Мульти-оракульный сканер скрытых HTTP-параметров для bug bounty. Находит то, что обрабатывает сервер, но не показывает интерфейс — и подсказывает, куда копать дальше.
Бэкенды читают параметры, которых нет ни в формах, ни в JS, ни в документации. Скрытый debug, забытый user_id, недокументированный url — за каждым прячется IDOR, SSRF или обход авторизации.
Отвечает только на один вопрос — «существует ли параметр». Тонет в ложных срабатываниях на CDN и WAF, отдаёт сырой список, который ещё нужно перепроверять руками.
[200] foo
[200] bar
[200] baz
→ существует / не существует. И всё.
Подтверждает находку набором оракулов и сразу даёт гипотезу: что параметр делает и какой класс уязвимости проверять. Список превращается в начало эксплуатации.
[0.92] uid → тормозит на большом id
→ вероятно запрос к БД
→ проверь IDOR / SQLi
От дешёвого и тихого к точному. Каждая следующая фаза работает только на сужённом множестве — меньше запросов, меньше шума.
Снимает «норму» цели — статусы, длины, тайминги, кэш-заголовки — без единого параметра. Чтобы потом отличить реальный сигнал от шума.
Прогоняет словарь пачками с бинарным делением. Классификатор эндпоинта выводит профильные имена вперёд — реальное находится рано.
Каждого выжившего кандидата проверяет полным стеком оракулов. Засчитывает только при убедительном сигнале — без фантомных находок.
Каждый ловит свой класс реакции. Умные оракулы v0.7 дают не факт, а наводку — уникальное отличие от Param Miner, Arjun и x8.
Смена статуса, длины, строк ответа.
Канарейка в теле + класс контекста (XSS-вектор).
HPP: дубль ключа выдаёт обработку параметра.
Стабильное расхождение — главный антишум.
Distinct-сигнатуры на типах — для CDN-кэша.
Сигналы сквозь кэш и Server-Timing.
Молчит на валидном, ломается на мусоре — ловит «тихие» параметры.
Характер задержки → гипотеза: «тормозит на id → БД → IDOR/SQLi».
Query vs body confusion → наводка на обход авторизации.
Графическая оболочка с тёмной/светлой темой, RU/EN, прогрессом и паузой — или чистый скрипт без окна.
Точечная инъекция в любое место raw-запроса — query, заголовок, тело, вложенный JSON.
Глобальный rate-limit, авто-замедление на 429/WAF, приоритетный словарь — меньше запросов на тот же результат.
Вставь запрос прямо в окно или подай файлом — со всей сессией и заголовками.
Чистый Python 3, стандартная библиотека. Для GUI нужен только tkinter.
Paramancer открыт под свободной лицензией. Форкай, ломай, улучшай. Если инструмент сэкономил тебе время на охоте — поставь звезду или поддержи разработку в биткоине.
17sif3M8Qb22YF5bWven4bQTRtMj7NLaJi