Gobuster 是一款高性能的 Web 目录/文件/DNS 枚举工具，使用 Go 语言编写，广泛应用于 Web 渗透测试和红队侦察阶段。

📦 基本信息

🎯 支持的扫描模式

🚀 常见使用命令

1. 目录/文件枚举（最常用）

# 基本目录扫描
gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/common.txt

# 指定扩展名扫描
gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/common.txt -x .php,.html,.txt

# 带身份认证扫描
gobuster dir -u https://target.com -w wordlist.txt -c "PHPSESSID=abc123"

# 多线程加速（-t 指定线程数）
gobuster dir -u https://target.com -w wordlist.txt -t 50

# 递归扫描子目录
gobuster dir -u https://target.com -w wordlist.txt -r

2. DNS 子域名枚举

# 基本子域名爆破

gobuster dns -d target.com -w /usr/share/wordlists/subdomains.txt

# 带通配符支持

gobuster dns -d target.com -w wordlist.txt -w

# 显示发现的子域名 IP

gobuster dns -d target.com -w wordlist.txt -i

3. 虚拟主机枚举

gobuster vhost -u https://target.com -w wordlist.txt

4. AWS S3 存储桶枚举

gobuster s3 -w wordlist.txt

5. 模糊测试

gobuster fuzz -u https://target.com/?param=FUZZ -w wordlist.txt

📋 常用参数

🎬 典型使用场景

⚡ 性能特点

• 速度快：Go 语言编写，多线程支持，50 线程扫 5000 目标仅需 2-3 分钟

• 资源占用低：CPU 和内存消耗极小

• 无依赖：单二进制文件，直接运行

• 结果导出：支持 JSON/CSV 等格式输出

⚠️ 注意事项

• 仅用于授权的渗透测试或自己的系统，未授权扫描属违法行为

• 扫描前建议获得书面授权

• 高线程数可能触发目标 IDS/WAF 拦截