BLOG

Enumerar archivos con Python

Es común que en una auditoria web se necesite enumerar archivos, ya sea que se busquen archivos ocultos, respaldos o alguna otra información que no debería estar publicada (o se desea descubrir archivos).

Una de las formas más fáciles y comunes de hacer eso es usando Burp (https://portswigger.net/burp/), personalmente creo es una herramienta muy buena y da mucha información que permite obtener información. Hay un detalle, para sacar verdadero provecho de la herramienta se tiene que tener la versión Pro. No es caro pero a veces no es posible tenerla. En este post explicaré como enumerar archivos usando Python (un script hecho a la medida y una herramienta gratuita escrita en Python).

Lo primero que necesitamos es hacer un diccionario. Pensar bien este paso es la diferencia entre tener un ataque exitoso o no. Usaremos fuzzdb (https://github.com/fuzzdb-project/fuzzdb) para ayudarnos a crear el diccionario.

Necesitamos elegir que archivos vamos a buscar, en este caso nos enfocaremos a archivos de respaldo.
Supongamos que estamos atacando una servidor con varias aplicaciones web entonces nuestro diccionario final debe de consistir en:
/Aplicaciones/ + archivos + extensiones

Una vez tenemos los 3 archivos de texto (1,2,3) usaremos un script en Python muy sencillo para juntar crear un archivo con las posibles combinaciones. El script se encuentra aquí:


Una vez que ejecutemos el script nos creará “final.dic” el cual será nuestro diccionario para realizar el ataque.

La herramienta que usaremos para enumerar archivos (hacer las peticiones http) es dirs3arch (https://github.com/maurosoria/dirs3arch) . Su uso es sencillo, y en este caso necesitamos algo muy básico por lo cual el comando a usar será:

python3 dirs3arch –u <victima> -e “” –w final.dic
-u URL de la victima
-e extensión (no pondremos nada ya que el diccionario las incluye, pero el script requiere que se ponga el parámetro)
-w diccionario

Ya con eso iniciará el ataque, los código 200 son los que nos interesan. 403 también nos puede llamar la atención.

TAGS > , , ,

Sorry, the comment form is closed at this time.