1. 从零开始认识你的“侦察兵”dirsearch如果你刚接触Kali Linux或者对网络安全测试感兴趣那你一定听说过“目录扫描”这个词。简单来说它就像你第一次去一个陌生的大楼总得先看看每层楼都有哪些房间哪些门是开着的哪些门后面可能藏着重要的东西。在Web世界里一个网站除了我们能看到的主页背后往往还藏着很多“房间”——也就是目录和文件。这些地方可能放着后台管理入口、数据库备份、源代码文件甚至是包含密码的配置文件。找到它们往往是发现安全漏洞的第一步。dirsearch就是这样一个帮你快速“摸清大楼结构”的侦察兵。它是一个用Python写的命令行工具专门用来暴力破解Web服务器上可能存在的目录和文件。我刚开始用它的时候觉得这工具太简单了不就是拿个字典去碰运气吗但用久了才发现里面的门道和技巧非常多用得好和用得差效率能差出十倍不止。今天我就把自己在Kali Linux下用dirsearch摸爬滚打多年的实战经验掰开揉碎了分享给你保证你看完就能上手而且能避开我当年踩过的那些坑。在Kali Linux里dirsearch通常是预装的但版本可能不是最新的。你可以直接在终端输入dirsearch看看有没有反应。如果没有或者你想用最新版安装也超级简单。官方推荐的方法是直接用apt安装但我会更建议你用git克隆项目这样更新和管理扩展字典都更方便。咱们一步步来。2. 环境准备与高效安装2.1 两种安装方式哪种更适合你首先打开你的Kali Linux终端。最省事的办法确实是直接用系统包管理器安装sudo apt update sudo apt install dirsearch装完之后直接输入dirsearch -h就能看到帮助信息了。这个方法适合追求快速稳定、不想折腾的同学。但它的缺点是软件源里的版本可能不是最新的一些新特性或者修复的Bug你可能用不上。我个人的习惯是直接从GitHub上克隆最新版本。这样做有几个好处第一你永远用的是最新版第二你可以方便地切换到不同的分支或者自己修改代码第三管理自定义的字典文件会更清晰。操作命令如下git clone https://github.com/maurosoria/dirsearch.git cd dirsearch克隆下来之后你会发现目录里有一个dirsearch.py文件。这时候你不能直接用dirsearch命令来调用它了。你需要用python3 dirsearch.py来运行。为了偷懒我通常会在~/.bashrc文件里加个别名aliasecho alias dirsearchpython3 /path/to/your/dirsearch/dirsearch.py ~/.bashrc source ~/.bashrc这样以后无论在哪个目录直接输入dirsearch就相当于运行那个完整的Python脚本了非常方便。记得把/path/to/your/dirsearch/替换成你实际克隆的路径。2.2 字典dirsearch的灵魂所在装好工具只是第一步真正决定扫描效果和效率的是你用的“字典”。你可以把字典理解为一本巨大的、猜测目录和文件名的“密码本”。dirsearch自带了一些字典放在db/目录下比如dicc.txt是主字典extensions.txt是扩展名列表。但说实话自带的字典在实战中往往不够用。为什么因为它是通用的而每个网站用的技术比如是PHP、Java还是ASP.NET、开发者的命名习惯都不同。一个针对PHP网站的字典去扫一个Java站点效果肯定大打折扣。所以我的建议是建立你自己的字典库。你可以从网上收集各种开源的安全字典比如SecLists项目在Kali里可以通过apt install seclists安装就包含了海量的字典文件。然后根据不同的目标组合使用。比如扫一个疑似WordPress的网站我就会把SecLists里关于WordPress的字典和通用字典合并起来用。这里有个小技巧不要一上来就用最大的字典狂轰滥炸。可以先用一个小的、精简的通用字典快速扫一遍看看目标的响应特征然后再有针对性地使用大字典。如何指定字典呢用-w参数dirsearch -u http://target.com -w /usr/share/seclists/Discovery/Web-Content/common.txt3. 核心参数详解与实战扫描策略3.1 基础命令扫出第一个结果我们先从最基础的扫描开始。假设我们的目标是http://testphp.vulnweb.com这是一个合法的、用于安全学习的测试网站。最基本的命令就是指定URLdirsearch -u http://testphp.vulnweb.com运行这个命令dirsearch就会使用默认的字典和线程数开始扫描。你会看到终端里刷刷地输出信息包括尝试的路径、HTTP状态码、返回内容大小等。当扫描结束后所有状态码为200成功、403禁止访问、301/302重定向等有意义的结果都会被列出来。第一次运行你可能会觉得有点慢而且输出信息太多眼花缭乱。别急这正是我们需要调整参数的原因。默认设置是为了普适性但我们可以通过调整参数让扫描更快、更准、更安静。3.2 让扫描飞起来线程与超时设置扫描速度很大程度上取决于-t参数也就是线程数。默认的线程数比较保守通常是10或20这是为了避免把目标网站扫崩或者触发对方的防护机制。但在你对目标有一定了解或者测试环境允许的情况下可以适当调高。我一般会先调到50试试水dirsearch -u http://testphp.vulnweb.com -t 50注意线程数不是越高越好。过高的线程数会导致网络连接不稳定你自己的机器负载也高还可能被目标防火墙直接封掉IP。对于重要的、未知的生产环境建议从低线程开始。另一个影响速度的是超时时间--timeout。默认是30秒如果一个请求30秒都没回应dirsearch就会放弃它。在内网或者网络状况极佳的环境下可以把这个值设小一点比如5秒能大大加快扫描进程dirsearch -u http://testphp.vulnweb.com -t 50 --timeout53.3 过滤噪音聚焦关键结果默认扫描会返回所有状态码的结果但其中很多可能是“404 Not Found”未找到。我们真正关心的是200成功访问、403禁止访问但路径存在、301/302重定向可能指向登录页、500服务器错误可能暴露信息。我们可以用-s和-x参数来“筛选”和“排除”状态码。比如我只想看状态码是200和403的结果dirsearch -u http://testphp.vulnweb.com -s 200,403反过来如果我觉得404的结果太多干扰视线我可以排除它dirsearch -u http://testphp.vulnweb.com -x 404更常见的是结合使用比如排除404和500只看200301302403dirsearch -u http://testphp.vulnweb.com -s 200,301,302,403 -x 404,500这样终端输出就会干净很多让你能快速聚焦在可能有价值的发现上。3.4 针对特定技术栈的精准扫描前面提到了字典的重要性这里再结合扩展名参数-e讲一下。很多网站的文件都有特定扩展名比如PHP站点的.phpJava站点的.jsp 静态站点的.html 还有.txt.bak.zip等备份文件扩展名。如果你通过前期信息收集知道目标是一个PHP网站那么在扫描时强制加上PHP扩展名能显著提升命中率dirsearch -u http://testphp.vulnweb.com -e php,php.bak,txt,zip-e参数后面可以跟多个扩展名用逗号分隔。dirsearch会尝试将字典里的每一个词条都配上这些扩展名去访问。例如字典里有admin这个词加上-e php 它就会去尝试访问/admin.php。有时候我们还想扫描不带扩展名的目录或者同时扫描带扩展名和不带扩展名的。这时可以结合-f参数强制在每个词条后加斜杠/ 主要扫目录和-e参数一起用。不过更灵活的方法是使用--remove-extensions参数先扫一遍无扩展名的再用-e扫有扩展名的。4. 高级技巧与实战场景剖析4.1 处理复杂场景Cookie、代理与递归扫描实战中你遇到的网站不可能都像测试站那样“裸奔”。很多网站有登录验证你直接扫根目录扫出来的全是登录跳转302状态码。这时候你就需要带上会话Cookie去扫描模拟一个已登录的用户。dirsearch支持--cookie参数。假设你已经通过浏览器登录了目标网站并获取到了Cookie字符串PHPSESSIDabc123... 那么可以这样扫描dirsearch -u http://target.com/admin/ --cookiePHPSESSIDabc123...这样扫描就会在已认证的会话中进行有可能发现普通游客看不到的后台管理页面或功能接口。另一个常见场景是需要通过代理进行扫描比如使用Burp Suite来拦截和观察每一个扫描请求分析具体的请求和响应。或者因为网络原因必须使用代理。使用--proxy参数即可dirsearch -u http://target.com --proxyhttp://127.0.0.1:8080这样所有的扫描请求都会经过你本地8080端口上的代理比如Burp Suite方便你进行深度分析。当我们发现一个可访问的目录后很自然地会想“这个目录下面会不会还有子目录”这就是递归扫描。dirsearch的-r参数可以让你指定递归的深度。例如设置-r为2 它会在发现有效目录后继续深入扫描两层dirsearch -u http://target.com -r -R 2警告递归扫描要慎用它会指数级地增加请求数量可能产生海量流量对目标造成压力也容易被发现。通常只在发现关键目录如/admin//upload/后有针对性地进行浅层递归深度为1。4.2 报告生成让结果更规范在正式的渗透测试项目中你需要将扫描结果整理成报告。dirsearch支持将结果输出为纯文本--plain-text-report、JSON--json-report和HTML--html-report格式。我通常使用JSON格式因为它结构清晰方便我用其他脚本进行二次处理或导入到其他工具中。dirsearch -u http://target.com -e php,html,txt --json-reportmy_scan_report.json扫描结束后当前目录下就会生成一个my_scan_report.json文件里面包含了所有扫描到的路径、状态码、响应大小、重定向地址等详细信息非常利于归档和分析。4.3 实战案例从一个扫描结果到漏洞发现光讲参数太枯燥我分享一个简化版的真实案例看看如何把dirsearch的扫描结果用“活”。假设我们对一个公司官网http://example.com进行扫描。使用了一个比较全面的字典并加上了常见扩展名。扫描结束后在结果中我们注意到几个有趣的路径/admin/login.php(200) - 后台登录页/backup/2023.zip(200) - 一个压缩备份文件/uploads/(403) - 上传目录禁止列表但可能存在上传功能/phpinfo.php(200) - 暴露了PHP配置信息第一步信息研判/admin/login.php是突破口我们可以尝试弱口令爆破当然这需要其他工具配合。/backup/2023.zip是金矿直接下载下来解压后很可能包含网站源代码、数据库配置文件甚至数据库备份。/uploads/的403状态码说明目录存在只是禁止浏览我们可以尝试寻找单独的上传点比如/upload.php。/phpinfo.php则泄露了服务器路径、版本等敏感信息。第二步深度利用我们下载了2023.zip 解压后果然找到了数据库配置文件config.php 里面明文写着数据库的连接地址、用户名和密码。虽然这个数据库可能只在内网但密码很可能被管理员在别处重复使用。同时在源代码里我们发现了/admin/check_login.php这个文件它负责处理登录。通过代码审计我们发现它存在SQL注入漏洞。你看dirsearch就像一个探雷器帮我们找到了“雷区”的大致位置。至于怎么排雷、怎么利用就需要结合其他知识和工具了。但如果没有dirsearch这第一步的侦察后续的一切都无从谈起。5. 避坑指南与最佳实践用了这么多年dirsearch我踩过的坑也不少这里总结几条血泪经验希望能帮你省点时间。第一坑字典太大扫到天荒地老。这是我早期常犯的错误拿到一个几十上百万行的字典就开扫一个目标扫好几天。后来我学乖了采用“阶梯式”扫描法。先用一个精简的、几千行的通用字典如common.txt快速扫一遍根据返回结果的特征比如网站是ASPX的再选择一个针对性的中型字典进行第二遍扫描。如果时间充裕或目标价值极高最后才上大型组合字典。这样效率最高。第二坑线程太高把自己或目标扫崩。特别是扫一些老旧或配置低的设备时过高的并发连接可能导致目标服务直接崩溃或者你自己的网络资源被耗尽。我的经验是外网目标线程数不要超过50内网目标可以适当提高到100-150但要时刻用htop之类的命令监控自己机器的资源消耗。第三坑忽略403状态码。新手往往只盯着200状态码。其实403Forbidden非常重要它明确告诉你“这个路径存在但你不让看”。这可能是上传目录、后台目录、配置目录。存在就是有价值的信息。你可以尝试用..\路径穿越、使用其他HTTP方法如PUT等方式去绕过这个限制。第四坑不保存扫描结果和命令。渗透测试过程很长你可能今天扫一下明天换个参数又扫一下。如果不把每次用的命令和对应的结果文件保存好很容易就混乱了。我养成的习惯是为每个目标建立一个文件夹里面用scan_日期_参数简述.txt这样的格式命名结果文件并且把完整的扫描命令写在文件的开头作为注释。时间久了这就是一份宝贵的记录。最后也是最重要的道德与法律提醒dirsearch是一个强大的安全工具但刀能切菜也能伤人。绝对不要在没有获得明确书面授权的情况下对任何不属于你或你未拥有测试权限的网站、系统进行扫描。这不仅是违法行为也可能对目标系统造成不可预知的影响。请务必在合法的渗透测试环境、CTF靶场或者你自己搭建的实验室中进行学习和练习。技术是用来建设和保护的而不是破坏。