- 综合排序
- 最热优先
- 最新优先
- 来自专栏madMen
gobuster源码阅读--终篇
在搞完 gobuster 系列源码阅读的第一篇以及dir篇之后，对于 gobuster 的实现思路已经比较熟悉。 在前面的文章中提到过，gobuster 中的各个模块中的核心功能都是基于 libgobuster/interfaces.go 中接口的实现。 总结 至此，gobuster 的源码基本阅读完了。简单梳理一下 gobuster 整体的结构，libgobuster 作为核心部分，主要包含公共配置项以及接口的定义。 gobuster 的源码相对来说比较简短精悍，没有晦涩难懂的语法，非常适合源码的阅读。同时，其在并发请求上的处理也非常有借鉴意义，非常适合作为造轮子的参考工具。
51320编辑于 2022-06-07 Gobuster目录文件扫描工具
Gobuster 介绍类型：Go 语言编写的命令行扫描工具功能：目录/文件暴力扫描、子域名枚举、虚拟主机发现特点：速度快：多线程扫描，效率高，适合远程或云服务器轻量级：CPU/内存占用低，适合自动化脚本灵活性高 认证、输出文件等模式多样：目录扫描（dir）、DNS 子域扫描（dns）、虚拟主机扫描（vhost）安装在 Kali 或 Linux 上：sudo apt updatesudo apt install gobuster -y检查版本：gobuster -v目录/文件扫描gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt - Kali 自带子域字典 /usr/share/wordlists/dns/subdomains-top1million-5000.txt使用场景：发现隐藏子域、资产管理、渗透测试前期信息收集虚拟主机扫描gobuster dir子域名发现枚举二级域名、隐藏资产gobuster dns虚拟主机扫描查找隐藏站点、多租户环境下的子站点gobuster vhost渗透测试信息收集前期资产发现，为漏洞利用提供线索全面资产发现自动化监控
48210编辑于 2025-09-15- 来自专栏madMen
gobuster源码阅读--dir篇
在本系列的第一篇中，主要阅读了 gobuster 入口的这一部分。后续主要是阅读各个模块工作的细节，本文主要讲解 dir 模块。 是整个 CLI 程序的入口，是 gobuster 的核心函数。 这个错误的产生主要是来源于 func (d *GobusterDir) PreRun 函数，这也是 gobuster 每个模块通用的函数之一。 再次回归到主线分析过程中的 Gobuster 函数。 gobuster 实现的逻辑还是非常清晰的，因为 Golang 的并发优势，所以其在做这种网络操作上有着天生的优势，并发的写法也会方便很多。
1.2K20编辑于 2022-06-07 - 来自专栏madMen
gobuster源码阅读--入口篇
gobuster 作为一款信息收集工具，深受安全业界的欢迎。希望通过阅读优秀工具的源码，能够了解其工作的具体细节，为自己日后造轮子也做好准备工作。 对于每一个 Golang 项目，其根目录下都有一个 main.go 的文件，gobuster 也不例外。 = nil { os.Exit(1) } } cmd gobuster 中的 cmd 模块主要为其程序的命令行控制，可将其视作为程序的输入。 cmd 下的几个文件也分别对应了 gobuster 的几个模块功能，包括以下： dir.go dns.go fuzz.go http.go s3.go vhost.go cmd 模块的功能很大程度上是基于 hugo server --port=1234 关于这些配置项的数据结构分别存放在以下目录中的 options.go 中： gobusterdir gobusterdns gobusterfuzz gobuster
83240编辑于 2022-06-07 - 来自专栏kali blog
Gobuster安装及食用体验
Gobuster是一个开源的渗透测试工具，用于在Web应用程序中发现隐藏的内容或目录枚举。它可以在提供的字典中寻找URL，并返回来自网站服务器的HTTP状态代码。 apt-get install gobuster 查看帮助： 工具特性 扫描站点中的URL（目录或者文件） DNS子域名查找 查找web服务器的虚拟主机名 因此，gobuster有三种工作模式。 dir：传统的目录爆破模式； dns：DNS子域名爆破模式； vhost：虚拟主机爆破模式； 命令指南 dns模式 gobuster dns <参数> 常用参数: -d --domain string 目标域 -i 显示ip地址 dir模式 gobuster dir [参数] 常用参数: -u 目标网站 -x 要搜索的文件扩展名 -c--cookies string 用于请求的cookie -w- 示例 基于dns子域名查找 gobuster dns -d bbskali.cn -t 50 -w /usr/share/amass/wordlists/subdomains-top1mil-5000
72610编辑于 2025-07-28 - 来自专栏信安之路
HT1136 DNS 枚举工具 gobuster 试用
gobuster 可以枚举网站的 URLs（目录和文件）、枚举 DNS 子域名、枚举目标 web 服务器的虚拟主机、公开的 Amazon S3 存储桶。 /gobuster/releases ? 通过源码编译的方式，命令如下： git clone https://github.com/OJ/gobuster && cd gobuster && go get && go build ? 使用测试 首次使用，运行 help 命令，查看帮助信息： gobuster help ? 指定 DNS 服务尝试一下： gobuster dns -d xazlsec.com -c -i -w wordlist.txt -r 8.8.8.8 ?
2.5K40发布于 2021-05-27 - 来自专栏RokasYang
Web安全的最后一道防线：细谈Gobuster的目录文件VhostDNS子域名暴力破解艺术
近期在某些场景中用到了gobuster，因此不妨趁热打铁写了本文作为沉淀。 通过抓包可以看到，gobuster根据字典里面的路径内容，组合成完整URL进行枚举：图片图片因此确保字典足够强大，可能结果也会更多。 提供了此参数，默认为：gobuster/3.6，后面的数字为版本号。 指定p12证书为：gobuster dir --client-cert-p12 <certfile> -w <wordlist> -u <URL>如果p12证书有密码：gobuster dir --client-cert-p12 userid=FUZZ -w <wordlist>图片gobuster将字典文件内容逐个替换到FUZZ占位符中进行请求。
11.2K7542编辑于 2023-09-20 - 来自专栏Ms08067安全实验室
【HTB系列】靶机Vault的渗透测试详解
靶机地址：10.10.10.109 先用nmap探测靶机 nmap -sC -sT -sV 10.10.10.109 扫描结果如下： 看看80端口有什么东西 我们用gobuster 进行探测下 gobuster -u http://10.10.10.109 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,php -o gobuster-sparklays -t 100 扫了很久没有扫出什么东西 后来注意到这句话 We are proud to announce our first client: Sparklays (Sparklays.com still under construction) 尝试在Url后面加上/sparklay ~# gobuster -u http 下 gobuster -u http://10.10.10.109/sparklays/design -w /usr/share/wordlists/dirbuster/directory-list
1.1K30发布于 2019-09-25 - 来自专栏FreeBuf
Sudomy：子域名枚举与分析工具
子域枚举过程可以通过使用主动或被动方法来实现 （1）主动方法 Sudomy利用Gobuster工具，因为它在执行DNS Subdomain Bruteforce攻击（支持通配符）时具有高速性能。 Tools License Info Gobuster Apache License 2.0 非强制性 httprobe Tom Hudson - 强制性 nmap GNU General Public PATH=$PATH:$GOROOT/bin:$GOPATH/bin go get -u github.com/tomnomnom/httprobe go get -u github.com/OJ/gobuster -b, --bruteforce Bruteforce Subdomain Using Gobuster (Wordlist: ALL Top SecList DNS) -d, - v=DpXIBUtasn0 感谢 Tom Hudson - Tomonomnom OJ Reeves - Gobuster Thomas D Maaaaz - Webscreenshot Daniel
2K00发布于 2019-10-10 - 来自专栏kali blog
web目录扫描工具汇总
01 Gobuster Gobuster 是一个开源工具，主要用于网站目录扫描和子域名收集。安装也很简单，只需执行下面命令即可！ apt-get install gobuster 使用参数： -u : –url 网站的域名或者IP -w : 用户自定义字典 -x : 自定义文件类型如php jsp 示例 gobuster dir
10.2K20编辑于 2022-09-21 - 来自专栏HACK学习
实战 | 记一次赏金2000美元的子域名接管漏洞挖掘
选择了一个以前挖过的资产并开始执行子域名枚举（我们将我们的目标称为 redacted.com） 子域名枚举 我使用 Google搜索黑客语法、 OWASP Amass和Gobuster工具 # 使用 Google 的被动子域枚举 Amass amass enum -passive -d redacted.com -config config.ini -o amass_passive_subs.txt # 使用 Gobuster gobuster dns -d redacted.com -w wordlist.txt - show-cname - no-color -o gobuster_subs.txt 枚举子域后，删除重复的条目并使用 # 将子域合并到一个文件中 cat google_subs.txt amass_passive_subs.txt gobuster_subs.txt | anew subdomains.txt 然后将
1.7K30编辑于 2023-01-03 - 来自专栏Ms08067安全实验室
【HTB系列】靶机Frolic的渗透测试详解
爆破下网站的目录 1. gobuster -u http://10.10.10.111:9999 -w /usr/share/wordlists/dirbuster/directory-list-2.3 -medium.txt -o fronlic-gobuster.log -t 40 ? Gobuster还是扫描出了部分，我们直接看看这些都是什么 /backup: ? /dev: ? /test: ? /admin: ? ，说明应该还有网页没有被我们找到，密码应该属于没有被我们找到的网页的 这里我们在第一次爆破的基础上继续爆破输入命令 1. for i in admin dev test backup loop;do gobuster -$i.log;done 这段命令就是让admin dev test backup loop和http://10.10.10.111:9999/进行组合然后调用gobuster进行扫描输出，我们需要等待段时间
2.4K10发布于 2019-09-24 - 来自专栏信安之路
目录枚举能给我们带来什么收益
0x01 发现目标隐藏功能 我们以知名目录枚举工具 gobuster 为学习参考，项目地址： https://github.com/OJ/gobuster 对于 web 系统而言，目录、文件名所对应的都是具体的功能 gobuster 的第一个功能就是目录枚举，使用它需要指定一个目录字典，如果你已经知道目标系统使用的是什么脚本语言，目录和文件的格式，可以有针对性的进行字典生成，主要可以大大节约枚举时间和提升枚举收集，
65020编辑于 2022-05-23 - 来自专栏Ms08067安全实验室
【VulnHub系列】BrokenGallery
/detail 详细扫描发现80端口有几个文件 后台挂着gobuster来跑目录 sudo gobuster dir -w /usr/share/wordlists/dirbuster/directory-list
42110编辑于 2023-08-18 - 来自专栏Khan安全团队
awesome-bugbounty-builder 查找漏洞的所有常用工具
Commix Tplmap HYDRA John the ripper Evilwinrm Arjun Paramspider NoSQLmap NMAP Nikto FFUF 403-Bypass Gobuster StepsDone:-0}+1)) bar::status_changed $StepsDone $TotalSteps sleep 1 done bar::stop # Install gobuster echo -e "${RED}GOBUSTER Another tool for Bruteforce directories${ENDCOLOR}" wget https://github.com /OJ/gobuster/releases/download/v3.0.1/gobuster-all.7z 7z x gobuster-all.7z cd gobuster-linux-amd64/ chmod +x gobuster cd ~/Bugbounty/ echo -e "${GREEN}Successfully${ENDCOLOR}" # Installing Seclists echo -
1.1K00编辑于 2022-01-02 - 来自专栏FreeBuf
WebCopilot：一款功能强大的子域名枚举和安全漏洞扫描工具
首先会使用assetsfinder、submaster、subfinder、accumt、finddomain、hackertarget、riddler和crt来枚举给定目标域名的所有子域名，然后使用gobuster 功能介绍 1、使用assetfinder、sublist3r、subfinder、amass和findomain等工具执行子域名枚举； 2、使用gobuster和amass执行主动子域名枚举； 3、使用
1.1K10编辑于 2024-04-01 - 来自专栏Khan安全团队
Hack the box_Wall
利用gobuster扫描web ->gobuster dir -w /usr/share/wordlists/dirb/common.txt -u http://10.10.10.157 ->/.hta
85810发布于 2020-03-10 - 来自专栏HACK学习
干货 | 赏金猎人的fuzz工具和字典总结
GoBuster GoBuster是另一种用 Go 语言编写的模糊器，最常用于模糊 URI、目录/路径、DNS 子域、AWS S3 存储桶、虚拟主机名，并支持并发。 例如： $ gobuster dir -w endpoints.txt -u https://example.com 在上面的命令中，dir 指定我们正在对一个目录进行模糊测试，-u 是 URL 的标志
4.8K10编辑于 2023-01-03 - 来自专栏渗透测试教程
渗透测试常用武器分享 第二期(泄露扫描)
而且支持递归破解 点评: 界面好看又快，作者还一直持续更新 地址:https://github.com/maurosoria/dirsearch gobuster 开源 | 目录扫描 | Golang 能学习不少 地址:https://github.com/OJ/gobuster SecretFinder 开源 | 信1息收集 | Python | 7.8k Star image.png 简介: SecretFinder
93920编辑于 2022-04-13 - 来自专栏渗透测试教程
渗透测试常用武器分享 第二期(泄露扫描)
而且支持递归破解 点评: 界面好看又快，作者还一直持续更新 地址:https://github.com/maurosoria/dirsearch gobuster 开源 | 目录扫描 | Golang 能学习不少 地址:https://github.com/OJ/gobuster SecretFinder 开源 | 信1息收集 | Python | 7.8k Star 简介: SecretFinder
91840编辑于 2022-04-19
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号