Търсите безплатни за използване инструменти за изброяване на скрити директории и файлове на уеб сървър? Ето най-добрите Linux инструменти за разбиване на директории.

Ключови изводи

  • Разрушаването на директории е основна техника в етичното хакване за откриване на скрити директории и файлове на уеб сървър или приложение.
  • Linux предлага няколко инструмента за разбиване на директории, като DIRB, DirBuster, Gobuster, ffuf и dirsearch.
  • Тези инструменти автоматизират процеса на изпращане на HTTP заявки до уеб сървър и отгатване на имена на директории, за да намерят ресурси, които не са рекламирани в навигацията или картата на сайта.

В етапа на разузнаване на всеки пентест на уеб приложение е важно да се намерят възможни директории в приложението. Тези директории може да съдържат значителна информация и открития, които биха ви помогнали значително да откриете уязвимости в приложението и да подобрите неговата сигурност.

За щастие, има инструменти в интернет, които правят грубата форсировка на директорията по-лесна, автоматизирана и по-бърза. Ето пет инструмента за разбиване на директории в Linux за изброяване на скрити директории в уеб приложение.

instagram viewer

Какво е спукване на директория?

Спукване на директория, известен също като "брутално форсиране на директория", е техника, използвана в етичното хакване за откриване на скрити директории и файлове на уеб сървър или приложение. Това включва систематичен опит за достъп до различни директории чрез отгатване на имената им или изброяване чрез списък с общи директории и имена на файлове.

Процесът на разрушаване на директория обикновено включва използване на автоматизирани инструменти или скриптове, които изпращат HTTP заявки към уеб сървър, опитвайки се различни директории и имена на файлове за намиране на ресурси, които не са изрично свързани или рекламирани в навигацията на уебсайта или карта на сайта.

В интернет има стотици безплатни инструменти за извършване на спукване на директории. Ето някои безплатни инструменти, които можете да използвате в следващия си тест за проникване:

1. DIRB

DIRB е популярен инструмент за команден ред на Linux, използван за сканиране и брутфорс на директории в уеб приложения. Той изброява възможни директории от списък с думи срещу URL адрес на уебсайт.

DIRB вече е инсталиран на Kali Linux. Ако обаче не сте го инсталирали, няма за какво да се притеснявате. Просто се нуждаете от проста команда, за да го инсталирате.

За базирани на Debian дистрибуции изпълнете:

sudo apt install dirb

За Linux дистрибуции, различни от Debian, като Fedora и CentOS, изпълнете:

sudo dnf install dirb

На Arch Linux изпълнете:

yay -S dirb

Как да използвате DIRB за Bruteforce директории

Синтаксисът за извършване на грубо форсиране на директория на уеб приложение е:

dirb [url] [path to wordlist]

Например, ако използвате брутфорс https://example.com, това ще бъде командата:

dirb https://example.com wordlist.txt

Можете също да изпълните командата, без да посочвате списък с думи. DIRB ще използва своя файл със списък с думи по подразбиране, общ.txt, за да сканирате уебсайта.

dirb https://example.com

2. DirBuster

DirBuster е много подобен на DIRB. Основната разлика е, че DirBuster има графичен потребителски интерфейс (GUI) за разлика от DIRB, който е инструмент от команден ред. DIRB ви позволява да конфигурирате брутфорс сканирането на директорията по ваш вкус и да филтрирате резултатите по код на състоянието и други интересни параметри.

Можете също да зададете броя на нишките, определящи скоростта, с която искате да се изпълняват сканиранията, и конкретните файлови разширения, които искате приложението да търси вместо вас.

Всичко, което трябва да направите, е да въведете целевия URL адрес, който искате да сканирате, списъка с думи, който искате да използвате, файловите разширения и броя на нишките (по избор), след което щракнете върху Започнете.

Докато сканирането напредва, DirBuster ще покаже откритите директории и файлове в интерфейса. Можете да видите състоянието на всяка заявка (напр. 200 OK, 404 Not Found) и пътя на откритите елементи. Можете също така да запишете резултатите от сканирането във файл за по-нататъшен анализ. Това ще ви помогне да документирате вашите открития.

DirBuster се инсталира на Kali Linux, но можете лесно инсталирайте DirBuster на Ubuntu.

3. Gobuster

Gobuster е инструмент за команден ред, написан на Go, използван за брутфорс на директории и файлове в уебсайтове, Open Amazon S3 кофи, DNS поддомейни, имена на виртуални хостове на целеви уеб сървъри, TFTP сървъри и др.

За да инсталирате Gobuster на Debian дистрибуции на Linux като Kali, изпълнете:

sudo apt install gobuster

За семейството на RHEL дистрибуции на Linux, стартирайте;

sudo dnf install gobuster

На Arch Linux изпълнете:

yay -S gobuster

Като алтернатива, ако имате инсталиран Go, стартирайте:

go install github.com/OJ/gobuster/v3@latest

Как да използвате Gobuster

Синтаксисът за използване на Gobuster за bruteforce директории в уеб приложения е:

gobuster dir -u [url] -w [path to wordlist]

Например, ако искате да включите брутфорс директории https://example.com, командата ще изглежда така:

gobuster dir -u https://example.com -w /usr.share/wordlist/wordlist.txt

4. фъф

ffuf е много бърз уеб fuzzer и инструмент за грубо форсиране на директории, написан на Go. Той е много гъвкав и особено известен със своята скорост и лекота на използване.

Тъй като ffuf е написан на Go, трябва да имате инсталиран Go 1.16 или по-нова версия на вашия компютър с Linux. Проверете версията на Go с тази команда:

go version

За да инсталирате ffuf, изпълнете тази команда:

go install github.com/ffuf/ffuf/v2@latest

Или можете да клонирате хранилището на github и да го компилирате с помощта на тази команда:

git clone https://github.com/ffuf/ffuf; cd ffuf; go get; go build

Как да използвате ffuf за Bruteforce директории

Основният синтаксис за грубо форсиране на директория с ffuf е:

ffuf -u [URL/FUZZ] -w [path to wordlist]

Например за сканиране https://example.com, командата ще бъде:

ffuf -u https://example.com/FUZZ -w wordlist.txt

5. dirsearch

dirsearch е друг груб инструмент за команден ред, използван за изброяване на директории в уеб приложение. Той е особено харесван заради цветния си изход, въпреки че е базирано на терминал приложение.

Можете да инсталирате dirsearch чрез pip, като стартирате:

pip install dirsearch

Или можете да клонирате хранилището на GitHub, като изпълните:

git clone https://github.com/maurosoria/dirsearch.git --depth 1

Как да използвате dirsearch за Bruteforce директории

Основният синтаксис за използване на dirsearch за брутфорс на директории е:

dirsearch -u [URL]

За да включите директории с брутфорс https://example.com, всичко, което трябва да направите е:

dirsearch -u https://example.com

Няма съмнение, че тези инструменти ще ви спестят много време, което бихте прекарали ръчно в опити да познаете тези директории. В киберсигурността времето е голямо предимство, ето защо всеки професионалист се възползва от инструментите с отворен код, за да оптимизира ежедневните си процеси.

Има хиляди безплатни инструменти, особено в Linux, за да направите работата си по-ефективна, всичко, което трябва да направите, е да проучите и изберете това, което работи за вас!