5 เครื่องมือ Linux ที่ดีที่สุดสำหรับ Directory Bursting

ประเด็นที่สำคัญ

Directory brute-forcing หรือที่เรียกว่าการทำรายชื่อไดเรกทอรีเป็นวิธีการสำคัญที่แฮ็กเกอร์หมวกขาวใช้ในระหว่างการทดสอบการเจาะระบบเพื่อเปิดเผยไดเรกทอรีและข้อมูลที่ถูกปกปิดภายในเว็บเซิร์ฟเวอร์หรือแพลตฟอร์มซอฟต์แวร์

Linux มีเครื่องมือที่มีประสิทธิภาพหลากหลายซึ่งออกแบบมาเพื่ออำนวยความสะดวกในการกระจายไดเร็กทอรี รวมถึง DIRB, DirBuster, Gobuster, ffuf และ dirsearch โปรแกรมอรรถประโยชน์เหล่านี้นำเสนอวิธีที่มีประสิทธิภาพในการตรวจจับและใช้ประโยชน์จากไดเร็กทอรีที่เสี่ยงต่อการโจมตีแบบเดรัจฉาน

เครื่องมือดังกล่าวปรับปรุงกระบวนการส่งความต้องการ HTTP ไปยังบริการเว็บโฮสติ้งและพยายามอนุมานโครงสร้างโฟลเดอร์ที่ไม่ได้เผยแพร่เพื่อค้นหาเนื้อหาที่ไม่ได้แสดงอย่างชัดเจนภายในองค์ประกอบการนำทางหรือแผนผังไซต์ของไซต์

เพื่อให้ดำเนินการทดสอบการเจาะระบบสำหรับเว็บแอปพลิเคชันได้อย่างมีประสิทธิภาพ ในช่วงแรกเริ่มต้นจำเป็นต้องระบุไดเร็กทอรีที่เป็นไปได้ภายในระบบ ไดเร็กทอรีดังกล่าวอาจมีข้อมูลที่มีค่าและข้อมูลเชิงลึกที่สามารถช่วยในการเปิดเผยช่องโหว่ภายในแอปพลิเคชันและปรับปรุงมาตรการรักษาความปลอดภัยโดยรวมในท้ายที่สุด

โชคดีที่มีแหล่งข้อมูลออนไลน์มากมายที่อำนวยความสะดวกในกระบวนการบังคับเดรัจฉานไดเรกทอรีโดยการทำให้เป็นอัตโนมัติและเร่งดำเนินการ ด้านล่างนี้เป็นการแจกแจงเครื่องมือบน Linux ห้ารายการที่ออกแบบมาสำหรับการระบุไดเร็กทอรีที่ซ่อนอยู่ภายในโครงสร้างพื้นฐานของเว็บแอปพลิเคชัน

Directory Bursting คืออะไร?

Directory Bursting หรือที่เรียกว่า “Brute Force Attack” เป็นวิธีการที่ใช้ในขั้นตอนการแฮ็กอย่างมีจริยธรรมเพื่อเปิดเผยไดเร็กทอรีและไฟล์ที่ซ่อนอยู่บนเว็บเซิร์ฟเวอร์หรือแพลตฟอร์มซอฟต์แวร์ วิธีการนี้นำมาซึ่งความพยายามอย่างเป็นระบบในการเข้าถึงไดเร็กทอรีต่างๆ โดยวิธีการอนุมานการกำหนดหรือสำรวจแค็ตตาล็อกของชื่อไดเร็กทอรีและชื่อไฟล์ทั่วไป

การดำเนินการของไดเร็กทอรีระเบิดโดยทั่วไปต้องใช้ซอฟต์แวร์อัตโนมัติหรือโปรแกรมสคริปต์ซึ่งส่งการสอบถาม HTTP ไปยังเว็บเซิร์ฟเวอร์โดยการตรวจสอบไดเร็กทอรีและชื่อไฟล์ต่างๆ เพื่อค้นหาไฟล์ที่ไม่ได้รับการอ้างอิงหรือจัดทำดัชนีอย่างชัดเจนภายในโครงสร้างการนำทางหรือแผนผังไซต์ของไซต์

แหล่งข้อมูลออนไลน์หลายแห่งเสนอตัวเลือกมากมายสำหรับการดำเนินการขยายไดเร็กทอรีโดยไม่มีค่าใช้จ่าย เครื่องมือที่แนะนำบางอย่างที่อาจใช้ในระหว่างความพยายามในการทดสอบการเจาะในอนาคต ได้แก่:

DIRB

DIBR เป็นยูทิลิตี้ Linux ที่ได้รับความนิยมซึ่งใช้ผ่านบรรทัดคำสั่ง ซึ่งช่วยให้สามารถสแกนและตรวจสอบไดเร็กทอรีภายในเว็บแอปพลิเคชันได้อย่างมีประสิทธิภาพ ด้วยการใช้รายการคำที่กำหนดไว้ล่วงหน้า ระบบจะระบุอินสแตนซ์ไดเรกทอรีที่เป็นไปได้ที่เกี่ยวข้องกับตัวระบุตำแหน่งทรัพยากร (URL) ของเว็บไซต์ที่ระบุอย่างเป็นระบบ

Kali Linux มี DIRB ที่ติดตั้งไว้ล่วงหน้า อย่างไรก็ตาม ในกรณีที่ไม่มี ให้วางใจได้ว่าการได้มานั้นเป็นกระบวนการที่ง่ายดาย เพียงดำเนินการคำสั่งที่ตรงไปตรงมาเพื่อติดตั้ง

สำหรับการแจกแจงตาม Debian ให้เรียกใช้:

 sudo apt install dirb 

สำหรับลีนุกซ์รุ่นอื่นๆ เช่น Fedora และ CentOS ให้ทำตามขั้นตอนเหล่านี้:

 sudo dnf install dirb 

บน Arch Linux ให้เรียกใช้:

 yay -S dirb 

วิธีใช้ DIRB เพื่อ Bruteforce Directory

กระบวนการใช้เทคนิค brute force เพื่อสำรวจไดเร็กทอรีภายในเว็บแอปพลิเคชันเกี่ยวข้องกับการใช้คำสั่งหรือสคริปต์เฉพาะที่พยายามเข้าถึงเส้นทางไดเร็กทอรีต่างๆ จนกว่าจะพบเส้นทางที่สามารถเข้าถึงได้ วิธีการนี้สามารถดำเนินการโดยอัตโนมัติและดำเนินการจากระยะไกล ทำให้สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนที่จัดเก็บไว้ในไดเร็กทอรีโดยไม่ได้รับอนุญาต สิ่งสำคัญคือต้องทราบว่าการโจมตีประเภทนี้อาจส่งผลร้ายแรง รวมถึงข้อมูลสูญหาย การบุกรุกระบบ และผลกระทบทางกฎหมาย ดังนั้นจึงจำเป็นอย่างยิ่งที่จะต้องใช้มาตรการรักษาความปลอดภัยที่เหมาะสม เช่น ไฟร์วอลล์ ระบบตรวจจับการบุกรุก และโปรโตคอลการตรวจสอบสิทธิ์ที่รัดกุมเพื่อป้องกันการโจมตีประเภทนี้ไม่ให้เกิดขึ้น

 dirb [url] [path to wordlist] 

การสาธิตแนวคิดนี้สามารถสังเกตได้โดยการพยายามเข้าถึง https://example.com โดยใช้คำสั่งต่อไปนี้:

 dirb https://example.com wordlist.txt 

อีกทางหนึ่ง คุณอาจดำเนินการคำสั่งโดยไม่กำหนดรายการคำเฉพาะเจาะจงโดยอาศัยรายการคำเริ่มต้นที่กำหนดไว้ล่วงหน้าของ DIRB คือ “common.txt” เพื่อดำเนินการวิเคราะห์เว็บไซต์เป้าหมาย

 dirb https://example.com 

ไดร์บัสเตอร์

DirBuster และ DIRB เป็นทั้งเครื่องมือที่ใช้สำหรับไดเร็กทอรี bruteforcing โดยมีความแตกต่างบางประการในการทำงาน ในขณะที่ DIRB เป็นเครื่องมือบรรทัดคำสั่งเป็นหลัก DirBuster นำเสนอส่วนต่อประสานกราฟิกกับผู้ใช้ (GUI) ซึ่งช่วยให้ผู้ใช้นำทางผ่านกระบวนการดำเนินการโจมตีไดเร็กทอรี bruteforce ได้ง่ายขึ้น นอกจากนี้ ในขณะที่ DIRB ช่วยให้ผู้ใช้สามารถปรับแต่งลักษณะต่างๆ ของการสแกนได้ เช่น การกรองผลลัพธ์ตามพารามิเตอร์เฉพาะ เช่น รหัสสถานะ DirBuster ขยายความสามารถนี้เพิ่มเติมโดยเสนอชุดตัวเลือกที่ครอบคลุมมากขึ้นสำหรับการปรับแต่งภายใน GUI

คุณมีตัวเลือกในการกำหนดความเร็วในการสแกนที่ต้องการโดยระบุจำนวนเธรด ตลอดจนกำหนดนามสกุลไฟล์เฉพาะที่ควรกำหนดเป้าหมายในกระบวนการค้นหา

เพื่อเริ่มต้นการประเมินที่ครอบคลุมของที่อยู่เว็บที่ระบุโดยใช้เครื่องมือขั้นสูงของเรา โปรดป้อน URL เป้าหมายที่ต้องการ เลือกรายการคำศัพท์ที่คุณต้องการ ระบุนามสกุลไฟล์ที่เกี่ยวข้อง และเลือกกำหนดจำนวนของเธรดที่ทำงานพร้อมกันซึ่งจำเป็นสำหรับประสิทธิภาพสูงสุด เมื่อป้อนพารามิเตอร์ที่จำเป็นทั้งหมดแล้ว ให้คลิกที่ปุ่ม “เริ่ม” เพื่อเริ่มกระบวนการ

เมื่อกระบวนการสแกนเปิดออก DirBuster จะจัดเตรียมอินเทอร์เฟซที่แสดงไดเร็กทอรีและไฟล์ที่ไม่ถูกเปิดเผย ผู้ใช้สามารถรับรู้การจัดการของการสอบถามแต่ละครั้ง (เช่น 200 OK และ 404 Not Found) รวมถึงตำแหน่งขององค์ประกอบที่ตรวจพบ นอกจากนี้ ยังช่วยให้สามารถเก็บรักษาผลการสแกนภายในรายงานได้ อำนวยความสะดวกในการตรวจสอบและจัดทำเอกสารการค้นพบในอนาคต

DirBuster ติดตั้งมาบน Kali Linux แต่คุณสามารถ ติดตั้ง DirBuster บน Ubuntu ได้อย่างง่ายดาย

##โกบัสเตอร์

Gobuster เป็นยูทิลิตี้บรรทัดคำสั่งขั้นสูงที่พัฒนาโดยใช้ภาษาโปรแกรม Go ซึ่งออกแบบมาเพื่อการตรวจสอบเป้าหมายต่างๆ อย่างเป็นระบบ เช่น เว็บไซต์ Open Amazon S3 Buckets โดเมนย่อย DNS ชื่อโฮสต์เสมือนของเว็บเซิร์ฟเวอร์ เซิร์ฟเวอร์ TFTP และอื่นๆ ผ่านกระบวนการที่เรียกว่า ไดเร็กทอรีและไฟล์ bruteforcecing

เพื่อให้ประสบความสำเร็จในการติดตั้ง Gobuster บนระบบปฏิบัติการที่ใช้เดเบียน เช่น Kali Linux ให้รันคำสั่งต่อไปนี้ในเทอร์มินัลหรือคอมมานด์พรอมต์ของคุณ:

 sudo apt install gobuster 

ในการติดตั้งแพ็คเกจบน Red Hat Enterprise Linux (RHEL) รุ่นใดก็ได้ ให้ดำเนินการคำสั่งดังต่อไปนี้:

 sudo dnf install gobuster 

บน Arch Linux ให้เรียกใช้:

 yay -S gobuster 

หรือหากคุณติดตั้ง Go ให้รัน:

 go install github.com/OJ/gobuster/v3@latest 

วิธีใช้ Gobuster

ในการใช้ Gobuster สำหรับการโจมตีผ่านไดเรกทอรีกับเว็บแอปพลิเคชัน เราสามารถปฏิบัติตามไวยากรณ์ที่ให้ไว้ดังที่แสดงด้านล่าง:

 gobuster dir -u [url] -w [path to wordlist] 

ในลักษณะที่ละเอียดยิ่งขึ้น ลองพิจารณาตัวอย่างที่ต้องการบังคับให้เข้าถึงไดเร็กทอรีภายในเว็บไซต์ “ https://example.com ” คำสั่งที่เกี่ยวข้องจะมีลักษณะดังนี้:

 gobuster dir -u https://example.com -w /usr.share/wordlist/wordlist.txt 

ฟู่ฟ่า

Ffuf เป็นเครื่องมือการท่องเว็บและไดเร็กทอรีที่รวดเร็วเป็นพิเศษและเป็นมิตรกับผู้ใช้ ซึ่งพัฒนาโดยใช้ภาษาโปรแกรม Go ความสามารถในการปรับตัวและประสิทธิภาพที่รวดเร็วทำให้ผู้ใช้ได้รับเสียงชื่นชมอย่างมาก

ในการเรียกใช้โปรแกรม “ffuf” ซึ่งได้รับการพัฒนาโดยใช้ภาษาการเขียนโปรแกรม Go จำเป็นอย่างยิ่งที่จะต้องติดตั้ง Go เวอร์ชันที่เข้ากันได้ (เวอร์ชัน 1.16 หรือใหม่กว่า) บนคอมพิวเตอร์ Linux ของคุณ ในการตรวจสอบว่าการติดตั้ง Go ปัจจุบันของคุณตรงตามข้อกำหนดที่กำหนดหรือไม่ คุณอาจใช้คำสั่งต่อไปนี้บนเทอร์มินัลของคุณ:

 go version 

ในการติดตั้ง ffuf ให้รันคำสั่งนี้:

 go install github.com/ffuf/ffuf/v2@latest 

อีกทางหนึ่ง อาจดาวน์โหลดที่เก็บ GitHub และดำเนินการคำสั่งที่จำเป็นเพื่อสร้างมัน ดังนี้:

 git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build 

วิธีใช้ ffuf เพื่อ Bruteforce Directory

โครงสร้างพื้นฐานของไดเร็กทอรี brute-forcing โดยใช้เครื่องมือ ffuf สามารถสรุปได้ดังนี้:

 ffuf -u [URL/FUZZ] -w [path to wordlist] 

ในการประเมินความปลอดภัยบนเว็บไซต์ “ https://example.com ” คุณสามารถใช้คำสั่งต่อไปนี้:

 ffuf -u https://example.com/FUZZ -w wordlist.txt 

##เร่าร้อน

DirSearch เป็นยูทิลิตี้บรรทัดคำสั่งที่มีประสิทธิภาพซึ่งใช้เทคนิคเดรัจฉานในการระบุและแจกแจงไดเร็กทอรีภายในเว็บแอปพลิเคชัน คุณลักษณะที่โดดเด่นประการหนึ่งคือเอาต์พุตที่ดึงดูดสายตา ซึ่งนำเสนอในบริบทของสภาพแวดล้อมที่ใช้เทอร์มินัล

“pip ติดตั้ง DirSearch”

 pip install dirsearch 

หรืออีกทางหนึ่งอาจดาวน์โหลดซอร์สโค้ดของโครงการจากที่เก็บ GitHub ที่เกี่ยวข้องโดยดำเนินการคำสั่งต่อไปนี้ในเทอร์มินัลหรือพรอมต์คำสั่ง:

 git clone https://github.com/maurosoria/dirsearch.git --depth 1 

วิธีใช้ dirsearch กับ Bruteforce Directory

โครงสร้างพื้นฐานสำหรับการใช้ dirsearch เพื่อค้นหาไดเร็กทอรีอย่างจริงจังสามารถแสดงได้ดังนี้:

 dirsearch -u [URL] 

เพื่อให้เข้าถึงไดเร็กทอรีที่โฮสต์บน “ https://example.com โดยไม่ได้รับอนุญาตได้สำเร็จ เราอาจใช้เทคนิคที่เรียกว่า “bruteforcing” สิ่งนี้เกี่ยวข้องกับการพยายามใช้ชื่อผู้ใช้และรหัสผ่านต่างๆ อย่างเป็นระบบจนกว่าจะพบชุดค่าผสมที่ถูกต้องซึ่งให้สิทธิ์การเข้าถึงไปยังไดเร็กทอรีที่ต้องการ โดยทั่วไปแล้ว กระบวนการของ Bruteforcing จะใช้เครื่องมืออัตโนมัติหรือสคริปต์เพื่อเร่งกระบวนการลองผิดลองถูก และเพิ่มโอกาสที่จะประสบความสำเร็จภายในกรอบเวลาที่สั้นลง

 dirsearch -u https://example.com 

ใช้เครื่องมือเพื่อทำให้งานของคุณเป็นแบบอัตโนมัติในความปลอดภัยทางไซเบอร์

ไม่ต้องสงสัย การใช้ทรัพยากรดังกล่าวสามารถประหยัดเวลาได้มาก ซึ่งมิฉะนั้นอาจหมดไปกับการพยายามแยกแยะเส้นทางเหล่านี้ผ่านการคาดเดาด้วยตนเอง ในขอบเขตของการรักษาความปลอดภัยทางไซเบอร์ เวลาถือเป็นสินค้าที่มีค่า และจำเป็นสำหรับมืออาชีพที่จะต้องใช้ประโยชน์จากโซลูชั่นโอเพ่นซอร์สที่มีอยู่ เพื่อปรับปรุงกิจวัตรประจำวันของพวกเขาอย่างมีประสิทธิภาพ

การสำรวจทรัพยากรที่มีอยู่มากมายบน Linux เช่น ยูทิลิตี้ฟรีจำนวนมาก สามารถปรับปรุงประสิทธิภาพการทำงานได้อย่างมาก เพียงแค่อ่านและเลือกรายการที่สอดคล้องกับความชอบส่วนบุคคล ผู้ใช้สามารถเพิ่มประสิทธิภาพเวิร์กโฟลว์ของตนได้