Gobuster

RESUMEN

Gobuster fuerza por diccionario tres cosas: rutas y archivos en un servidor web (modo dir), nombres de host virtual sobre una misma IP (modo vhost) y subdominios por resolución DNS (modo dns). Es rápido porque está escrito en Go y paraleliza peticiones.

No interpreta la aplicación como lo haría Burp: solo lanza el diccionario y reporta qué respuestas se salen del patrón esperado (por código de estado o tamaño), así que el filtrado de falsos positivos queda en manos del analista.

CASOS DE USO

Casos de uso en un engagement

• 01

  Encontrar paneles de administración o endpoints no enlazados desde la web pública.

• 02

  Confirmar vhosts adicionales servidos por la misma IP que el objetivo principal.

• 03

  Complementar el descubrimiento pasivo de subdominios con fuerza bruta DNS activa.

• 04

  Detectar backups, archivos de configuración o rutas de desarrollo olvidadas.

PRIMEROS PASOS

Con un host web ya confirmado, para sacar rutas, vhosts o subdominios que el mapeo pasivo no cubrió.

1. Elige un diccionario acorde al tipo de aplicación (genérico, CMS-específico, extensiones).
2. Corre primero una petición baseline manual para conocer el comportamiento de 404 real.
3. Lanza el modo dir contra el host confirmado con un número de hilos razonable.
4. Filtra por código de estado y tamaño de respuesta antes de dar nada por válido.

root@itspentest:~# gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/common.txt -t 30

ANTES DE USARLA

Qué revisar antes de lanzarla