ffuf ile Gizli Dizin Bulma

Web uygulamalarında güvenlik zafiyetlerini tespit etmek için kullanılan en etkili araçlardan biri olan ffuf (Fuzz Faster U Fool), gizli dizinleri ve dosyaları bulmak için de sıklıkla tercih edilmektedir. ffuf, HTTP isteklerini hızlı bir şekilde gerçekleştirebilen bir fuzzing aracıdır ve kullanıcıların belirttiği bir kelime listesine dayanarak sunucuda mevcut olan dizinleri tarar.

ffuf kullanarak gizli dizin bulma işlemi şu adımlarla gerçekleştirilebilir:

1. Kurulum: ffuf'ün en güncel sürümünü indirmek için GitHub üzerindeki ffuf reposunu kullanabilirsiniz. Çoğu Linux dağıtımında, ffuf'ü doğrudan paket yöneticisi ile kurmak da mümkündür.

1. Kelime Listesi Seçimi: Gizli dizinleri bulmak için bir kelime listesi kullanmak önemlidir. Bu listeler genellikle popüler dizin ve dosya isimlerini içerir. Örneğin, SecLists projesinden yararlanarak geniş bir kelime listesine ulaşabilirsiniz. Aşağıda, örnek bir kelime listesi kullanarak ffuf komutunun nasıl çalıştığını göreceksiniz.

1. Temel Komut: ffuf ile dizin taraması yapmak için aşağıdaki örnek komutu kullanabilirsiniz:

Burada, http://target.com/FUZZ kısmında FUZZ ifadesi, kelime listesindeki her bir kelimenin yerleştirileceği alandır.

1. Sonuçları Filtreleme: ffuf, tarama sonuçlarını HTTP yanıt kodlarına göre filtreleyebilmenizi sağlar. Örneğin, yalnızca 200 yanıt kodu döndüren dizinleri görmek için -mc 200 parametresini ekleyebilirsiniz:

1. Gelişmiş Özellikler: ffuf, -t (thread sayısı), -r (redirectleri takip etme) gibi çeşitli parametrelerle özelleştirilebilir. Bu, tarama süresini kısaltmak ve daha verimli sonuçlar almak için faydalıdır.

ffuf ile gizli dizin bulma, web uygulama güvenliği testlerinde önemli bir yer tutar. Doğru kelime listeleri ve uygun parametreler kullanıldığında, gizli dizinleri tespit etmek oldukça etkili bir şekilde yapılabilir. Web uygulamalarında güvenlik açıklarının tespit edilmesi ve kapatılması için bu tür araçların kullanımı son derece önemlidir.