srcmini本文概述
DirBuster是一个多线程Java应用程序, 旨在暴力破解Web /应用程序服务器上的目录和文件名。现在, 在默认安装状态下看起来像Web服务器的情况经常不是这样, 实际上隐藏了页面和应用程序。 DirBuster尝试找到这些。 DirBuster在Web服务器上搜索隐藏的页面和目录。有时, 开发人员会将页面保留为可访问但未链接的页面。 DirBuster旨在发现这些潜在漏洞。这是OWASP开发的Java应用程序。
对于开发人员, DirBuster可以通过在Web服务器上或应用程序内查找不需要(或什至不应该公开)的内容, 或者通过简单地不链接到开发人员来帮助你了解该问题, 从而帮助你提高应用程序的安全性页面并不意味着它不能被访问。在本文中, 你将学习如何在网站中执行暴力扫描, 以查找(可能是隐藏的)目录和文件。
1.启动DirBuster
你可以通过两种不同的方式启动DirBuster应用程序：
A.从dirbuster图标开始
只需搜索并在Kali Linux的搜索菜单中键入DirBuster, 在应用程序列表中应出现dirbuster应用程序：
单击该图标, 该应用程序将启动。
B.从终端开始
或者, 你可以通过输入以下命令在终端上启动DirBuster：
dirbusterDirBuster应该开始：
如你所见, 使用上述任何一种方法, 你都应该看到一个用户界面, 该界面允许你从端口80中的Web URL列出文件和目录。
2.设置目标URL和线程数
显然, 你将需要提供要从中获取更多信息的网站的URL或IP地址, 该URL需要指定要在其中指定扫描的端口。端口80是万维网(www)系统使用的主要端口。 Web服务器打开此端口, 然后侦听来自Web浏览器的传入连接。类似地, 当为Web浏览器提供远程地址(例如ourcodeworld.com或docs.ourcodeworld.com)时, 它假定远程Web服务器将侦听该位置上端口80上的连接。要在网址中指定端口80, 你只需添加”双点和网址末尾的端口号”即可, 例如http://ourcodeworld.com:80。
用于执行暴力破解的线程数完全取决于计算机的硬件。在此示例中, 我们将仅使用20个线程, 因为我们的计算机并不那么强大, 并且我们希望在DirBuster扫描期间执行其他操作：
3.选择可能的目录和文件列表
如前所述, DirBuster需要单词列表来开始暴力扫描。但是不用担心, 你不需要自己创建列表, 也不必在Internet上搜索列表, 因为DirBuster已经有几个重要且有用的列表可用于攻击。只需单击浏览器按钮, 然后选择要用于暴力扫描的单词列表文件(通常位于/ usr / share / dirbuster / wordlists)：
在这种情况下, 我们将使用directory-list-2.3-medium.txt文件。
注意
如果仅提供的DirBuster词典不足以满足你的要求, 则可以在Google中搜索更多内容(在此存储库中, 你还会找到一些有用的列表)。
4.开始暴力扫描
要在网站上开始扫描, 只需在GUI中按开始按钮。在此步骤中, DirBuster将尝试在Providen URL中查找隐藏的页面/目录和目录, 从而给出另一个攻击媒介(例如, 查找未链接到管理页面)。
注意
你可以更改扫描期间要使用的线程数, 这样可以根据计算机显示的性能来加快此过程。在这种情况下, 最初有20个线程, 但我们将其修改为现在使用30个线程。
5.生成报告(可选)
扫描完成(或停止扫描)后, 将启用”报告”按钮(在扫描运行时禁用)。在报告窗口中, 你可以将找到的目录和文件的扫描URL导出为不同的格式, 如纯文本, xml或csv。只需填写表格, 然后单击生成报告：
例如, 你可以使用此列表用Python或你喜欢的另一种语言编写某种刮板, 然后下载扫描的网站的所有可用网页(只要状态码为200)。
信息收集愉快！
评论前必须登录！
注册