Недавно на проекте коллега пропустил swagger, потому что перебрал маршруты не тем словарём, но благо мне удалось это отловить. И в голове возникла идея уже наконец-то сесть и составить словари, которые можно было бы использовать не боясь, что что-то упустишь, так как заюзал не тот словарь.
Для этого я решил сделать 5 видов словарей:
- Длинный словарь для брута маршрутов - содержит практически каждый валидный путь из множества популярных словарей.
- Короткий словарь для брута маршрутов - там будут только маршруты, которые часто повторяются в большинстве словарей.
- Словарь для брута файлов(.php, .aspx, .jsp, и тд.).
- Словарь для брута API-like маршрутов.
- Словарь для брута битрикса - его надо запускать отдельно от первых двух, когда битрикс уже был найден на хосте.
Потом взял кучу словарей из которых бы и формировал свои:
- https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content
- https://github.com/sorokinpf/cth_wordlists
- https://github.com/Averroes/raft/tree/master/data/wordlists
- https://github.com/kkrypt0nn/wordlists/tree/main/wordlists/discovery
- https://github.com/Bo0oM/fuzz.txt
- https://wordlists.assetnote.io/
- https://github.com/TheKingOfDuck/fuzzDicts
- https://github.com/clem9669/weblist
- https://github.com/hxlxmj/leaky-paths
- https://github.com/3ndG4me/KaliLists/tree/master/dirb
- https://github.com/xajkep/wordlists/tree/master/discovery
- https://github.com/chrislockard/api_wordlist
- https://github.com/koaj/aws-s3-bucket-wordlist/blob/master/list.txt
- https://gist.github.com/hax0rgb/505b5de6be0a78fbd9dd0f46efbe754d
- https://gist.github.com/vijay922/d35cf2f5c9abe682140379e35d5cd935
- https://raw.githubusercontent.com/onvio/wordlists/master/words_and_files_top5000.txt
- https://github.com/jivoi/pentest/tree/master/wordlists
- https://github.com/empty-jack/YAWR
- https://gist.github.com/Bo0oM/5d18e56847d2b1722bf5eedea853119b
- https://pentestnotes.ru/images/notes/bitrix_full/huitix_wordlist.zip
- https://github.com/HiMiC/bitrix_scan/blob/main/bitrix_wordlist.txt
- https://github.com/HiMiC/bitrix_scan/tree/main
- https://t.me/webpwn/345
- https://t.me/webpwn/317
Ну вообщем вот:
https://github.com/1arroiz/wordlists_for_web_brute
Так что пользуйтесь! Если есть предложения/претензии - welcome в личку=)