【Webの隠れたページの見つけ方！】Gobusterでハッキング出来そうなファイルやディレクトリを探す方法！ GobusterとDirBusterと違い ハッキング・ラボ完全版でも使用 No.116
今回は、脆弱性診断ツールかつハッキングツールの「Gobuster」を解説します。
Gobusterは、WebサイトやWebアプリケーションの隠しディレクトリやファイル検索が出来ます。
ハッキングを行う際、隠しページや他にアクセス出来るページを検索する事が出来ます。
Go言語で書かれており、高速で柔軟性があるコマンドラインツールです。
Gobusterは、うぷ主の経験上、ハッキング大会でも使う事があるツールであり、
セキュリティの勉強やハッキングを学ぶ上で、覚えて損はないツールと思います。
似たような機能を持つ「DirBuster（当チャンネルで過去動画あり）」もありますが、
二つのツールで違いがあります。
Gobuster：高速で柔軟性があり、近代のWebアプリのテストに適してます。
DirBuster：古典的なツールであり、より簡単な操作が求められる場合に適していますが、
パフォーマンスや柔軟性ではGobusterに劣ります。
また、IPUSIRONさんの新刊「ハッキング・ラボ完全版」でも使用する場面が多いツールになります。
動画制作にあたり、ハッカー書籍ではレジェンド的存在の「IPUSIRON」さんが書かれました、
『ハッキング・ラボのつくりかた 完全版 仮想環境におけるハッカー体験学習』を参考に動画制作しております。
注：動画制作にあたり、IPUSIRONさんご本人の許可を得ております。
＜Gobusterの特徴＞
・ディレクトリやファイル検索
ウェブアプリケーションやウェブサーバー上のファイルやディレクトリを検索するためのツールです
・高速で効率的
並列リクエストを使用し、高速で効率的にディレクトリやファイルを検索します。
これにより、大規模な辞書攻撃やブルートフォース攻撃を効率的に実行できます。
・柔軟性とカスタマイズ性
多くのカスタマイズオプションを提供しており、ユーザーはスレッド数、リクエストのタイムアウト、
HTTPヘッダーの設定などを調整して動作をカスタマイズできます。
・軽量な実行形式
単一のバイナリファイルとして提供されており、他の依存関係が不要です。
このため、実行時のセットアップが簡単で、システムリソースの消費も少なくなります。・複数のプロトコルのサポート
HTTPやHTTPSのみならず、他のプロトコル（例：FTP、SMBなど）もサポートしています。
これにより、複数のサービスやプロトコルに対して一貫した手法でディレクトリやファイルを検索できます。
・複数の辞書のサポート
複数の辞書ファイルを使用して検索を行うことができます。
ユーザーは独自の辞書を使用したり、既存の辞書をカスタマイズして使用することができます。
・アクティブな開発とサポート
アクティブに開発とメンテナンスが行われており、新しい機能や改善が定期的にリリースされています。
また、コミュニティによるサポートも充実しています。
これはセキュリティテストなどで利用されます。
▼重要な注意事項
動画の内容を実施する場合、法的および倫理的な側面に留意し、
合法的なネットワーク許可を得た場合にのみ使用するようにしてください。
セキュリティツールは適切に使用されるべきであり、
不正アクセスや不正行為には使用してはいけません。
セキュリティテストは合法的で倫理的な方法で行うべきです。
【目次】
00:00 オープニング
00:59 Gobusterとは？
01:30 ツールの概要
02:50 GobusterとDirbusterの違い
05:24 複数のプロトコルをサポート
06:10 Gobusterの使い方！
07:07 使うべき画面！
08:00 今回のハッキング環境
08:19 Gobusterを使ってみよう！
09:46 隠しディレクトリとファイルの検索に成功
11:20 まとめ
13:13 エンディング
▼過去の関連動画
【Webサイトの裏側の覗き方】dirbでWebサイトをハッキング出来そうなファイルやディレクトリを探す方法！Webサイトの設計や管理のミスを暴くDirbusterとは？ No.101
https://youtu.be/7EMC8K9_UwE
▼動画で紹介したコマンド
gobuster dir -u https://yukuri-it-channel.com -w /usr/share/wordlists/dirb/common.txt
gobuster dir -u 192.168.56.104 -w /usr/share/wordlists/dirb/common.txt
sudo netdiscover -r 192.168.56.0/24
＜Gobusterのオプション機能＞
-u または –url: 対象となるURLを指定します。
-w または –wordlist: 使用するワードリスト（辞書）のパスを指定します。
-t または –threads: 同時に実行するスレッドの数を指定します。
-e または –expanded: 拡張機能の結果を表示します
-k または –insecure: SSL/TLS証明書の検証を無効にします。
-x または –extension: リクエストに追加する拡張子を指定します。
-r または –no-redirect: リダイレクトを無視して処理を続行します。
-o または –output: 結果を保存するファイルのパスを指定します。
-s または –status: 任意のHTTPステータスコードで結果をフィルタリングします
-f または –wildcard: ワイルドカードの使用を許可します。
-l または –expanded: 拡張機能の結果を表示します。
-a または –useragent: カスタムのUser-Agentを指定します。
-c または –cookies: カスタムのCookieを指定します。
-p または –proxy: プロキシサーバーを指定します。
▼Gobusterイントール
https://sourceforge.net/projects/gobuster.mirror/files/
※WindowsとLinux版のインストーラーはココ！
https://github.com/OJ/gobuster/
https://www.javatpoint.com/how-to-install-gobuster-tool-on-kali-linux
https://www.kalilinux.in/2019/10/gobuster-kali-linux.html
▼参考サイト
★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
▼書籍の購入はコチラ！
『ハッキング・ラボのつくりかた 完全版 仮想環境におけるハッカー体験学習』は、下記のリンクより購入出来ます。
当チャンネルの視聴者の皆様なら、購入しても損はない書籍と思います。
▼ハッキング・ラボのつくりかた 完全版（2024年2月20日発売の新刊！！）
⇒新刊では、『Parrot OS』でのハッキング環境構築になります。
・Amazon（紙 or Kindle版）
https://www.amazon.co.jp/dp/4798174572/
・翔泳社の公式通販SEshop
こちらは紙 or PDF版が購入出来ます。
初回であれば500円分のポイントと、紙とPDF版をセットで買うと15%分のポイントが貰えます。
https://www.seshop.com/product/detail/26055
★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
▼IPUSIRONさんのX（Twitter）
https://twitter.com/ipusiron
▼IPUSIRONさんのサイト Security Akademeia【セキュリティアカデメイア】
https://akademeia.info/
★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆★☆
★公式ブログ
https://yukuri-it-channel.com/
★当チャンネルのSNSアカウント
不審なアカウントでなければ、基本的にフォローバック致します。
また、プロフィール設定が初期設定 or 鍵垢は、スパム被害防止のため、フォローバックは致しません。
X（Twitter）
https://twitter.com/yukuri_it
Instagram
https://www.instagram.com/yukuri_it_channel/
threads
http://threads.net/@yukuri_it_channel
★お問い合わせ
info@yukuri-it-channel.com
▼クレジット
・使用BGM
冒頭：Morning フリーBGM DOVASYNDROME OFFICIAL YouTube CHANNEL
本編：Good Morning Sunshine フリーBGM DOVASYNDROME OFFICIAL YouTube CHANNEL
終盤：NEFFEX Believe Instrumental
エンディング：春よ強く美しく フリーBGM DOVASYNDROME OFFICIAL YouTube CHANNEL
・使用素材
YouTuberのための素材屋さん
https://ytsozaiyasan.com/
動画制作の背景
今回の動画は、前回の続きから実施出来るように作ってみましたよ。
Gobusterにかけて、バスターガンダム（グゥレイト！）で行くか、
郷ひろみで行くか、ガンバスターで行くか迷った今回。
という事で今回は、「ハッキング・ラボ完全版」より、仮想マシン「DC-2」を使い、
NetdiscoverからのGobusterでハッキング対象の仮想マシンへ探索を行いました。
