Difusión de Parámetros GET con ffuf

#ffuf #seclists #getfuzzing #parameters #webfuzzing #pentesting

Cuando accedemos a:

http://admin.academy.htb:PORT/admin/admin.php

vemos el mensaje:
{6C8D874E-31C5-413C-AC41-BE6E12D4D83B}.png

“No tienes acceso para leer el texto de la bandera sobre fondo oscuro.”

Esto nos indica que:

🧠 Objetivo

Descubrir parámetros ocultos que la aplicación acepte a través de método GET, usando ffuf.

ℹ️ Contexto

Por qué fuzzear parámetros

Las aplicaciones suelen tener parámetros no documentados, usados por devs o admins.
Estos parámetros pueden:

  • Permitir acceso a funciones ocultas
  • Cambiar el comportamiento de la app
  • Saltarse validaciones
  • Exponer flags en HTB

Siempre deben enumerarse.

🔧 Fuzzing de parámetros GET

Las URLs con parámetros GET tienen el formato:

/ruta/archivo.php?param=value

Para fuzzear, reemplazamos param por FUZZ:

/admin/admin.php?FUZZ=key

📚 Wordlist recomendada (SecLists)

Ubicación:

/opt/useful/seclists/Discovery/Web-Content/burp-parameter-names.txt

Esta lista contiene parámetros comunes encontrados en aplicaciones web reales.

🚀 Ejecutando el escaneo con ffuf

El comando base será:

ffuf -w /opt/useful/seclists/Discovery/Web-Content/burp-parameter-names.txt:FUZZ \
     -u http://admin.academy.htb:PORT/admin/admin.php?FUZZ=key \
     -fs xxx

Explicación:

📡 Resultado del escaneo

El escaneo devuelve un solo hit, indicando un parámetro válido:

{A14B9D63-DE94-4823-BB49-7FFB036E1A6A}.png
Abrimos la URL resultante:

http://admin.academy.htb:PORT/admin/admin.php?user=key

{8D3ECD5B-97DA-4D87-A324-4204029F972D}.png

📝 Conclusiones