Gobuster ile Dizin ve Dosya Keşfi

Konu: Metodoloji · Belirli bir platform/odaya değil, genel yaklaşıma odaklıdır. Bir web sunucusunun sadece görünen sayfalarıyla sınırlı kalmak, CTF'lerde ve gerçek sızma testlerinde en sık yapılan hatalardan biridir. Dizin ve dosya keşfi (directory/file enumeration), görünmeyen admin panellerini, yedek dosyalarını ve unutulmuş endpoint'leri ortaya çıkarır. ■ 1. Temel Gobuster Kullanımı gobuster dir -u http://<hedef> -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt - dir: dizin/dosya modu - -u: hedef URL - -w: kullanılacak kelime listesi (wordlist) ■ 2. Dosya Uzantılarını Dahil Etme Bazı dosyalar (yedekler, config dosyaları) belirli uzantılarla saklanır: gobuster dir -u http://<hedef> -w wordlist.txt -x php,txt,bak,zip Bu, admin.php.bak gibi unutulmuş yedek dosyalarını da tarama kapsamına alır — bu tür dosyalar genellikle kaynak kodu açığa çıkarabilir. ■ 3. Alt Domain Keşfi Aynı araç, subdomain keşfi için de kullanılabilir: gobuster vhost -u http://hedef.com -w subdomain-list.txt ■ 4. Yanıt Kodlarına Göre Filtreleme Bazen 403 (yasak) veya 500 (sunucu hatası) gibi kodlar da değerli bilgi taşır — bunları gizlemek yerine görmek isteyebilirsin: gobuster dir -u http://<hedef> -w wordlist.txt -b "" -b "" (boş liste), varsayılan olarak gizlenen 404 dışında hiçbir kodu filtrelemez. ■ 5. Alternatif Araçlar - ffuf: Daha modern, çok hızlı, esnek filtreleme seçenekleri sunar. - dirb: Gobuster'dan önce yaygın kullanılan, daha yavaş ama güvenilir bir alternatif. - feroxbuster: Recursive (iç içe) tarama konusunda güçlü, Rust ile yazılmış. ■ 6. Kelime Listesi Seçimi Neden Önemli? Yanlış kelime listesi kullanmak, gerçek bir endpoint'i tamamen kaçırmana neden olabilir. SecLists projesi (/usr/share/seclists/ altında Kali'de hazır gelir), farklı senaryolar için binlerce özelleştirilmiş liste sunar — genel amaçlı taramalar için raft-medium-directories.txt iyi bir başlangıç noktasıdır. ■ Öğrenilen Dersler - Görünen sayfalar, bir web uygulamasının sadece "buzdağının görünen kısmı"dır. - Yedek dosyalar (.bak, .old, .zip) ciddi bilgi sızıntısı kaynağı olabilir — üretim ortamlarında asla web kök dizininde bırakılmamalı. - Dizin keşfi, saldırı yüzeyini (attack surface) haritalamanın en temel adımlarından biridir.