Directory-Enumeration on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Feroxbuster: Directory Bruteforcing Veloce e Ricorsivo per Web Hacking

Fri, 13 Feb 2026 00:00:00 +0000

Feroxbuster: Directory Brute-Force Ricorsivo in Rust per Web App Pentesting #

DESCRIPTION: Feroxbuster è un directory fuzzer ricorsivo scritto in Rust. Guida operativa: installazione, wordlist strategy, WAF bypass, integration con Burp, detection e OPSEC.

Introduzione #

Feroxbuster è uno scanner di directory e file web scritto in Rust con ricorsione automatica, link extraction e resume capability. Si posiziona tra Nmap service detection e exploitation: dopo aver identificato porte HTTP/HTTPS aperte, Feroxbuster enumera endpoint nascosti (admin panel, backup file, API routes, config esposti) che diventano entry point per privilege escalation o data exfiltration.

Arjun: HTTP Parameter Discovery per Web Application Recon Avanzata

Tue, 10 Feb 2026 00:00:00 +0000

Le applicazioni web hanno spesso parametri non documentati — parametri di debug, flag admin, endpoint interni esposti per errore. Arjun li trova. Il tool testa migliaia di nomi di parametri comuni contro un endpoint HTTP e identifica quelli che producono una risposta diversa, indicando che il server li accetta e li elabora.

Un parametro nascosto come ?debug=true o ?admin=1 può sbloccare funzionalità privilegiate, bypassare autenticazione o aprire vettori di injection inesplorati. Arjun è lo strumento che colma il gap tra la content discovery (directory bruteforce) e il vulnerability testing (injection).

Dirsearch: Directory e File Enumeration per Web Application Testing

Mon, 09 Feb 2026 00:00:00 +0000

Dirsearch è un directory bruteforcer scritto in Python che si distingue per una caratteristica fondamentale: la ricorsione automatica. Quando trova una directory, entra automaticamente e continua la scansione al suo interno, scendendo di livello senza intervento manuale. Su applicazioni web complesse con strutture di directory profonde, questo comportamento produce risultati che tool non ricorsivi come Gobuster non troverebbero mai in un singolo passaggio.

Il tool include wordlist integrate ottimizzate, gestione intelligente degli status code, supporto per estensioni multiple e output in formati diversi. È particolarmente efficace su CMS (WordPress, Joomla, Drupal) dove la struttura delle directory segue pattern prevedibili ma profondi.

Gobuster: Directory, DNS e Virtual Host Bruteforcing per Web Enumeration

Mon, 09 Feb 2026 00:00:00 +0000

Trovare directory nascoste, file di configurazione esposti e virtual host non documentati è il primo passo per compromettere un’applicazione web. Gobuster fa esattamente questo: lancia richieste HTTP massicce contro un target usando wordlist, identificando path e risorse che non compaiono nei link visibili del sito.

Scritto in Go, Gobuster è veloce e gestisce centinaia di richieste parallele senza problemi di performance. Supporta tre modalità principali: dir per directory/file bruteforce, dns per enumerazione subdomain e vhost per virtual host discovery. A differenza di tool più vecchi come DirBuster, Gobuster è a riga di comando, scriptabile e facilmente integrabile in pipeline automatizzate.

FFUF: Guida al Web Fuzzing per Directory, VHost e API (Pentesting e CTF)

Thu, 05 Feb 2026 00:00:00 +0000

FFUF: Guida al Web Fuzzing per Directory, VHost e API (Pentesting e CTF) #

ffuf (Fuzz Faster U Fool) è il web fuzzer più veloce ed efficiente per penetration testing moderno. Scritto in Go, ffuf sostituisce tool legacy come Dirbuster e Gobuster offrendo performance superiori e flessibilità estrema.

Quando devi enumerare directory nascoste, scoprire virtual host, testare parametri GET/POST o bruteforcare API endpoints, ffuf è lo strumento definitivo. In questa guida impari a usare ffuf come un professionista: da installazione a tecniche avanzate di fuzzing multi-livello.