A continuación se os proporcionara un listado de extensiones comunes para investigar en una web.
Script: <- Listado de extensiones comunes.
html
php
xml
json
css
js
txt
md
pdf
zip
rar
bak
old
jpg
jpeg
png
gif
db
sql
log
A continuación se os proporcionara un listado de diccionarios recomendados para implementarlo en vuestras herramientas.
Script: <- Diccionario de subdominios.
/usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-110000.txt
Script: <- Diccionario Fasttrack.
/usr/share/wordlists/fasttrack.txt
Script: <- Diccionario Common.
/usr/share/seclists/Discovery/Web-Content/common.txt
Script: <- Diccionario Big.
/usr/share/wordlists/seclists/Discovery/Web-Content/big.txt
Script: <- Diccionario Directory List 2.3 (Small).
/usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-small.txt
Script: <- Diccionario Directory List 2.3 (Medium).
/usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt
Script: <- Diccionario Directory List 2.3 (Big).
/usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-big.txt
Script: <- Diccionario de nombres de parámetros.
/usr/share/wordlists/seclists/Discovery/Web-Content/burp-parameter-names.txt
Dirb es un escáner de contenido web, también conocido como una herramienta de fuerza bruta para el descubrimiento de ficheros y directorios existentes en un portal web.
Script: Buscamos directorios visibles dentro de la web.
dirb http://example.com -w -N 404
Script: Buscamos extensiones visibles dentro de la web.
dirb http://example.com -w -N 404 -X .html,.php,.xml,.json,.css,.js,.txt,.md,.pdf,.zip,.rar,.bak,.old,.jpg,.jpeg,.png,.gif,.db,.sql,.log
Script: <- Extensiones recomendadas para Dirb.
.html,.php,.xml,.json,.css,.js,.txt,.md,.pdf,.zip,.rar,.bak,.old,.jpg,.jpeg,.png,.gif,.db,.sql,.log
Dirbuster es una aplicación multi-hilo desarrollada en java diseñada para ataques con diccionarios y nombres de archivos en servidores web/aplicación. A veces es la situación que parece una instalación por defecto de un servidor, donde es lo opuesto; y contiene páginas y aplicaciones ocultas.
La aplicación la podemos abrir directamente del gestor de aplicaciones o desde terminal poniendo:
Script: Abrimos la herramienta.
dirbuster
Script: <- Extensiones recomendadas para Dirbuster.
html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log
Gobuster es una herramienta de enumeración de directorios y subdominios altamente personalizable. Destaca por su capacidad de descubrir directorios y archivos ocultos en aplicaciones web. Es ampliamente utilizado en pruebas de penetración y evaluaciones de seguridad web debido a su velocidad y precisión.
Script: Buscamos directorios visibles dentro de la web.
gobuster dir -r -k -t 200 --no-error -b 404 -w <Diccionario> -u http://example.com
Script: Buscamos directorios visibles dentro de la web.
gobuster dir -r -k -t 200 --no-error -b 404 -x html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log -w <Diccionario> -u http://example.com
Script: <- Buscamos Subdominios virtuales. Recordamos no poner en la URL el “www” ya que no podrá buscar subdominios de forma eficaz.
gobuster vhost -t 200 --no-error --append-domain -w <Diccionario> -u example.com | grep -vE "400|403|404|500|503"
Script: <- Extensiones recomendadas para Gobuster.
html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log
Feroxbuster es una herramienta diseñada para realizar Forced Browsing y utiliza la fuerza bruta combinada con una lista de palabras para buscar contenido no vinculado en los directorios de destino. Estos recursos pueden almacenar información sensible sobre aplicaciones web y sistemas operativos, como el código fuente, las credenciales, el direccionamiento de la red interna, etc.
Script: Buscamos directorios visibles dentro de la web.
feroxbuster -t 200 -k -r -C 404 --scan-dir-listings --dont-filter -u http://example.com
Script: Buscamos directorios visibles dentro de la web.
feroxbuster -t 200 -k -r -C 404 --scan-dir-listings --dont-filter -x html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log -u http://example.com
Script: Buscamos directorios visibles dentro de la web.
feroxbuster -t 200 -k -r -C 404 --scan-dir-listings --dont-filter -w <Diccionario> -u http://example.com
Script: Buscamos directorios visibles dentro de la web.
feroxbuster -t 200 -k -r -C 404 --scan-dir-listings --dont-filter -x html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log -w <Diccionario> -u http://example.com
Script: No buscaremos de manera recursiva.
--no-recursion
Script: <- Extensiones recomendadas para Feroxbuster.
html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log
Dirsearch es un escáner de directorios para aplicaciones web (diseñado en Python), que ayudara a un hacker ético a buscar información de un sitio web, haciendo fuerza bruta sobre la estructura del mismo (directorios y archivos).
Script: Buscamos directorios visibles dentro de la web.
dirsearch -t 200 --deep-recursive --crawl --full-url --redirects-history -x 404 -u http://example.com 2>/dev/null
Script: Buscamos directorios visibles dentro de la web.
dirsearch -t 200 --deep-recursive --crawl --full-url --redirects-history -x 404 -e html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log -u http://example.com 2>/dev/null
Script: Buscamos directorios visibles dentro de la web.
dirsearch -t 200 --deep-recursive --crawl --full-url --redirects-history -x 404 -w <Diccionario> -u http://example.com 2>/dev/null
Script: Buscamos directorios visibles dentro de la web.
dirsearch -t 200 --deep-recursive --crawl --full-url --redirects-history -x 404 -e html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log -w <Diccionario> -u http://example.com 2>/dev/null
Script: <- Extensiones recomendadas para Dirsearch.
html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log
WFuzz es una herramienta de fuerza bruta web altamente versátil y personalizable. Destaca por su capacidad para realizar ataques de fuerza bruta en parámetros y rutas de URL en aplicaciones web. Es conocido por su amplio soporte de protocolos y su capacidad para manejar diversas formas de ataques y personalizaciones.
Script: Buscamos directorios visibles dentro de la web.
wfuzz -c -t 200 -L --hc 404 -w <Diccionario> -u http://example.com/FUZZ
Script: Buscamos directorios visibles dentro de la web.
wfuzz -c -t 200 -L --hc 404 -w <Diccionario> -z list,html-php-xml-json-css-js-txt-md-pdf-zip-rar-bak-old-jpg-jpeg-png-gif-db-sql-log -u http://example.com/FUZZ.FUZ2Z
Script: <- Buscamos Subdominios validos en la web.
wfuzz -c -t 200 --hc 404 -w <Diccionario> -H "Host: FUZZ.example.com" -u http://example.com
Script: <- Extensiones recomendadas para Wfuzz.
html-php-xml-json-css-js-txt-md-pdf-zip-rar-bak-old-jpg-jpeg-png-gif-db-sql-log
Ffuf es un web fuzzer que prueba diferentes combinaciones de direcciones URL de un dominio para identificar qué rutas están activas y cuáles no.
Script: <- Buscamos directorios visibles dentro de la web.
ffuf -c -t 200 -r -fc 404 -w <Diccionario> -u "http://example.com/FUZZ"
Script: <- Buscamos directorios visibles dentro de la web.
ffuf -c -t 200 -r -fc 404 -e .html,.php,.xml,.json,.css,.js,.txt,.md,.pdf,.zip,.rar,.bak,.old,.jpg,.jpeg,.png,.gif,.db,.sql,.log -w <Diccionario> -u "http://example.com/FUZZ"
Script: <- Buscamos Subdominios virtuales.
ffuf -c -t 200 -r -fc 404 -w <Diccionario> -H "Host: FUZZ.example.com" -u http://example.com
Script: <- Extensiones recomendadas para Ffuf.
.html,.php,.xml,.json,.css,.js,.txt,.md,.pdf,.zip,.rar,.bak,.old,.jpg,.jpeg,.png,.gif,.db,.sql,.log
OWASP ZAP es un escáner de seguridad web de código abierto. Pretende ser utilizado como una aplicación de seguridad y como una herramienta profesional para pruebas de penetración. Es uno de los proyectos más activos de OWASP. y se le ha dado un estatus de desarrollo insignia.
Script: <- Extensiones recomendadas para ZAP.
html,php,xml,json,css,js,txt,md,pdf,zip,rar,bak,old,jpg,jpeg,png,gif,db,sql,log
Los conceptos de como realizar la Enumeración Web con ZAP se verán en las clases del Master.
Siempre valida legalmente tu autorización antes de realizar estas pruebas.
Usa diccionarios personalizados si sabes datos del entorno.
Nunca ejecutes exploits en producción sin un entorno controlado.
Documenta todo: IPs, usuarios válidos, resultados de escaneos.
Practica diariamente tus habilidades de Pentesting con maquinas CTF.
Utiliza los diferentes navegadores para investigar nuevos servicios.