见为username、password部分版本带verifycode或 CSRF token。脚本用requests逐条读取host.txt里的 URL对每个目标遍历内置口令字典把响应状态码、响应体关键字、跳转 Location 作为判定依据。判定逻辑通常是这样登录成功会返回 302 跳转到后台首页或者响应体里出现logout、dashboard这类关键字失败则停留在登录页响应体含error、密码错误等提示。import requests # 目标与口令字典 target http://example.com/admin/login passwords [admin, 123456, admin888, fikker] for pwd in passwords: data {username: admin, password: pwd} try: # allow_redirectsFalse 便于观察 302 跳转 r requests.post(target, datadata, timeout5, allow_redirectsFalse) # 判定302 且 Location 指向后台视为命中 if r.status_code 302 and login not in r.headers.get(Location, ): print(f[命中] {target} admin/{pwd}) break except requests.RequestException as e: print(f[异常] {target} - {e})上面这段是脚本逻辑的骨架。timeout5是必须的否则遇到不响应的目标会一直挂着allow_redirectsFalse是为了拿到原始 302 响应方便判断跳转目标。实际脚本里字典会更长判定条件也会叠加响应体关键字匹配避免把「登录页刷新」误判成成功。2.2 参数说明与字典扩展脚本通过-f指定目标文件这是唯一必填参数。目标文件每行一个 URL建议带上协议和路径比如http://1.2.3.4/admin/login不要只写 IP否则脚本还得自己拼路径容易拼错。字典部分一般硬编码在脚本里想扩展就找到passwords列表往里加。常见做法是把字典单独抽成passwords.txt用open()读取这样改字典不用动代码。# 目标文件格式示例 host.txt http://192.168.1.10/admin/login https://cache.example.com/admin/login http://10.0.0.5:8080/admin/login提示目标文件里不要留空行和注释行部分脚本不做过滤空行会导致请求异常刷屏。2.3 结果输出与颜色标记脚本把命中结果写入res.txt同时在终端用绿色标记疑似弱口令的 URL。绿色标记靠的是 ANSI 转义码\033[92mWindows 老版本 cmd 默认不支持会显示成乱码。如果你在 Windows 上跑建议用 Windows Terminal 或者 Git Bash颜色能正常显示。res.txt是追加写入还是覆盖写入要看脚本实现跑之前先确认避免上一次的结果被冲掉。# 结果落盘追加模式避免覆盖历史 with open(res.txt, a, encodingutf-8) as f: f.write(f{target} admin/{pwd}\n)encodingutf-8别省Windows 默认 GBK写中文路径或备注时会报UnicodeEncodeError。追加模式a比覆盖模式w稳妥多次跑不同目标文件时结果能累积。3. 从零跑通环境准备、命令执行与结果验证3.1 Python 环境与依赖安装脚本依赖requestsPython 3.6 以上都能跑。先确认 Python 可用再装依赖。Windows 上如果python命令没反应试试py -3Linux 和 macOS 一般直接python3。# 确认 Python 版本 python --version # 安装依赖 pip install requests # 如果 pip 慢换国内源 pip install requests -i https://pypi.tuna.tsinghua.edu.cn/simple装完requests可以用python -c import requests; print(requests.__version__)验证能打印版本号就说明环境没问题。这一步看着简单但实际卡住的人不少尤其是 Windows 上装了多个 Python 版本、pip和python指向不同解释器的情况。3.2 执行检测命令按 README 给的用法命令是python .\fikker-weak-password.py -f .\host.txt。.\是 Windows 的相对路径写法Linux/macOS 下换成./或者直接写文件名。# Windows python .\fikker-weak-password.py -f .\host.txt # Linux / macOS python3 ./fikker-weak-password.py -f ./host.txt执行后终端会逐行打印检测进度命中的 URL 显示为绿色。跑完后打开res.txt查看结果。如果终端没有任何输出就结束了大概率是host.txt路径不对或者文件为空先cat host.txt确认内容。3.3 结果验证别只看颜色脚本标绿不等于真的弱口令。验证方法很简单拿命中的 URL 和口令手动在浏览器里登录一次能进后台才算数。有些目标返回 302 是因为做了统一跳转跟登录成功没关系。另外注意区分「账号不存在」和「密码错误」部分系统对这两种情况返回不同提示脚本如果只匹配关键字可能误判。# 快速查看结果文件 cat res.txt # 统计命中数量 wc -l res.txt注意验证阶段手动登录时确认你用的是授权范围内的测试账号或已获授权的目标不要拿扫描结果去试无关系统。4. 避坑与排查五条血泪经验4.1 现象脚本报ModuleNotFoundError: No module named requests原因requests没装或者装到了另一个 Python 解释器下。Windows 上同时有系统 Python 和 Anaconda 时特别常见。解决用python -m pip install requests确保装到当前解释器装完python -m pip show requests确认路径。4.2 现象所有目标都超时一个都没结果原因目标不可达、端口不对或者脚本没走代理配置内网环境常见。也可能是host.txt里的 URL 缺协议头requests直接报MissingSchema。解决先curl -I http://目标/admin/login确认目标可达再检查 URL 格式。内网环境确认网络策略允许出站。4.3 现象终端绿色标记显示成乱码原因Windows cmd 默认代码页不支持 ANSI 转义码。解决换 Windows Terminal 或 Git Bash或者执行chcp 65001切到 UTF-8 代码页。实在不行把颜色输出注释掉只看res.txt。4.4 现象res.txt里出现大量误报原因判定条件太宽把登录页的正常跳转当成了成功。或者目标有 WAF统一返回 200 加验证页。解决手动验证几条命中记录如果误报率高改判定逻辑叠加响应体关键字匹配比如必须同时出现dashboard和logout才算命中。4.5 现象脚本跑一半卡死不动原因某个目标不响应且没设超时requests默认无限等待。解决在requests.post()里加timeout(3, 5)连接 3 秒、读取 5 秒。批量扫描时这个参数是保命的不加迟早翻车。5. 进阶用法字典定制、并发提速与授权边界脚本默认字典覆盖的是最常见的那几十个口令实际项目里往往需要按目标特征定制。比如 fikker 后台有些运维会用公司名拼音加年份这种就得靠信息收集阶段拿到的线索来生成字典。我一般会把字典抽成独立文件用-w参数传入脚本里用argparse加一个可选参数不改动原有逻辑。import argparse parser argparse.ArgumentParser() parser.add_argument(-f, --file, requiredTrue, help目标文件) parser.add_argument(-w, --wordlist, defaultpasswords.txt, help口令字典) args parser.parse_args() with open(args.wordlist, encodingutf-8) as f: passwords [line.strip() for line in f if line.strip()]这样字典和代码解耦换项目只换字典文件。并发方面原脚本是单线程串行目标多了速度上不去。常见做法是用concurrent.futures.ThreadPoolExecutor开 10 到 20 个线程但线程数别开太大否则容易触发目标侧限流或者把对方服务打挂那就从检测变成事故了。from concurrent.futures import ThreadPoolExecutor def check(target): # 单个目标的检测逻辑 ... with ThreadPoolExecutor(max_workers10) as pool: pool.map(check, targets)max_workers10是个保守值内网自查可以适当调高公网授权测试建议不超过 20。跑之前最好先拿一两个目标试跑确认判定逻辑没问题再全量放开。验证脚本是否可靠我的习惯是搭一个本地测试环境起一个 fikker 或者用 Flask 模拟登录接口故意设一个弱口令和一个强口令看脚本能不能准确区分。这比拿真实目标试错成本低得多也不会误伤生产系统。最后说授权边界。这份脚本的 README 里写了免责声明但免责声明不等于授权。实际项目里我每次跑这类工具之前都会确认三件事目标清单是不是客户书面确认的范围、测试时间窗口有没有避开业务高峰、命中结果有没有按约定方式交付。有一次我图省事把扫描范围多带了一个 C 段虽然没造成影响但被客户安全团队发现后解释了半天。从那以后我每次跑批量检测都强制先核对一遍目标清单和授权书上的范围是否一致多一个 IP 都不加。希望帮到你。本文还有配套的精品资源点击获取