SecLists: elige bien o pierdes
¿Alguna vez has lanzado un ataque y no has encontrado absolutamente nada útil?
El problema casi nunca es la herramienta: es la wordlist que elegiste.
Cada tutorial de pentesting te da un comando con una ruta y da por hecho que ya sabes por qué esa lista y no las demás.
SecLists lleva años siendo la colección de referencia que todo el mundo usa y casi nadie entiende: 1,8 GB tratados como caja negra.
La wordlist decide el resultado, no la herramienta que usas.
SecLists es una colección gratuita con licencia MIT mantenida por Daniel Miessler en GitHub, con más de 73.000 estrellas. Contiene nombres de usuario, contraseñas, rutas de URL, subdominios, payloads de fuzzing y web shells. No ejecuta nada: es el input que alimenta gobuster, ffuf, Hydra, Hashcat o Burp Intruder. La misma herramienta y el mismo objetivo pueden darte resultados completamente distintos según qué lista elijas.
Una lista pequeña puede superar a una enorme.
common.txt tiene 4.751 entradas, cubre los paths presentes en la mayoría de servidores reales y termina en menos de un minuto. La lista DirBuster de 220.559 líneas que citan todos los tutoriales antiguos es de 2007 y su ordenación refleja una web que ya no existe. Úsala para pasadas nocturnas. Escala al tamaño mayor solo cuando la lista pequeña vuelve vacía.
Apuntar rockyou.txt a un formulario de login puede destruir completamente tu engagement.
Este error no lo comete solo quien empieza.
Mezclar listas de cracking offline con ataques online afecta a principiantes y profesionales por igual cuando trabajan bajo presión.
Los intentos online cuestan un viaje de red y arriesgan bloqueo; los offline escalan sin límite.
rockyou.txt tiene 14.344.392 contraseñas de una brecha de 2009: perfecto para hashes locales, peligroso contra formularios con cinco intentos permitidos.
La mejor wordlist no existe todavía.
Ninguna lista genérica conoce los nombres internos de una organización concreta. Herramientas como cewl raspan el sitio del objetivo y construyen una lista con su vocabulario real, encontrando credenciales que rockyou nunca vería. Ahí es donde viven los hallazgos más interesantes.
Hay cuatro errores que cuestan horas enteras.
El primero es no conocer los renombres: directory-list-2.3-medium.txt ahora se llama DirBuster-2007_directory-list-2.3-medium.txt y cualquier guía anterior apunta a una ruta inexistente. El segundo es ignorar las cabeceras de comentarios en listas DirBuster, trece líneas con # que ffuf enviará como peticiones reales. El tercero es olvidar extensiones: las listas web contienen admin, no admin.php. El cuarto es confundir tamaño con calidad.
quickhits.txt es la lista que nadie menciona pero todos necesitan.
No es una lista de directorios: recoge lo que nunca debería ser público. Archivos .env, .git/config, .htpasswd, backups de bases de datos. Con 2.570 peticiones, en una aplicación mal desplegada una de ellas entrega credenciales. Ponla en tu checklist de cada objetivo.
Los shortlists de usuarios y contraseñas son joyas ocultas.
top-usernames-shortlist.txt tiene 17 entradas: root, admin, test, guest, mysql, oracle, pi, vagrant, ec2-user, azureuser. top-passwords-shortlist.txt tiene 25. Son 425 intentos totales, terminan en menos de un minuto contra SSH y son el primer movimiento correcto cuando no tienes otra pista. Para routers e impresoras, default-passwords.csv ofrece 2.876 filas indexadas por fabricante.
SecLists es el inicio, no el final.
Antes de lanzar cualquier cosa, di en voz alta qué estás enumerando y cuánto tiempo le darás: esa frase elige el archivo y te ahorra la tarde.
Empieza aquí
- ✓Instala SecLists y empieza siempre con common.txt en web.
- ✓Ejecuta quickhits.txt en cada objetivo autorizado antes de escalar.
- ✓Usa cewl para construir listas con vocabulario del objetivo.
¿Cuántas veces has culpado a la herramienta cuando el problema era tu lista?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
Talos abre sus archivos secretos
ShinyHunters asalta Cl0p
CAV3RN, la amenaza de tu agenda
Rapuncel duerme tus defensas
wp2shell siempre entra sin contraseña
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
Explicaciones a fondo de cómo funcionan las técnicas de ataque y defensa en ciberseguridad: desde métodos de intrusión hasta análisis de malware.
Contenido didáctico y de análisis, útil para entender el “cómo” más allá de la noticia del momento.
RATING
9.2
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.