Principaux enseignements
- Le Directory bursting est une technique essentielle du hacking éthique pour découvrir des répertoires et des fichiers cachés sur un serveur web ou une application.
- Linux propose plusieurs outils pour l’éclatement de répertoires, tels que DIRB, DirBuster, Gobuster, ffuf et dirsearch.
- Ces outils automatisent le processus d’envoi de requêtes HTTP à un serveur web et devinent les noms de répertoires pour trouver des ressources qui ne sont pas annoncées dans la navigation ou le plan du site web.
Dans la phase de reconnaissance de chaque pentest d’application web, il est essentiel de trouver les répertoires possibles sur l’application. Ces répertoires peuvent contenir des informations significatives et des découvertes qui vous aideront grandement à trouver des vulnérabilités dans l’application et à améliorer sa sécurité.
Heureusement, il existe des outils sur Internet qui rendent le forçage brutal de répertoires plus facile, automatisé et rapide. Voici cinq outils de forçage de répertoires sous Linux pour énumérer les répertoires cachés d’une application web.
Qu’est-ce que le Directory Bursting ?
Le Directory Bursting, également connu sous le nom de « directory brute forcing », est une technique utilisée dans le piratage éthique pour découvrir des répertoires et des fichiers cachés sur un serveur web ou une application. Elle consiste à tenter systématiquement d’accéder à différents répertoires en devinant leurs noms ou en énumérant une liste de répertoires et de noms de fichiers courants.
Le processus d’éclatement des répertoires implique généralement l’utilisation d’outils automatisés ou de scripts qui envoient des requêtes HTTP à un serveur web, en essayant différents répertoires et noms de fichiers pour trouver des ressources qui ne sont pas explicitement liées ou annoncées dans la navigation du site web ou dans le plan du site.
Il existe des centaines d’outils gratuits disponibles sur l’internet pour effectuer du « directory bursting ». Voici quelques outils gratuits que vous pouvez utiliser lors de votre prochain test de pénétration :
1. DIRB
DIRB est un outil de ligne de commande Linux populaire utilisé pour analyser et forcer les répertoires des applications web. Il énumère les répertoires possibles à partir d’une liste de mots par rapport à l’URL d’un site web.
DIRB est déjà installé sur Kali Linux. Cependant, si vous ne l’avez pas installé, il n’y a pas lieu de s’inquiéter. Il suffit d’une simple commande pour l’installer.
Pour les distributions basées sur Debian, exécutez :
sudo apt install dirb
Pour les distributions Linux non Debian comme Fedora et CentOS, exécutez :
sudo dnf install dirb
Sur Arch Linux, exécutez :
yay -S dirb
Comment utiliser DIRB pour forcer les répertoires
La syntaxe pour effectuer un forçage brutal de répertoire sur une application web est la suivante :
dirb (url) (path to wordlist)
Par exemple, si vous deviez forcer brutalement https://example.com, la commande serait la suivante :
dirb https://example.com wordlist.txt
Vous pouvez également exécuter la commande sans spécifier de liste de mots. DIRB utilisera alors son fichier de liste de mots par défaut, common.txtpour analyser le site web.
dirb https://example.com
2. DirBuster
DirBuster est très similaire à DIRB. La principale différence est que DirBuster possède une interface utilisateur graphique (GUI) contrairement à DIRB qui est un outil en ligne de commande. DIRB vous permet de configurer l’analyse brute des répertoires à votre goût et de filtrer les résultats par code d’état et d’autres paramètres intéressants.
Vous pouvez également définir le nombre de threads déterminant la vitesse à laquelle vous souhaitez que les analyses s’exécutent, et les extensions de fichiers spécifiques que vous souhaitez que l’application recherche pour vous.
Tout ce que vous avez à faire est d’entrer l’URL cible que vous voulez analyser, la liste de mots que vous voulez utiliser, les extensions de fichiers, et le nombre de threads (optionnel), puis cliquez sur Démarrer.
Au fur et à mesure que l’analyse progresse, DirBuster affiche les répertoires et fichiers découverts dans l’interface. Vous pouvez voir l’état de chaque requête (par exemple, 200 OK, 404 Non trouvé) et le chemin des éléments découverts. Vous pouvez également enregistrer les résultats de l’analyse dans un fichier pour une analyse plus approfondie. Cela vous aidera à documenter vos découvertes.
DirBuster est installé sur Kali Linux, mais vous pouvez facilement l’installer sur Ubuntu.
3. Gobuster
Gobuster est un outil en ligne de commande écrit en Go utilisé pour forcer des répertoires et des fichiers dans des sites web, des buckets Amazon S3 ouverts, des sous-domaines DNS, des noms d’hôtes virtuels sur des serveurs web cibles, des serveurs TFTP, etc.
Pour installer Gobuster sur les distributions Debian de Linux comme Kali, exécutez :
sudo apt install gobuster
Pour les distributions Linux de la famille RHEL, exécutez ;
sudo dnf install gobuster
Sur Arch Linux, exécutez :
yay -S gobuster
Alternativement, si vous avez installé Go, exécutez :
go install github.com/OJ/gobuster/v3@latest
Comment utiliser Gobuster
La syntaxe pour utiliser Gobuster pour forcer les répertoires dans les applications web est la suivante :
gobuster dir -u (url) -w (path to wordlist)
Par exemple, si vous voulez forcer les répertoires sur https://example.com, la commande ressemblerait à ceci :
gobuster dir -u https://example.com -w /usr.share/wordlist/wordlist.txt
4. ffuf
ffuf est un fuzzer web très rapide et un outil de forçage brutal de répertoire écrit en Go. Il est très polyvalent et particulièrement connu pour sa vitesse et sa facilité d’utilisation.
Comme ffuf est écrit en Go, vous devez avoir Go 1.16 ou plus installé sur votre PC Linux. Vérifiez votre version de Go avec cette commande :
go version
Pour installer ffuf, exécutez cette commande :
go install github.com/ffuf/ffuf/v2@latest
Ou vous pouvez cloner le dépôt github et le compiler en utilisant cette commande :
git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build
Comment utiliser ffuf pour bruteforcer les répertoires
La syntaxe de base pour le forçage brutal de répertoires avec ffuf est la suivante :
ffuf -u (URL/FUZZ) -w (path to wordlist)
Par exemple, pour analyser https://example.com, la commande serait la suivante :
ffuf -u https://example.com/FUZZ -w wordlist.txt
5. recherche directe
dirsearch est un autre outil de ligne de commande à forçage brutal utilisé pour énumérer les répertoires d’une application web. Il est particulièrement apprécié en raison de son résultat coloré malgré le fait qu’il s’agisse d’une application basée sur un terminal.
Vous pouvez installer dirsearch via pip en exécutant :
pip install dirsearch
Ou, vous pouvez cloner le dépôt GitHub en exécutant :
git clone https://github.com/maurosoria/dirsearch.git --depth 1
Comment utiliser dirsearch pour Bruteforce les répertoires
La syntaxe de base pour utiliser dirsearch pour forcer les répertoires est la suivante :
dirsearch -u (URL)
Pour forcer les répertoires sur https://example.com, tout ce que vous avez à faire est :
dirsearch -u https://example.com
Il ne fait aucun doute que ces outils vous feront gagner beaucoup de temps que vous auriez passé à essayer de deviner ces répertoires manuellement. Dans le domaine de la cybersécurité, le temps est un atout majeur, c’est pourquoi tous les professionnels utilisent des outils open-source qui leur permettent d’optimiser leurs processus quotidiens.
Il existe des milliers d’outils gratuits, notamment sous Linux, pour rendre votre travail plus efficace. Il vous suffit d’explorer et de choisir ce qui vous convient le mieux !