DirBuster — это инструмент с открытым исходным кодом для брутфорс-атаки на веб-сервера с целью поиска скрытых директорий и файлов. Он помогает идентифицировать ресурсы, которые не видны через обычное сканирование или ссылками на сайте.
1️⃣ Установка
На Kali Linux или Debian-подобных системах достаточно выполнить команду:
sudo apt-get install dirbuster
2️⃣ Запуск инструмента
dirbuster
В графическом интерфейсе выберите параметры:
➡️ URL сайта, на котором хотите провести брутфорс.
➡️ Словарь — выберите или загрузите словарь для поиска.
➡️ Тип HTTP-метода — обычно это GET, но в некоторых случаях можно использовать POST.
3️⃣Настройка и запуск атаки
DirBuster предоставляет несколько настроек для оптимизации работы:
➡️ Количество потоков — для более быстрой атаки можно увеличить количество потоков.
➡️ Фильтрация по кодам ответа — можно настроить, чтобы исключать коды ответа 200 (OK) для файлов и директорий, которые не имеют интереса.
После настройки запустите процесс, и DirBuster начнёт брутфорсить директории на указанном сайте.
4️⃣ Анализ результатов
После завершения атаки DirBuster покажет список найденных директорий и файлов. Информация будет представлена в виде таблицы, где будут указаны коды ответов и предполагаемые ресурсы. Важно обратить внимание на коды 200 (существующие ресурсы) и 403 (Forbidden), так как эти страницы могут содержать интересную информацию.
🧐 Функции DirBuster
1️⃣ DirBuster использует стандартный HTTP-запрос для взаимодействия с сервером. Он может отправлять запросы GET и POST для поиска ресурсов.
2️⃣ DirBuster является словарь — список директорий и файлов, который будет перебираться. По умолчанию инструмент поставляется с несколькими словарями, но пользователи могут загрузить свои собственные для более точных атак.
3️⃣ DirBuster поддерживает многопоточность, что позволяет ускорить процесс брутфорса. Вы можете настроить количество потоков в зависимости от мощности вашего устройства и пропускной способности сети.
4️⃣ DirBuster анализирует полученные ответы от сервера и фильтрует их, показывая только те, которые могут представлять интерес. Например, если сервер возвращает код состояния 404 (Not Found), то это скорее всего несуществующий ресурс, и его можно игнорировать.