¿Qué es Brute force de directorios (fuerza bruta de directorios)?
$ man brute-force-de-directorios
Técnica de reconocimiento web que prueba de forma automatizada miles de rutas y nombres de archivo en un servidor para descubrir directorios y recursos ocultos o no enlazados.
El brute force de directorios consiste en enviar peticiones HTTP a un sitio usando una lista de palabras (wordlist) con nombres comunes de carpetas y archivos, como admin, backup o config.php. Según el código de respuesta del servidor (200, 301, 403, 404, etc.) se infiere qué recursos existen aunque no estén enlazados en la web. Sus variantes incluyen la búsqueda recursiva dentro de los directorios hallados, la prueba de extensiones de archivo y el fuzzing de parámetros o subdominios virtuales. Herramientas conocidas como Gobuster, ffuf, Dirb o Feroxbuster automatizan el proceso y solo deben usarse con autorización.
🧪Ejemplo
En un pentest autorizado, el auditor ejecuta Código: text
gobuster dir -u https://objetivo-autorizado.com -w wordlist.txt -x php,bak
y encuentra un /backup/db.bak olvidado y accesible públicamente que contenía credenciales de la base de datos.
🛡Cómo protegerse
No dejar en producción backups, archivos de configuración, repositorios .git ni paneles de prueba.
Proteger las rutas administrativas con autenticación fuerte y, si es posible, restringirlas por IP o VPN.
Desactivar el listado de directorios (directory listing) en el servidor web.
Aplicar rate limiting y un WAF que detecte y frene ráfagas de peticiones con muchos 404.
Revisar los logs periódicamente en busca de patrones de enumeración automatizada.
⚠Para tener en cuenta
Ocultar un recurso no equivale a protegerlo: la seguridad por oscuridad cae ante una buena wordlist. Además, lanzar esta técnica contra sitios sin permiso puede ser ilegal y generar una carga considerable en el servidor.
Redactado con el asistente Underc0de IA. Actualizado el 09/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
