Gobuster desde cero: directorios, archivos y virtual hosts

1. Gobuster compara candidatos; no demuestra vulnerabilidades

Al terminar producirás dos inventarios revisados: rutas candidatas y nombres virtuales candidatos. Gobuster toma cada línea de un diccionario, construye una solicitud y conserva las respuestas que pasan sus filtros. El trabajo analítico empieza después: comparar código, ubicación de redirección, longitud y contenido con una respuesta inexistente conocida.

La línea base negativa es una solicitud a un nombre aleatorio que sabes que no existe. Si esa petición devuelve 200, redirige al login o comparte tamaño con cientos de resultados, el servidor utiliza una respuesta wildcard o un soft 404. Sin esa referencia, una lista larga puede ser solo ruido bien formateado.

2. Instala, verifica la versión y prepara listas pequeñas

La guía está contrastada con Gobuster 3.8.2. Kali lo distribuye como paquete; macOS y Windows pueden instalar la misma versión con Go. La instalación oficial mediante Go requiere Go 1.24 o superior. Verifica siempre gobuster dir --help y gobuster vhost --help, porque las opciones pertenecen al modo y han cambiado entre versiones.

Las dos modificaciones de PATH anteriores afectan solo a la terminal actual; al cerrarla, el entorno vuelve a su estado anterior. Si deseas una instalación permanente, sigue el procedimiento de Go para tu sistema en lugar de editar perfiles a ciegas.

Empieza con términos derivados de la aplicación del laboratorio: navegación, documentación, tecnología y convenciones del equipo. Una lista corta permite reconocer el comportamiento antes de generar miles de peticiones. SecLists sirve para ampliar cobertura después; elige una lista de contenido web, no una de DNS, contraseñas o payloads.

3. Directorios primero; extensiones después

Confirma antes que 192.0.2.10 corresponde al host de documentación del laboratorio y mide una ruta inexistente. Conserva cabeceras y no sigas la redirección: necesitas observar el código original y Location. En Windows usa curl.exe para invocar el binario y NUL como destino descartable.

El primer barrido usa diez hilos, una pausa de 100 ms entre trabajos y guarda el resultado. Gobuster 3.8.2 muestra la longitud por defecto; --hide-length la ocultaría. También excluye 404 por defecto en modo dir. No añadas extensiones hasta comprobar que los seis candidatos producen un conjunto entendible.

Añade solo extensiones coherentes con la tecnología observada. Con tres extensiones, cada palabra puede generar la variante desnuda y tres nombres adicionales; seis palabras pasan de unas seis solicitudes a unas veinticuatro. -x html,txt,json no descubre «todos los archivos»: prueba exactamente esas formas.

4. Lee código, Location y tamaño como señales combinadas

Un código resume el resultado HTTP, no la relevancia del recurso. RFC 9110 permite incluso responder404 para ocultar un recurso prohibido. Valida cada candidato con una solicitud individual y compara cabeceras, título o firma visible sin acceder a datos fuera del ejercicio.

Para usar una allowlist con -s, desactiva explícitamente la blacklist 404predeterminada pasando -b ''. Gobuster rechaza configurar ambas a la vez. No filtres primero y razones después: conserva un barrido base y aplica la lista positiva solo cuando la política de respuesta sea conocida.

No sigas redirecciones durante la primera lectura: hacerlo puede convertir muchas rutas distintas en la misma respuesta final y esconder la señal. Inspecciona primero cada Location con curl; si después habilitas --follow-redirect, guarda el resultado por separado y documenta el cambio.

5. Virtual hosts: cambia el nombre, no la dirección

HTTP usa Host —o :authority en versiones recientes— para que un servidor distinga recursos asociados a varios nombres. Por eso vhost no busca registros DNS: envía nombres candidatos al mismo servidor. El laboratorio apunta a 192.0.2.10, añade el dominio lab.example a cada palabra y mantiene el ritmo moderado.

Compara código, longitud y cabeceras. Si el servidor refleja el hostname dentro de una plantilla genérica, el tamaño cambia con cada palabra. Gobuster 3.8 añadió --exclude-hostname-length para ajustar ese caso, pero exige también --exclude-length. Úsalo solo con el tamaño medido de la respuesta inexistente.

6. Reduce ruido sin borrar evidencia útil

El tamaño es una firma barata: respuestas idénticas suelen agruparse, pero compresión, tokens, marcas de tiempo o el propio nombre solicitado pueden cambiarlo. --exclude-length acepta valores, listas y rangos; excluye el cuerpo sin importar el código. Antes de usarlo, toma varias muestras inexistentes y conserva sus cabeceras para justificar el filtro.

7. Convierte la salida en un inventario verificable

Ejecuta las pasadas base y filtrada con el diccionario mínimo. Para cada candidato conserva modo, palabra, URL o nombre, código, longitud, Location, comparación con el negativo y estado confirmado, ruido o pendiente. Un hallazgo confirmado demuestra una respuesta diferencial; todavía no demuestra acceso indebido ni vulnerabilidad.

• □La URL, los virtual hosts y el horario figuran en el alcance autorizado
• □La línea base incluye raíz y al menos tres nombres inexistentes
• □El primer barrido usa diccionario mínimo, diez hilos y delay explícito
• □Las extensiones elegidas corresponden a la tecnología observada
• □Cada 3xx conserva su código original y la cabecera Location
• □Los filtros de estado y longitud están justificados por muestras negativas
• □dir y vhost se documentan como modos distintos; vhost no se confunde con DNS
• □429, 5xx sostenidos o degradación provocan parada, no evasión
• □Los candidatos se validan individualmente sin descargar datos ni probar credenciales
• □El informe separa observación, inferencia, falso positivo y riesgo contextual

La defensa no consiste en devolver el mismo código para todo. Retira copias y archivos innecesarios, aplica autorización server-side a cada recurso, limita el ritmo, registra patrones de rutas inexistentes y revisa virtual hosts antes de publicar. Las rutas no enlazadas siguen siendo accesibles si el servidor las entrega.

Glosario