工具更新｜DDDL v1.1.1 功能更新追加 POC

AnWangsec

2026年7月24日 16:43
浙江

在小说阅读器读本章

去阅读

以下文章来源于迷人安全
，作者yn8rt

迷人安全
.

免责声明:在此公众号文章学习和使用工具过程中，如果您在使用工具或使用该公众号的测试方法过程中存在任何非法行为，您需要自行承担后果，我们不负任何法律责任!公众号介绍:分享漏洞挖掘技巧、收集各种CVE漏洞、渗透工具的使用、网络安全的研究

点击箭头处“蓝色字”，关注我们哦！！

现在只对常读和星标的公众号才展示大图推送，建议大家能把迷人安全“设为星标”，否则可能就看不到了啦！

【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！

这两天我一直在跑 DDDL。跑着跑着，又碰上几处怪烦人的问题：-poc 能搜到产品，关联的 CVE 模板却没进来；日志写着“加载 workflow”，你还是不知道实际装了多少模板；有些服务器不管请求啥路径都回 200，备份扫描一开，结果里全是“命中”。

`-poc` 搜产品，关联模板也跟上了

之前 -poc 主要看模板文件名。有些模板文件名里不带产品名，但已经写进对应产品的 workflow.yaml 里。产品名搜到了，CVE 模板却没进扫描，这种漏法挺隐蔽。

现在搜索产品时，会把它在 workflow 里声明的 POC 一起带上：

dddd -t target.txt -poc h3c

日志也改了。每个目标会分别打印 workflow 关联了多少个 POC、最后加载了多少个模板。以前几个数量挨在一块儿，翻日志时容易看串；现在能看出到底是没匹配到，还是模板没装上。
同时还同步了部分 POC，数量来到5430

请求头不用再挨个改模板

测试环境里经常要固定 User-Agent，或者加租户标识、Cookie。以前 Nuclei 模板和 GoPoc 各管一套，改起来费劲，漏改一处还得重新跑。

这回加了两个参数：

-pua / --poc-user-agent
-ph  / --poc-header

-ph 可以重复写，格式就是 Name: value：

dddd -t target.txt -poc h3c \\
-pua\"Mozilla/5.0\"\\
-ph\"X-Test-Env: staging\"\\
-ph\"Cookie: tenant=demo\"

Nuclei POC 和 Shiro、RabbitMQ、Elasticsearch 这些 GoPoc 都会用这组 Header。同名配置按全局值走，模板里原来的值会被覆盖。Header 名称不合法、值里混进换行，程序会直接报错。

日志少刷一点，信息留全

把进度重定向到文件时，之前会不停刷百分比。文件长得飞快，出了问题还得在一堆重复行里找线索。

现在默认打印阶段开始和结束，终端适合动态刷新时才显示进度条。想强制开动态模式，可以这样跑：

DDDD_PROGRESS=bar dddd -t target.txt

Nuclei 开始前会先打印目标总量和 POC 关联情况，随后给出去重后的 POC 数。跑到单个目标时，再打印匹配 POC 数和实际加载模板数。目标连续无响应被跳过时，日志也会说明触发了哪个阈值，排查起来省点时间。

备份文件扫描放到 `-bs`

不少站点的备份文件名有固定套路，像这样：

www_baidu_com.zip
www_baidu.com_com.tar.gz

现在对已存活的 Web 资产生成这些候选文件名，默认后缀是 zip,tar.gz,tgz,rar,7z,bak,sql。功能默认不打开，需要时加 -bs：

dddd -t http://example.com -bs-npoc-nd-nps

候选数量可以用 -bmax 限制，后缀用 -bext 自己配：

dddd -t http://example.com -bs-bmax500-bext zip,7z,bak

服务器把不存在的路径统一返回 200，备份扫描就容易误报。我先请求正常页面做基线，再看响应大小、类型和归档文件特征。HTML 报告里也单独放了备份扫描结果，翻起来不和漏洞结果挤在一块。

软 404 和子域名回退也处理了

主动指纹探测时，有些错误页会原样回显请求路径，程序以前可能把它当成产品页面。现在会看页面里有没有 <script>、<link> 这类页面元素，或者前端框架特征。单纯的 Not Found 和路径回显先不往 workflow 里送。

子域名用 -sde auto 时，ksubdomain 命令执行成功但一个结果都没返回，会自动换 dnsx 继续跑，同时把网卡、权限排查提示打出来。macOS 遇到 /dev/bpf* 权限问题，也会给出处理提示，不让人只盯着“获取设备超时”干着急。

另外几处顺手收了

废弃的 -f/-finger 和 -pts/--poc-scan-type 已经删掉，POC 目标选择统一看 workflow.yaml。-upf 支持追加外部账号密码文件，配合 -upfa 可以把外部字典接在内嵌字典后面。MySQL 弱口令命中后会再执行一次简单查询，PostgreSQL 结果状态也补齐了。Interactsh 默认关闭，需要反连检测时再用 --interactsh 打开。

编译脚本去掉了 Go build ID，Linux 和 Windows 默认用 UPX 压缩。Linux amd64 二进制从大约 94M 压到 31M 左右；macOS 默认不压，避免压缩后的文件被 Gatekeeper 拦掉。

这版先处理 POC 漏跑、日志对不上的情况，也把错误页冒充命中的误报压下去。新入口先放一放。现在至少能从日志里看清 POC 怎么选的，备份扫描也不会被一张 200 的错误页带跑。授权测试里少返工几遍，这版就值了。

项目地址：https://github.com/Yn8rt/DDDD-DL

工具只用于合法授权的安全测试、企业安全建设和研究场景。没有授权的目标，甭拿去试。