DirBuster是一个多线程的基于Java的应用程序，主要用于暴力破解Web应用服务器上的目录名和文件名。DirBuster被设计用于探测web目录结构和隐藏的敏感文件。
1环境配置与安装
java环境变量配置：
JDK环境： 变量名 变量值 Java_Home D:\Program Files\Java\jdk1.8.0_91 #新建变量 Path %Java_Home%\bin;%Java_Home%\jre\bin; #找到path变量加入一条变量值 CLASSPATH .;%Java_Home%\bin;%Java_Home%\lib\dt.jar;%Java_Home%\lib\tools.jar #新建变量Dirbuster安装：
windows： 在解压目录下找到并双击DirBuster.jar启动软 Linux： 第一步： 将解压好的安装包放入linux目录 第二步： Linux用户在目录下开启终端，命令行运行./DirBuster-1.0-RC1.sh 第三步： 若脚本无执行权限使用chmod + x ./DirBuster-1.0-RC1.sh添加权限界面功能中文注释：
2使用教程
1)出现可视化窗口，配置很多，现在我们先填写空白的输入框部分，这里我们在第一个输入框填写扫描网站的url地址
2)出现字典的查找路径，进入第二个
3)这里为了方便，选择了一个轻量级的字典
4)我们点击url fuzz，最下方的输入框追加上{dir}
5)最后我们点击开始扫描
6)进入扫描窗口，我们点击第二个查看
7)从response响应上来看，返回值200的路径应该是可以访问的，第一个是/本目录可以忽略，第二个/wp-content/可以直接追加上试一试
8)发现是空白页面，排除，继续往下看，发现返回302的几个字典名称为/login和/admin，这几个是常用的网站后台路径，所以也输入尝试一下
网站后台扫描工具都是利用后台目录字典进行爆破扫描，字典越多，扫描到的结果也越多。
3结果分析
Dirbuster是一种履带式和粗暴式的混合物; 它遵循它找到的页面中的所有链接，但也为可能的文件尝试不同的名称。这些名称可能位于与我们使用的文件类似的文件中，也可能由Dirbuster使用Pure Brute Force选项自动生成，并设置字符集以及生成的单词的最小和最大长度。
为确定文件是否存在，DirBuster使用服务器的响应代码，最常见的响应如下所示：
200 ok：文件存在;
404找不到404文件：服务器中不存在该文件;
301 301永久移动：这是重定向到给定的URL;
401 Unauthorized:访问此文件需要身份验证;
403 Forbidden：请求有效但服务器拒绝响应。
