可以看看这个https://github.com/TheKingOfDuck/fuzzDicts

针对Web应用的fuzz可以分为好几个方面来做

1. 针对目录

2. 针对参数

3. 针对子域名

4. 针对防火墙

5. 针对URL格式

6. 还没想到...

在不同维度，所使用的字典是不一样的，比如目录探测，通过字典来探测目标的文件路径，所以字典应该是目录类型的，例如upload/，.git/，.svn/，以及备份文件www.zip啊之类的；参数的话用来探测交互接口，例如id，img，file等；子域名的话和业务有一定关系，所用的字典应该是域名类型的，例如oa,mail等；防火墙的话主要是探测特殊字符哪些可用，哪些不可用，比如单引号，双引号，斜杠、反斜杠等；URL格式的话其实和4有些类似，在过防火墙的时候会有用到，再一个就是Web应用中存在多个中间件交互的时候，可能存在的二义性问题。

好像大概是这样吧，菜鸡随手答的，可能不准确也有错误，大佬轻喷。

目录，备份，子域，后台地址，参数

github上面的fuzz字典很多

fuzz是模糊测试 还可以细分为对攻击payload的测试 有sql注入的 xss的 上传文件名的各种fuzz 字典的话上github

Blasting_dictionary:分享和收集各种字典，包括弱口令，常用密码，目录爆破。数据库爆破，编辑器爆破，后台爆破等。大型字典在big_dictionary.txt文件里

pydictor:一个强大实用的黑客暴力破解字典建立工具

猜密码:密码网根据姓名、用户名、生日、邮箱、手机、历史密码、特殊数字等个人信息精确的分析出个人密码

genpAss:中国特色的弱口令生成器

somd5字典:质量一般

姓名top10w/弱密码top21w:法师提供的字典

可以自定义规则的密码字典生成器:该脚本的主要目标是根据定制的规则来组合生成出密码字典，主要目标是针对企业，希望对安全人员自查“符合密码策略的弱密码”有所帮助。