SecLists - Colección de Listas de Seguridad

Introducción

SecLists es la colección definitiva de listas de seguridad utilizadas en pruebas de penetración y auditorías de seguridad. Mantenida por Daniel Miessler y la comunidad, contiene más de 100 listas diferentes organizadas en categorías para facilitar el acceso durante evaluaciones de seguridad.

GitHub: https://github.com/danielmiessler/SecLists
Mantenedor: Daniel Miessler (@danielmiessler)
Licencia: MIT
Estrellas: +50k en GitHub

Características Principales

📚 Colección Integral

100+ listas organizadas por categorías
Múltiples formatos (txt, csv, xml, etc.)
Actualizaciones constantes por la comunidad
Integración fácil con herramientas populares

🗂️ Organización por Categorías

Discovery/       # Enumeración y descubrimiento
Fuzzing/         # Payloads para fuzzing
Passwords/       # Credenciales y hashes
Patterns/        # Patrones de datos sensibles
Usernames/       # Nombres de usuario comunes
Web-Shells/      # Webshells y backdoors
Miscellaneous/   # Listas varias

🔧 Diseño para Pentesters

Recién instalado? git clone y listo
Portabilidad entre sistemas y herramientas
Compatible con todas las herramientas de seguridad
Documentación incluida para cada lista

Estructura de Directorios

Directorio Principal

SecLists/
├── Discovery/           # Enumeración de servicios y contenido
├── Fuzzing/             # Payloads para pruebas de fuzzing
├── IOCs/                # Indicadores de compromiso
├── Miscellaneous/       # Listas varias
├── Passwords/           # Contraseñas y hashes
├── Pattern-Matching/    # Patrones para detección de datos
├── Usernames/           # Nombres de usuario
└── Web-Shells/          # Webshells comunes

Discovery - Enumeración

Discovery/
├── DNS/                 # Subdominios y nombres DNS
├── FileFormat/          # Firmas de archivos
├── Web-Content/         # Directorios, archivos y parámetros web
├── SNMP/                # Comunidades SNMP
├── CVEs/                # Listas de CVE
└── ...

Web-Content - Contenido Web

Web-Content/
├── admin-panels.txt       # Paneles de administración
├── backup-files.txt       # Archivos de backup comunes
├── burp-parameter-names.txt # Nombres de parámetros
├── common.txt             # Directorios y archivos comunes
├── directory-list-*.txt   # Listas de directorios por tamaño
├── raft-*.txt             # Listas RAFT (grandes)
├── robots.txt             # Entradas comunes de robots.txt
├── web-extensions.txt     # Extensiones de archivos web
└── ...

Passwords - Credenciales

Passwords/
├── Common-Credentials/    # Credenciales comunes
├── Default-Credentials/   # Credenciales por defecto
├── Leaked-Databases/      # Bases de datos filtradas
├── Most-Popular-Letter-Passes.txt # Contraseñas populares
├── password-policies.txt  # Políticas de contraseñas
├── rockyou.txt            # La famosa lista rockyou
└── ...

Instalación

Método 1: Clonar Repositorio

# Clonar repositorio completo
git clone --depth 1 https://github.com/danielmiessler/SecLists.git

# Solo la última versión (ahorra espacio)
git clone --depth 1 --branch master https://github.com/danielmiessler/SecLists.git

Método 2: Descargar ZIP

# Descargar última versión
wget https://github.com/danielmiessler/SecLists/archive/master.zip

# Descomprimir
unzip master.zip

# Renombrar
mv SecLists-master SecLists

Método 3: Usar en Kali Linux

# En Kali, SecLists está preinstalado en:
/usr/share/seclists

# Actualizar desde repositorio
sudo apt update && sudo apt install seclists

Uso Práctico

Con Gobuster

# Enumeración de directorios
gobuster dir -u https://example.com -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

# Enumeración de subdominios
gobuster dns -d example.com -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt

Con Wfuzz

# Fuzzing de directorios
wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt http://example.com/FUZZ

# Fuzzing de parámetros
wfuzz -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt http://example.com/page.php?FUZZ=test

Con Nmap

# Fuzzing de VHosts
nmap --script http-vhosts --script-args http-vhosts.file=/usr/share/seclists/Discovery/DNS/subdomains-top1million-20000.txt -p 80 example.com

# Prueba de credenciales por defecto
nmap --script http-default-accounts -p 80 example.com

Con Hydra

# Ataque de fuerza bruta a SSH
hydra -L /usr/share/seclists/Usernames/top-usernames-shortlist.txt -P /usr/share/seclists/Passwords/rockyou.txt ssh://example.com

# Ataque a formulario web
hydra -l admin -P /usr/share/seclists/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt example.com http-post-form "/login.php:user=^USER^&pass=^PASS^:F=Invalid credentials"

Listas Más Útiles

Top 10 Listas Imprescindibles

rockyou.txt - 14M contraseñas reales filtradas /usr/share/seclists/Passwords/rockyou.txt
directory-list-2.3-medium.txt - 220k entradas para directorios web /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt
subdomains-top1million-5000.txt - Subdominios más populares /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt
raft-medium-words.txt - Lista RAFT para contenido web /usr/share/seclists/Discovery/Web-Content/raft-medium-words.txt
burp-parameter-names.txt - Nombres de parámetros para fuzzing /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt
top-usernames-shortlist.txt - Usernames más comunes /usr/share/seclists/Usernames/top-usernames-shortlist.txt
10-million-password-list-top-1000000.txt - 1M contraseñas más comunes /usr/share/seclists/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt
sql-injection-payloads.txt - Payloads para SQLi /usr/share/seclists/Fuzzing/SQLi/sql-injection-payloads.txt
xss-payload-list.txt - Payloads para XSS /usr/share/seclists/Fuzzing/XSS/xss-payload-list.txt
web-extensions.txt - Extensiones de archivos web /usr/share/seclists/Discovery/Web-Content/web-extensions.txt

Generación de Listas Personalizadas

Script para Combinar Listas

#!/bin/bash

# Combinar múltiples listas eliminando duplicados
cat /usr/share/seclists/Discovery/Web-Content/common.txt \
    /usr/share/seclists/Discovery/Web-Content/raft-small-words.txt \
    /usr/share/wordlists/dirb/common.txt | \
    sort -u > custom-web-list.txt

echo "Lista combinada creada: custom-web-list.txt ($(wc -l < custom-web-list.txt) líneas)"

Script para Filtrar por Tamaño

#!/bin/bash

# Filtrar palabras entre 6 y 12 caracteres
grep -E '^.{6,12}$' /usr/share/seclists/Passwords/Common-Credentials/10-million-password-list-top-1000000.txt > filtered-passwords.txt

echo "Contraseñas filtradas: filtered-passwords.txt ($(wc -l < filtered-passwords.txt) líneas)"

Generar Listas desde APIs

#!/usr/bin/env python3

import requests

# Descargar lista de países
def get_countries():
    url = "https://restcountries.com/v3.1/all"
    response = requests.get(url)
    countries = [country['name']['common'] for country in response.json()]
    return sorted(countries)

# Guardar en archivo
with open("countries.txt", "w") as f:
    for country in get_countries():
        f.write(f"{country}\n")

print("Lista de países generada")

Mejores Prácticas

1. Selección de Listas

Empezar con listas pequeñas para pruebas iniciales
Escalar gradualmente a listas más grandes
Usar listas específicas para la tecnología objetivo
Combinar listas para cobertura completa

2. Optimización

# Preprocesar listas grandes
sort -u big-list.txt > big-list-unique.txt

# Dividir listas muy grandes
split -l 100000 huge-list.txt chunk-

# Comprimir para ahorrar espacio
gzip -k big-list.txt

3. Mantenimiento

Actualizar regularmente con git pull
Contribuir a la comunidad con nuevas listas
Reportar problemas en GitHub
Crear issues para solicitar nuevas listas

Integración con Herramientas

Configurar PATH Permanente

# Agregar a .bashrc o .zshrc
export SECLISTS_PATH="/path/to/SecLists"

alias seclist="cd $SECLISTS_PATH"

Shortcuts para Comandos

# Acceso rápido a listas comunes
alias webcommon="cd /usr/share/seclists/Discovery/Web-Content"
alias passwords="cd /usr/share/seclists/Passwords"
alias fuzzlists="cd /usr/share/seclists/Fuzzing"

Recursos Adicionales

Listas Relacionadas

FuzzDB: https://github.com/fuzzdb-project/fuzzdb
PayloadsAllTheThings: https://github.com/swisskyrepo/PayloadsAllTheThings
Probable-Wordlists: https://github.com/berzerk0/Probable-Wordlists
Assetnote Wordlists: https://wordlists.assetnote.io/

Herramientas para Gestionar Listas

CeWL: Generar listas personalizadas desde sitios web
Mentalist: Transformar listas con reglas personalizadas
Hashcat-Utils: Herramientas para procesar listas de contraseñas
PACK: Kit de análisis de contraseñas

SecLists es un recurso indispensable que todo profesional de seguridad debe tener en su toolkit. Su amplia colección de listas ahorra tiempo valioso durante pruebas de penetración y auditorías de seguridad.