Dicozorus

Dicozorus es una herramienta para generar y mantener wordlists web.

Elimina la sobrecarga de gestionar múltiples wordlists al almacenar rutas enriquecidas con metadatos en una base de datos SQLite local.

¿Solo quieres una buena wordlist sin la herramienta? Omite la configuración y usa lazy.txt.

¿Por qué Dicozorus?

Las wordlists estándar suelen presentar problemas como entradas faltantes, falta de orden relevante, tamaño inapropiado o entradas basura.

Dicozorus resuelve estos problemas asociando entradas con metadatos enriquecidos. Esto permite:

• Ordenación inteligente: Coloca las entradas más críticas y probables al principio de tu lista para encontrar endpoints valiosos más rápido.
• Filtrado por extensiones específicas: Si un sitio ejecuta PHP, puedes omitir por completo las extensiones ASP y JSP, ahorrando tiempo y ancho de banda de red.
• Tamaño adaptable: Escala fácilmente el tamaño de tu wordlist según la estabilidad del objetivo, los límites de tasa o la conectividad de red.
• Fuzzing contextual: Genera listas específicamente ajustadas para fuzzing de directorios, fuzzing de archivos, o ambos.

Instalación

$ pipx install git+https://github.com/synacktiv/dicozorus/

Resumen de Dicozorus

Arquitectura y almacenamiento de datos

Dicozorus almacena datos localmente en una base de datos SQLite ubicada en $HOME/.dicozorus/db.sqlite. Cada entrada registra los siguientes atributos:

Wordlists integradas de Dicozorus

Para mayor comodidad, dicozorus incluye wordlists integradas. Las entradas presentes en estas wordlists provienen de diversas fuentes:

• Otras wordlists o proyectos (dirsearch, bo0om, Seclist, nuclei, etc.)
• Informes públicos de vulnerabilidades (informes de HackerOne, vulnerabilidades de ExploitDB, avisos de Github)
• Comentarios de redteam / pentests

Conjunto actual de wordlists integradas

lazy.txt

Cada vez que se realiza un cambio en las wordlists integradas, se genera lazy.txt. Incluye todas las entradas integradas excepto las peligrosas, ordenadas por criticidad y recuento.

Uso

$ dicozorus
usage: dicozorus [-h] [-v] [--version] {feed,gen,init,modify,stats,check} ...

Dicozorus allows to generate custom wordlists. It can be fed with wordlists from your own or initialized using a predefined set of wordlists. Entries are
stored in a sqlite database located in $HOME/.dicozorus/db.sqlite

positional arguments:
  {feed,gen,init,modify,stats,check}
                        Subcommand to run
    feed                Feed dicozorus db with wordlist files or scan results
    gen                 Generate wordlist using the dicozorus db.
    init                Initialize the dicozorus database.
    modify              Modify dicozorus DB directly. Use it to add / remove / update one or multiple entries.
    stats               Show stats about the dicozorus database.
    check               The check command is used to compare entry or wordlists with the dicozorus database

options:
  -h, --help            show this help message and exit
  -v, --verbose         increase verbosity
  --version             show program's version number and exit

Inicializar la base de datos de dicozorus

$ dicozorus init -F -W wordlists/
[+] Initializing dicozorus database
[+] Creating dicozorus tables
[+] Parsing dicozorus CSV file wordlists/low.wordlist
[+] Parsing dicozorus CSV file wordlists/unranked.wordlist
[+] Parsing dicozorus CSV file wordlists/hackerone.wordlist
[+] Parsing dicozorus CSV file wordlists/medium.wordlist
[+] Parsing dicozorus CSV file wordlists/exploitdb.wordlist
[+] Parsing dicozorus CSV file wordlists/critical.wordlist
[+] Parsing dicozorus CSV file wordlists/high.wordlist
[+] Parsing dicozorus CSV file wordlists/bo0om.wordlist
[+] Parsing dicozorus CSV file wordlists/seen.wordlist
[+] Parsing dicozorus CSV file wordlists/info.wordlist
[+] Parsing dicozorus CSV file wordlists/dirsearch.wordlist

Alimentar la base de datos de dicozorus

$ dicozorus feed -w fuzz.txt
[+] Parsing wordlist fuzz.txt

Generar una wordlist

$ dicozorus gen -m 5
app_dev.php
actuator/jolokia
jolokia
bitrix/admin/php_command_line.php
jenkins/script

Comprobar los metadatos asociados a una entrada específica

$ dicozorus check -e '_fragment'
_fragment [type: FILE, criticality: CRITICAL, count: 2, category: RCE, taglist: ['PHP', 'Bo0oM'], reference: https://www.ambionics.io/blog/symfony-secret-fragment]

Mostrar estadísticas de la base de datos de dicozorus

$ dicozorus stats
[+] Total count: 22376
[+] Entry count by criticality:
	Critical: 344
	High: 697
	Medium: 668
	Low: 1168
	Info: 4262
	Unranked: 15237
[+] Entry count by type:
	FILE: 12583
	DIRECTORY: 3449
	PATH: 6344
[+] Entry count by category:
	UNCATEGORIZED: 19499
	KNOWN_APP: 871
	RCE: 335
	INFO_LEAK: 280
[...]

Contribuir

Formato CSV personalizado

Si quieres contribuir con entradas a las listas principales o analizar entradas personalizadas de forma nativa, usa la siguiente estructura de Valores Separados por Comas (CSV) entrecomillados:

## path, criticality, count, category, tags, reference
"actions/authenticate.php","CRITICAL","1","RCE","PHP","https://nvd.nist.gov/vuln/detail/CVE-2020-35729"

Añadir una entrada a las wordlists integradas

Estas son algunas reglas al añadir entradas a las wordlists integradas:

• Si la entrada está asociada a una criticidad, puedes colocarla en uno de los siguientes archivos en dicozorus/data/ :
  • CRITICAL.wordlist
  • HIGH.wordlist
  • MEDIUM.wordlist
  • LOW.wordlist
• Si la entrada no está asociada a ninguna criticidad, pero parece interesante y genérica, puedes colocarla en el archivo INFO.wordlist.
  • Ejemplos de entradas genéricas interesantes: upload.php, admin.aspx, webshell.jsp, administration/
• Si la criticidad de la entrada es LOW o superior, debes añadir una referencia al archivo CSV.