LecturaQué es Gobuster y cómo descubre por fuerza bruta
Qué es Gobuster
Gobuster es una herramienta de consola, gratuita y de código abierto, escrita en el lenguaje Go. Su trabajo es el descubrimiento por fuerza bruta con diccionario: toma una lista de palabras y prueba cada una contra un objetivo para ver cuáles existen. No adivina contraseñas; adivina nombres de rutas, de archivos y de subdominios.
El nombre viene de Go (el lenguaje) y buster, "el que revienta" o "el que fuerza". Go lo hace muy rápido porque lanza muchas peticiones en paralelo. Esa velocidad es su gran ventaja y, a la vez, la razón por la que hay que usarlo con cuidado y solo donde se tiene permiso.
Por qué sirve descubrir contenido
Un sitio web muestra lo que sus enlaces apuntan, pero en el servidor suele haber mucho más: un panel en /admin, una copia en /backup.zip, una carpeta /old de una versión anterior, un /config.php mal protegido. Nadie enlaza esas rutas, pero el servidor las sigue sirviendo si usted las pide por su nombre exacto.
Lo mismo pasa con los nombres: detrás de ejemplo.cr pueden vivir dev.ejemplo.cr, correo.ejemplo.cr o vpn.ejemplo.cr. Descubrirlos da un mapa de la superficie expuesta. Un atacante lo hace para buscar un punto débil; un defensor lo hace para encontrar y cerrar lo que no debería estar expuesto. La técnica es la misma; cambia la autorización y la intención.
Cómo funciona la fuerza bruta con listas
El motor es simple. Usted le da a Gobuster una lista de palabras (un archivo de texto, una palabra por línea) y un objetivo. Gobuster recorre la lista y, por cada palabra, arma una petición y mira la respuesta. Si la respuesta indica que el recurso existe, lo reporta.
La calidad del resultado depende casi por completo de la lista. Una lista corta termina rápido pero encuentra poco; una lista enorme encuentra más pero tarda y hace mucho ruido. Hay colecciones muy conocidas, como SecLists, con listas pensadas para cada caso.
Los tres modos de Gobuster
Gobuster hace su trabajo según el modo que usted elija al llamarlo:
| Modo | Qué descubre | Cómo decide que existe |
|---|---|---|
dir | Directorios y archivos de un sitio web | El código de estado HTTP de la respuesta |
dns | Subdominios de un dominio | Si el nombre resuelve a una dirección IP |
vhost | Hosts virtuales sobre una misma dirección | Si cambia la respuesta según la cabecera Host |
En esta píldora verá dir en detalle en la próxima lección, y luego dns y vhost. Para instalarlo, en Debian o Ubuntu suele bastar con el gestor de paquetes; también puede bajar el binario desde el proyecto oficial.
sudo apt install gobuster
gobuster version3.6