Sommario:
Punti chiave
- Il directory bursting è una tecnica essenziale nell’hacking etico per scoprire directory e file nascosti su un server Web o un’applicazione.
- Linux offre diversi strumenti per il directory bursting, come DIRB, DirBuster, Gobuster, ffuf e dirsearch.
- Questi strumenti automatizzano il processo di invio di richieste HTTP a un server Web e indovinano i nomi delle directory per trovare risorse non pubblicizzate nella navigazione o nella mappa del sito del sito Web.
MUO VIDEO DELLA GIORNATA
SCORRI PER CONTINUARE CON I CONTENUTI
Nella fase di ricognizione di ogni pentest dell’applicazione web, è essenziale trovare possibili directory sull’applicazione. Queste directory potrebbero contenere informazioni e risultati significativi che ti aiuterebbero notevolmente a trovare vulnerabilità nell’applicazione e migliorarne la sicurezza.
Fortunatamente, ci sono strumenti su Internet che rendono la forzatura bruta delle directory più semplice, automatizzata e veloce. Ecco cinque strumenti di bursting delle directory su Linux per enumerare le directory nascoste su un’applicazione web.
Cos’è il bursting delle directory?
Il directory bursting, noto anche come “directory brute forcing”, è una tecnica utilizzata nell’hacking etico per scoprire directory e file nascosti su un server Web o un’applicazione. Implica il tentativo sistematico di accedere a diverse directory indovinandone i nomi o enumerando un elenco di directory e nomi di file comuni.
Il processo di directory bursting in genere comporta l’utilizzo di strumenti o script automatizzati che inviano richieste HTTP a un server Web, provando diverse directory e nomi di file per trovare risorse che non sono esplicitamente collegate o pubblicizzate nella navigazione o nella mappa del sito del sito Web.
Ci sono centinaia di strumenti gratuiti disponibili su Internet per eseguire il bursting delle directory. Ecco alcuni strumenti gratuiti che puoi utilizzare nel tuo prossimo test di penetrazione:
1. DIRB
DIRB è un popolare strumento da riga di comando di Linux utilizzato per scansionare e forzare le directory sulle applicazioni web. Enumera le possibili directory da un elenco di parole rispetto all’URL di un sito web.
DIRB è già installato su Kali Linux. Tuttavia, se non lo hai installato, non c’è nulla di cui preoccuparsi. Hai solo bisogno di un semplice comando per installarlo.
Per le distribuzioni basate su Debian, eseguire:
sudo apt install dirb
Per distribuzioni Linux non Debian come Fedora e CentOS, eseguire:
sudo dnf install dirb
Su Arch Linux, esegui:
yay -S dirb
Come utilizzare DIRB per le directory Bruteforce
La sintassi per eseguire la forzatura bruta della directory su un’applicazione Web è:
dirb [url] [path to wordlist]
Ad esempio, se dovessi forzare brute https://example.com, questo sarebbe il comando:
dirb https://example.com wordlist.txt
È inoltre possibile eseguire il comando senza specificare un elenco di parole. DIRB userebbe il suo file di elenco di parole predefinito, common.txt, per scansionare il sito web.
dirb https://example.com
2. DirBuster
DirBuster è molto simile a DIRB. La differenza principale è che DirBuster ha un’interfaccia utente grafica (GUI) a differenza di DIRB che è uno strumento a riga di comando. DIRB ti consente di configurare le scansioni bruteforce della directory secondo i tuoi gusti e filtrare i risultati per codice di stato e altri parametri interessanti.
Puoi anche impostare il numero di thread che determinano la velocità con cui desideri eseguire le scansioni e le estensioni di file specifiche che desideri che l’applicazione cerchi per te.
Tutto quello che devi fare è inserire l’URL di destinazione che desideri scansionare, l’elenco di parole che desideri utilizzare, le estensioni dei file e il numero di thread (facoltativo), quindi fare clic su Avvia.
Man mano che la scansione procede, DirBuster visualizzerà le directory ei file rilevati nell’interfaccia. È possibile visualizzare lo stato di ogni richiesta (ad es. 200 OK, 404 Not Found) e il percorso degli elementi rilevati. È inoltre possibile salvare i risultati della scansione in un file per ulteriori analisi. Ciò aiuterebbe a documentare le tue scoperte.
DirBuster viene installato su Kali Linux, ma puoi farlo facilmente installa DirBuster su Ubuntu.
3. Gobuster
Gobuster è uno strumento da riga di comando scritto in Go utilizzato per forzare directory e file in siti Web, aprire bucket Amazon S3, sottodomini DNS, nomi di host virtuali su server Web di destinazione, server TFTP, ecc.
Per installare Gobuster su distribuzioni Debian di Linux come Kali, esegui:
sudo apt install gobuster
Per la famiglia RHEL di distribuzioni Linux, eseguire;
sudo dnf install gobuster
Su Arch Linux, esegui:
yay -S gobuster
In alternativa, se hai installato Go, esegui:
go install github.com/OJ/gobuster/v3@latest
Come usare Gobuster
La sintassi per l’utilizzo di Gobuster per forzare le directory nelle applicazioni Web è:
gobuster dir -u [url] -w [path to wordlist]
Ad esempio, se desideri eseguire il bruteforce delle directory su https://example.com, il comando sarà simile al seguente:
gobuster dir -u https://example.com -w /usr.share/wordlist/wordlist.txt
4. uff
ffuf è un web fuzzer molto veloce e uno strumento di forzatura bruta delle directory scritto in Go. È molto versatile e particolarmente noto per la sua velocità e facilità d’uso.
Poiché ffuf è scritto in Go, devi avere Go 1.16 o superiore installato sul tuo PC Linux. Controlla la tua versione Go con questo comando:
go version
Per installare ffuf, esegui questo comando:
go install github.com/ffuf/ffuf/v2@latest
Oppure puoi clonare il repository github e compilarlo usando questo comando:
git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build
Come utilizzare ffuf nelle directory Bruteforce
La sintassi di base per la forzatura bruta delle directory con ffuf è:
ffuf -u [URL/FUZZ] -w [path to wordlist]
Ad esempio, per scansionare https://example.com, il comando sarebbe:
ffuf -u https://example.com/FUZZ -w wordlist.txt
5. ricerca
dirsearch è un altro strumento da riga di comando di forza bruta utilizzato per enumerare le directory su un’applicazione web. È particolarmente apprezzato per il suo output colorato nonostante sia un’applicazione basata su terminale.
Puoi installare dirsearch tramite pip eseguendo:
pip install dirsearch
Oppure puoi clonare il repository GitHub eseguendo:
git clone https://github.com/maurosoria/dirsearch.git --depth 1
Come utilizzare dirsearch nelle directory Bruteforce
La sintassi di base per utilizzare dirsearch nelle directory di forza bruta è:
dirsearch -u [URL]
Per forzare le directory su https://example.com, tutto ciò che devi fare è:
dirsearch -u https://example.com
Non c’è dubbio che questi strumenti ti faranno risparmiare un sacco di tempo che avresti speso manualmente cercando di indovinare queste directory. Nella cybersecurity il tempo è una grande risorsa, per questo ogni professionista si avvale di strumenti open-source che ottimizzano i propri processi quotidiani.
Esistono migliaia di strumenti gratuiti soprattutto su Linux per rendere il tuo lavoro più efficiente, tutto ciò che devi fare è esplorare e scegliere ciò che funziona per te!