[웹 취약점] 웹서버 디렉토리 bruteforcing 공격 툴

# 디렉토리 검색 툴

1. DIRB
2. DirBuster
3. wfuzz
4. metasploit
5. dirsearch
6. Powerfuzzer

개인적으로 dirb 과 Powerfuzzer 를 즐겨쓴다.  사용하기 쉽기 때문이다.

dirb http://192.168.1.5/dvwa

• -X 옵션 으로 php, jsp, html 등 확장자를 지정 할 수 있다.

dirb http://192.168.1.5/dvwa /usr/share/wordlists/dir/common.txt

• 칼리에는 다양한 공격 사전이 준비되 있으므로 적절하게 이용할 수 있다. 

참고

root@kali:~# gendict
Usage: gendict -type pattern
  type: -n numeric [0-9]
        -c character [a-z]
        -C uppercase character [A-Z]
        -h hexa [0-f]
        -a alfanumeric [0-9a-z]
        -s case sensitive alfanumeric [0-9a-zA-Z]
  pattern: Must be an ascii string in which every 'X' character wildcard
           will be replaced with the incremental value.

Example: gendict -n thisword_X
  thisword_0
  thisword_1
  [...]
  thisword_9

사전을 필요한 형태로 만들어 사용할 수도 있다.

참고

• http://www.hackingarticles.in/5-ways-directory-bruteforcing-web-server/
• https://tools.kali.org/web-applications/dirb