江湖秘笈：Web有隐藏的小秘密？这都不叫事！看DirBuster亲自出马找出它们来！

Hello，亲爱的看官们，大家晚上好，经过两天的艰苦工作，是否稍稍解决一点点节后综合症的困扰了呢？

要知道，今天已经过了周三，再艰苦两天，看官们就又要过周末双休了。因此不要再为节后综合症苦恼了，还是赶快安心的将手头工作做好，然后在奋斗两天继续迎来周末休息吧。

其实，就2 cats大侠我个人而言，时间其实过得很快，眨眼间一天的时间过去了，再眨眼间一个月、半年、一年就这么全都过去了。当自己回过头来时，仔细回想下这一年之中我们做了什么，学了什么，恐怕并非所有看官都能够记得很清楚了吧。

由此，记得当初小顽童主持节目时，为了能够喊出让大家记忆深刻的口号来，已经把俗不可耐的概念发挥到极致，最终诞生了“天天一学习，每天有进步的”话题来。

好啦，简单的一个小回忆，现在回到我们的栏目正题来。

给看官们说了两天的应用程序管理工具，相信对众看官应该帮助不小。今天，我们再次将话题跳转到渗透测试中来。

后台传来一阵幽幽的须臾声（女声）……真是360超级急转弯啊……

这个……咳咳……不管她，我们继续。

专挖Web秘密的工具

说到渗透测试，之前我们也曾一直围绕这话话题进行相关的工具分享、技术解析、案例展示等。甚至有时会结合当时所发生的事件场景进行还原分析，可是那时很多介绍的内容概念还很模糊，并没有为众看官们说明内中性质。

故此有了后来某篇内容中，重新为一部分新人看官介绍什么是渗透测试，什么又是漏洞扫描等。

其实，在渗透测试中，又包含了很多很多的知识和学问。并非以往看官们所认知的就是对某系统应用进行测试攻击验证等手段。

那么，既然2 cats大侠我又无奈的说了一大堆废话，就赶快推出今天的主角吧。

DirBuster，专门探测的工具

它便是DirBuster，基于Owasp开发的一款专门用于探测Web服务器目录和隐藏文件的工具。

Owasp是开放Web软体安全项目-Open Web Application Security Project的缩写，使用Java程序进行编写，因此在使用时电脑中需要装有JDK才能稳定运行。

DirBuster的优点

DirBuster工具与其它同类软件相比，好处在于它可是使用自身存在的字典，也可以支持用户手动设置的字典。

在字典与字典间相互不会存在排异性，同时自身也会基于不同字典习惯产生出新的幻想词。

DirBuster在对Web服务器进行测试时采用的是爆破发现的方式，是一种基于地址、域名或关键词等实现文件或目录特定搜索列表的方式。

DirBuster字典的用法

字典的用法非常简单，不用过多介绍。如果看官是使用自己创建字典，还请记得将关键词以文本形式存放在dictionary.txt内。

举例表示关键词可包含字样：

info；

server-status；

server-info；

cgi-bin；

Robots.txt；

Phpmyadmin；

Admin；

Login；

DirBuster的具体操作

1

上面内容中说过，DirBuster在对Web服务器进行攻击测试时只需要IP地址、域名等信息即可，于是便有了上面这张示范图。

具体操作步骤如下：

1、 URL设置；

2、 线程数设置；

3、 选择爆破字典；

4、 取消选择递归查询；

5、 开始运行。

2

这张图中显示内容为是否拥有隐藏文档，若存在，会在标记处显示数字状态，不同的数字代表着不同的文件使用性质。

3

例如上面这张图，我们在图中看到很多200、500等数字字样，这些便是开启性质的表现方式。

不同数字所代表含义解析：

l 200 OK：表示文件存在且可以访问

l 404 File not found：文件在服务器上不存在

l 301 Moved permanently：这个是跳转到指定 URL

l 401 Unauthorized：访问该文件需要授权

l 403 Forbidden：请求时有效的，但服务器拒绝响应

4

看过命令运行界面后，再给看官们展示一份图形界面的样板吧。

e品江湖

不失初心 不忘初衷

长按扫码 加关注！