Пентест для начинающих: Листы для сканирования путей

Когда речь заходит о тестировании веб-приложений "черным ящиком", одно из основных действий - перебор возможных путей для поиска новых точек входа и "забытых" данных. То есть, берется какой-либо список популярных названий директорий (вроде /uploads/) и файлов (data.txt, file.php и т.п.) и осуществляется последовательный перебор. Техника известная, старая как мир, под нее существует множество утилит, множество публичных списков. Из наиболее популярных можно отметить следующие утилиты:

• dirb (http://dirb.sourceforge.net/)
• wfuzz (https://github.com/xmendez/wfuzz)
• DirBuster (https://sourceforge.net/projects/dirbuster/)
• nikto (https://github.com/sullo/nikto)
• dirsearch (https://github.com/maurosoria/dirsearch)
• nmap (модуль http-enum) (https://nmap.org)
• Metasploit Framework (модули dir_scanner, files_dir) (https://www.metasploit.com/)
• Burp Suite (с помощью Intruder) (https://portswigger.net/burp)

Тысячи их.
Лично я предпочитаю wfuzz (быстро работает, удобная фильтрация ответов веб-сервера по нескольким критериям), либо Burp Suite.

Популярных списков для перебора не меньше, чем утилит, так как каждая зачастую идет с каким-либо списком по умолчанию. Из сторонних можно отметить:

• SecLists (раздел Discovery -> Web-Content) (https://github.com/danielmiessler/SecLists)
• PayloadsAllTheThings (немного и раскидано по файлам) (https://github.com/swisskyrepo/PayloadsAllTheThings)
• FuzzDB (раздел discovery -> predictable-filepaths) (https://github.com/fuzzdb-project/fuzzdb)

Практически каждый пентестер составляет и поддерживает свой подобный список, и не один, а множество: наиболее полный, наиболее продуктивный и краткий (по аналогии с идеей top1000 открытых портов в nmap), бесконечное количество под конкретные веб-технологии, фреймворки и CMS.

Я тоже потратил некоторое время на составление подобных листов и хотел бы ими поделиться, причем не общими, а под некоторые известные веб-интерфейсы управления БД (вроде phpMyAdmin) и менеджеры файлов (даже не знаю, какой пример привести, чтобы действительно известный). Как показывает практика, многие пренебрегают такими специализированными листами.

Списки сделал под следующие продукты:

• phpMyAdmin (https://github.com/phpmyadmin)
• Adminer (https://github.com/vrana/adminer)
• PHP Mini SQL Admin (https://sourceforge.net/projects/phpminiadmin/)
• Sypex Dumper (https://sypex.net)
• phpFileManager (https://www.dulldusk.com/phpfm)
• tinyfilemanager (https://github.com/prasathmani/tinyfilemanager)
• extplorer (https://extplorer.net/)
• FileRun (http://www.filerun.com/)
• Encode Explorer (https://sourceforge.net/projects/encode-explorer/)
• phpLiteAdmin (https://www.phpliteadmin.org/)

Списки загрузил на Github, чтобы было проще поддерживать и вдруг у кого-нибудь возникнет желание дополнить.
Ссылка на репозиторий: https://github.com/kaimi-io/web-fuzz-wordlists