root@sparrow:~/writeups$ cat feroxbuster.md
// web
Feroxbuster
21 Jul 2026
· 6 min read
feroxbuster is a web content discovery tool written in Rust, designed to brute-force hidden paths and files on an HTTP server. Its defining trait is that it recurses by default: every new directory it finds is scanned again, with no need to launch manual passes.
Automatic recursion is at once its greatest strength and its greatest hazard: on a large site it can blow up depth and request volume out of control. That is why the flags that really matter are not the discovery ones but the containment ones — -d to cap depth, --scan-limit for concurrent scans and --rate-limit to avoid overwhelming the server. Mastering the status, size, word and line filters is what separates a clean listing from a wall of noise.
1. Beginner level — recursive discovery and basic filters
| Command | What it does |
|---|---|
feroxbuster -u https://<t> | Recursive brute force by default |
feroxbuster -u https://<t> -w <wl> | With a specific wordlist |
feroxbuster -u https://<t> -x php,txt | Adds extensions |
feroxbuster -u https://<t> -t 50 | Adjusts the number of threads |
feroxbuster -u https://<t> -d 2 | Limits recursion depth |
feroxbuster -u https://<t> -o out.txt | Saves the results |
feroxbuster -u https://<t> -s 200,301 | Filters by status code |
feroxbuster -u https://<t> -C 404 | Excludes status codes |
feroxbuster -u https://<t> -r | Follows redirects |
feroxbuster -u https://<t> -k | Ignores certificate errors |
feroxbuster -u https://<t> --no-recursion | Disables recursion |
feroxbuster -u https://<t> -q | Quiet mode |
feroxbuster --version | Shows the version |
feroxbuster -u https://<t> -n | No recursion (alias) |
2. Advanced level — auth, fine filters and resume
| Command | What it does |
|---|---|
feroxbuster -u https://<t> -H 'Authorization: Bearer x' | Custom header |
feroxbuster -u https://<t> -b 'session=x' | Adds cookies |
feroxbuster -u https://<t> --proxy http://127.0.0.1:8080 | Routes through a proxy |
feroxbuster -u https://<t> -S 0 | Filters responses by size |
feroxbuster -u https://<t> -W 20 | Filters by word count |
feroxbuster -u https://<t> -X 15 | Filters by line count |
feroxbuster -u https://<t> --filter-regex 'denied' | Filters by regex in the response |
feroxbuster -u https://<t> -a 'Mozilla/5.0' | Customizes the User-Agent |
feroxbuster -u https://<t> --rate-limit 100 | Limits requests per second |
feroxbuster -u https://<t> -m GET,POST | Tries several HTTP methods |
feroxbuster -u https://<t> --dont-scan logout | Excludes paths from the scan |
feroxbuster -u https://<t> --resume-from state.json | Resumes a previous scan |
feroxbuster -u https://<t> -x php --scan-limit 2 | Limits concurrent scans |
feroxbuster --stdin < urls.txt | Reads targets from stdin |
3. Details people miss
- Recursion is on by default: on a large site this multiplies requests very fast. Use
-dto cap depth, or--no-recursion/-nif you only want the first level. - Don't confuse the status-code filters:
-sincludes only those codes, while-Cexcludes them. Mixing them up drops valid findings. - Against HTTPS targets with a self-signed certificate (common in labs) the scan fails until you add
-kto ignore certificate errors. - If a directory always returns the same size or word count for non-existent pages, filter it with
-S,-Wor-Xinstead of by status; many servers answer 200 to everything (soft-404). - feroxbuster saves state automatically on Ctrl+C: you can pick a long scan back up with
--resume-from state.jsoninstead of starting over.
Responsible use
These commands are for systems you own or have explicit written authorisation to test (labs, CTFs, contracted engagements). Using them against third-party infrastructure without permission is illegal in most countries.
feroxbuster es una herramienta de descubrimiento de contenido web escrita en Rust, pensada para forzar por fuerza bruta rutas y ficheros ocultos en un servidor HTTP. Su rasgo distintivo es que recorre de forma recursiva por defecto: cada directorio nuevo que encuentra lo vuelve a escanear, sin que tengas que lanzar pasadas manuales.
La recursión automática es a la vez su mayor virtud y su mayor peligro: en un sitio grande puede disparar la profundidad y el número de peticiones sin control. Por eso los flags que de verdad importan no son los de descubrimiento, sino los de contención — -d para acotar profundidad, --scan-limit para escaneos concurrentes y --rate-limit para no tumbar el servidor. Dominar los filtros de estado, tamaño, palabras y líneas es lo que separa un listado limpio de un muro de ruido.
1. Nivel principiante — descubrimiento recursivo y filtros básicos
| Comando | Qué hace |
|---|---|
feroxbuster -u https://<t> | Fuerza bruta recursiva por defecto |
feroxbuster -u https://<t> -w <wl> | Con una wordlist concreta |
feroxbuster -u https://<t> -x php,txt | Añade extensiones |
feroxbuster -u https://<t> -t 50 | Ajusta el número de hilos |
feroxbuster -u https://<t> -d 2 | Limita la profundidad recursiva |
feroxbuster -u https://<t> -o out.txt | Guarda los resultados |
feroxbuster -u https://<t> -s 200,301 | Filtra por código de estado |
feroxbuster -u https://<t> -C 404 | Excluye códigos de estado |
feroxbuster -u https://<t> -r | Sigue las redirecciones |
feroxbuster -u https://<t> -k | Ignora errores de certificado |
feroxbuster -u https://<t> --no-recursion | Desactiva la recursión |
feroxbuster -u https://<t> -q | Modo silencioso |
feroxbuster --version | Muestra la versión |
feroxbuster -u https://<t> -n | Sin recursión (alias) |
2. Nivel avanzado — auth, filtros finos y reanudación
| Comando | Qué hace |
|---|---|
feroxbuster -u https://<t> -H 'Authorization: Bearer x' | Cabecera personalizada |
feroxbuster -u https://<t> -b 'session=x' | Añade cookies |
feroxbuster -u https://<t> --proxy http://127.0.0.1:8080 | Enruta por un proxy |
feroxbuster -u https://<t> -S 0 | Filtra respuestas por tamaño |
feroxbuster -u https://<t> -W 20 | Filtra por número de palabras |
feroxbuster -u https://<t> -X 15 | Filtra por número de líneas |
feroxbuster -u https://<t> --filter-regex 'denied' | Filtra por regex en la respuesta |
feroxbuster -u https://<t> -a 'Mozilla/5.0' | Personaliza el User-Agent |
feroxbuster -u https://<t> --rate-limit 100 | Limita peticiones por segundo |
feroxbuster -u https://<t> -m GET,POST | Prueba varios métodos HTTP |
feroxbuster -u https://<t> --dont-scan logout | Excluye rutas del escaneo |
feroxbuster -u https://<t> --resume-from state.json | Reanuda un escaneo previo |
feroxbuster -u https://<t> -x php --scan-limit 2 | Limita escaneos concurrentes |
feroxbuster --stdin < urls.txt | Lee objetivos por stdin |
3. Detalles que se pasan por alto
- La recursión está activada por defecto: en un sitio grande esto multiplica las peticiones muy rápido. Usa
-dpara acotar la profundidad o--no-recursion/-nsi solo quieres el primer nivel. - No confundas los filtros por código de estado:
-sincluye solo esos códigos, mientras que-Clos excluye. Combinarlos mal deja fuera hallazgos válidos. - En objetivos HTTPS con certificado autofirmado (típico en labs) el escaneo falla hasta que añades
-kpara ignorar los errores de certificado. - Si un directorio devuelve siempre el mismo tamaño o número de palabras para páginas inexistentes, fíltralo con
-S,-Wo-Xen lugar de por estado; muchos servidores responden 200 a todo (soft-404). - feroxbuster guarda estado automáticamente al recibir Ctrl+C: puedes retomar un escaneo largo con
--resume-from state.jsonsin empezar de cero.
Uso responsable
Estos comandos son para entornos propios o con autorización explícita por escrito (laboratorios, CTF, auditorías contratadas). Usarlos contra infraestructura ajena sin permiso es ilegal en la mayoría de países.