Wordlists

Praxisnahe Infosec-Wortlisten, regelmäßig aktualisiert

Aktuelle Wortlisten

Technologien

Diese Wortlisten basieren auf dem Quellcode der hier aufgeführten CMS/Server/Frameworks. Zu den aktuellen Wortlisten gehören:

• Wordpress
• Joomla
• Drupal
• Magento
• Ghost
• Tomcat

Es gibt 2 Versionen jeder Wortliste:

• Basis (Beispiel tomcat.txt): Listet die vollständigen Pfade jeder Datei im Repository auf

webapps/examples/WEB-INF/classes/websocket/echo/servers.json

• Alle Ebenen (Beispiel tomcat-all-levels.txt): Enthält alle Verzeichnisebenen der Dateien in der Basis-Wortliste - falls du dsieve ausprobiert hast, kommt dir das bekannt vor! Diese Wortliste ist größer als die Basis-Wortliste, berücksichtigt aber Fälle, in denen die Verzeichnisstruktur des Repositorys nicht perfekt auf das Ziel abgebildet ist.

webapps/examples/WEB-INF/classes/websocket/echo/servers.json
examples/WEB-INF/classes/websocket/echo/servers.json
WEB-INF/classes/websocket/echo/servers.json
websocket/echo/servers.json
echo/servers.json
servers.json

Robots

Inspiriert von Daniel Miesslers Projekt RobotsDisallowed enthalten diese Wortlisten die Allow- und Disallow-Pfade aus robots.txt der Top-100-, Top-1000- und Top-10000-Websites gemäß dem Open PageRank-Datensatz von Domcop.

Inventory-Subdomains

Diese Wortliste enthält die Subdomains, die für jedes Ziel im Projekt Inventory gefunden wurden. Sie besteht aus 1,4 Millionen Wörtern, die aus den Subdomains von über 50 öffentlichen Bug-Bounty-Programmen generiert wurden.

Cloud-Subdomains

Diese Wortliste enthält die Subdomains, die durch die Enumeration von cloud-Assets gefunden wurden. Sie besteht aus 940k Wörtern, die aus den Subdomains generiert wurden, die aus den Common Names und Subject Alternative Names von über 7 Millionen SSL-Zertifikaten extrahiert wurden.

Und weitere Wortlisten folgen!

So funktioniert's

Technologien

Ein Trickest-Workflow klont die Repositories in technology-repositories.json, listet die Pfade aller Dateien auf, entfernt uninteressante Dateien, generiert Kombinationen und pusht die Wortlisten in dieses Repository.

Robots

Ein weiterer Trickest-Workflow holt sich die Top-100-, Top-1000- und Top-1000-Websites aus dem Open PageRank-Datensatz von Domcop, verwendet meg, um ihre robots.txt-Dateien abzurufen (Danke, @tomnomnom!), entfernt irrelevante Einträge, bereinigt die Pfade und pusht die Wortlisten in dieses Repository.

Mitwirkung

Alle Beiträge/Vorschläge/Fragen sind willkommen! Du kannst gerne ein neues Ticket über GitHub issues erstellen, uns auf Twitter unter @trick3st schreiben oder auf Discord mitdiskutieren.

Erstelle deine eigenen Workflows!

Wir glauben an den Wert des Tüftelns. Melde dich für eine Demo auf trickest.com an, um diesen Workflow an deinen Anwendungsfall anzupassen, Zugang zu vielen weiteren Workflows zu erhalten oder deine eigenen von Grund auf zu erstellen!