El fuzzing se utiliza para detectar directorios, archivos y parámetros ocultos en servidores web. Es una técnica común en pentesting para descubrir recursos sensibles mediante fuerza bruta.

🛠️ Herramientas vistas en esta clase

⚡️ Gobuster – Rápido y simple (en Go)

• Ideal para encontrar directorios y archivos.

• Muy rápido gracias a su implementación en Go.

• Sintaxis sencilla, aunque menos personalizable que Wfuzz.

📌 GitHub → Gobuster

gobuster dir -u https://www.example.com/ \
 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
 -t 200

Filtrar códigos HTTP (403/404)

gobuster dir -u https://www.example.com/ \
-w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
-b 403,404 -t 200

Extensiones de archivo:

gobuster dir -u https://www.example.com/ \
 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
 -x php,html,txt -t 200

🧰 Wfuzz – Potente y personalizable

• Permite fuzzing de directorios, parámetros, rutas, inyecciones, etc.

• Altamente configurable (headers, payloads múltiples, filtros…).

• Requiere más conocimiento de su sintaxis.

📌 GitHub → Wfuzz

wfuzz -c -t 200 \
 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
 https://example.com/FUZZ

Ignorar errores 403 y 404:

wfuzz -c -t 200 --hc=404,403 \
 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
 https://example.com/FUZZ

Fuzz en parámetros (LFI, por ejemplo):

wfuzz -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
 -u http://172.18.0.2/wordpress/index.php?FUZZ=../../../../../etc/passwd \
 --hc 404 --hl 40

⚙️ FFUF – Alternativa rápida (basada en Go)

🏎️ FFUF (Fuzz Faster U Fool) es una alternativa moderna y más rápida que Gobuster y Wfuzz, también escrita en Go.

📌 GitHub → FFUF

ffuf -w /usr/share/seclists/Discovery/Web-Content/common.txt \
 -u https://example.com/FUZZ \
 -mc 200