KALI/SANA — GOBUSTER-01 · Directory & VHost Brute

Mode

dir · dns · vhost · s3

Wordlist Bawaan Kali

4 PILIHAN

dirb · dirbuster

Jejak

TINGGI

ratusan 404/403 di access.log

Kasus Unggulan

DVWA + COOKIE

area /vulnerabilities setelah login

01Konsep

gobuster: Kamus Terhadap URL

gobuster membandingkan wordlist dengan server: path yang menjawab menarik (200), yang "ada tapi dipagari" mengakui diri (403), dan yang tak ada membalas 404. Tiga mode utama lab: dir (direktori & berkas), dns (subdomain), vhost (situs lain di IP yang sama).

RED — MEMBACA STATUS

200 — ada; buka & baca.
301/302 — redirect; ikuti dengan -r atau manual.
403 — ada tapi dilarang — pengakuan bersalah; kandidat bypass.
DVWA: area /vulnerabilities/ butuh cookie sesi — lihat panel cookie.

BLUE — DETEKSI

Pola emas: 50+ 404/403 beruntun dari satu IP per menit.
fail2ban jail apache-404 + nginx limit_req menutupnya.
Canary path: GET ke /backup-canary.zip = alert pasti.

02Builder

Susun gobuster dir

Mode

URL (-u) / Domain

Wordlist (-w)

Thread (-t)

EKSTENSI (-x) — khusus mode dir

gobuster

WORKFLOW DVWA — DUA LANGKAH

1) Ambil sesi: curl -s -c jar.txt -d 'username=admin&password=p@ssw0rd' http://dvwa1…/login.php · 2) aktifkan chip -H Cookie dan isi Cookie: PHPSESSID=…; security=low dari jar.txt — kini /vulnerabilities/* ikut tersapu.

03Output & Wordlist

Membaca Hasil Status demi Status

output dir mode — beranotasi

gobuster dir -u http://dvwa1.abdurrozak.my.id -w /usr/share/wordlists/dirb/common.txt -x php,txt -t 30

/index.php            (Status: 200)
/login.php            (Status: 200)
/setup.php            (Status: 200)   ← DVWA setup TERBUKA — catat!
/robots.txt           (Status: 200)
/config               (Status: 301)    # redirect — ikuti manual
/admin                (Status: 403)    # ADA tapi dipagari — kandidat bypass

# status yang TIDAK muncul (404) otomatis disaring gobuster.

Wordlist	Ukuran	Kapan
dirb common.txt	4.6k	Awal — cepat, senyap-senyapnya gobuster
dirb big.txt	20k	common tak menemukan apa-apa
dirbuster medium	220k	Teliti; jalankan nohup — lama
/usr/share/seclists/…	variatif	Bila SECLISTS terpasang — terlengkap