用途：ffuf 是一款用 Go 编写的高性能 Web 模糊测试工具，用于发现隐藏资源、测试参数并进行 Web 应用侦察，是 DAST 测试的常用组件。
主要能力：以 FUZZ 关键字作为字典占位符，支持目录/文件枚举、扩展名爆破、GET/POST 参数模糊测试、虚拟主机与子域发现、认证端点测试、备份与敏感文件发现；支持多种模糊测试模式（clusterbomb、pitchfork、sniper）；提供匹配（-mc、-ms、-mw、-ml、-mr）与过滤（-fc、-fs、-fw、-fl、-fr）选项及自动校准 -ac；支持自定义请求头、Cookie 模糊测试和递归扫描；结果可输出为 JSON、CSV、HTML 等多种格式。
使用方式：安装可用 go install github.com/ffuf/ffuf/v2@latest，或用 apt install ffuf、brew install ffuf，也可从 GitHub releases 下载预编译二进制。基本用法为 ffuf -u https://example.com/FUZZ -w wordlist.txt。常用参数包括 -e 指定扩展名、-X 指定请求方法、-d 指定请求体、-H 指定请求头、-b 指定 Cookie、-o 指定输出文件与 -of 指定输出格式、-t 设置并发线程、-p 设置随机延迟。
适用场景：Web 内容发现与侦察、API 端点枚举、认证表单测试、虚拟主机枚举，以及集成到 CI/CD 安全测试流水线，并可对应 OWASP WSTG 中多项测试类别。
限制：资料未提供价格、授权、平台兼容范围及性能基准数据。模糊测试可能触发速率限制或封禁，需降低并发并添加延迟；仅可在获得授权的目标上使用，并注意发现的敏感数据需合规处理。