Descubrimiento de contenido web

Un servidor web responde a más rutas de las que enlaza. Una carpeta de administración, un respaldo que alguien dejó, un panel de pruebas: existen y responden, pero no hay un enlace que lleve a ellos desde la portada. El descubrimiento de contenido los encuentra probando nombres de ruta comunes contra el servidor y mirando cuáles devuelven algo en vez de un «no existe». Es activo —cada prueba es una petición— y por eso se mide el ruido, pero es la vía para ver la superficie que el sitio esconde.

En Arrecife, la tienda enlaza su catálogo y su contacto, pero el descubrimiento de contenido destapa rutas que ninguna página menciona. Esas rutas no listadas son, muchas veces, donde está lo interesante.

La salida del descubrimiento es una lista de rutas con su código de respuesta y su tamaño, y leerla es el trabajo. No toda ruta que responde importa: una redirección a la portada o una página de error personalizada devuelven algo sin aportar nada. Lo que merece atención es la ruta que responde con contenido propio —un panel, un listado, un archivo— y que además no debería estar expuesta. El código y el tamaño son las pistas: dos rutas con el mismo tamaño suelen ser la misma página repetida; la que se sale de la fila es la que se abre.

En Arrecife, entre las rutas que responden hay páginas de la tienda normales y una que destaca: una carpeta de administración que no debería verse desde fuera. Esa es la que se prioriza, no cada 200 de la lista.

Probar miles de nombres de ruta genera miles de peticiones, y eso tiene coste: llena los registros del cliente, puede disparar un bloqueo por exceso de peticiones que te cierra el acceso, y en un servidor frágil puede degradar el servicio. El criterio es el mismo que en el recon de red: usar el diccionario que la fase necesita, ajustar el ritmo a lo que el objetivo aguanta, y no lanzar el barrido más agresivo por defecto. El objetivo no es «probar todo», es «encontrar lo que importa sin tumbar nada».

En Arrecife, un barrido medido con un diccionario razonable basta para destapar la carpeta oculta. Lanzar el diccionario gigante al máximo ritmo sobre la tienda en producción es ruido y riesgo que la fase no pide.

Encontrar una carpeta de administración sin enlazar no cierra nada: abre la pregunta de qué deja ver y qué deja hacer. Puede pedir autenticación —y entonces el hallazgo es que existe y es alcanzable desde fuera— o puede estar abierta, y entonces el impacto es directo. En cualquier caso es material del informe: una superficie de administración accesible desde internet es exposición, aunque todavía no se haya entrado. Se documenta la ruta, cómo se encontró y qué expone.

En Arrecife, la carpeta oculta que destapó el descubrimiento es una zona de administración que no debía ser alcanzable desde fuera. Se registra ya como hallazgo, con su ruta y su impacto, y alimenta la fase de aplicaciones web.

El descubrimiento de contenido destapa lo que no está enlazado. Abre el laboratorio y lee la salida del barrido de rutas contra la tienda de Arrecife: casi todas son páginas conocidas, pero una carpeta de administración respondió sin estar enlazada en ninguna página. Aísla su ruta.