Cara Menggunakan Dirb dan Dirsearch: Panduan Lengkap Web Directory Enumeration untuk Pemula

Setiap aplikasi web menyimpan banyak file dan direktori di balik layar. Beberapa sengaja disembunyikan, beberapa tidak sengaja terekspos. Panel admin, file konfigurasi, backup database, log error — semua ini bisa jadi pintu masuk bagi penyerang jika tidak terlindungi. Teknik web directory enumeration menjadi skill fundamental yang wajib dikuasai siapa pun yang serius di bidang keamanan web.

Berdasarkan laporan OWASP Top 10 (2021), security misconfiguration menduduki posisi kelima sebagai kerentanan web paling kritis. Banyak organisasi tanpa sadar mengekspos direktori sensitif karena konfigurasi server yang tidak tepat. Dua tool open source yang paling banyak digunakan untuk menemukan direktori tersembunyi ini adalah Dirb dan Dirsearch. Keduanya sudah terpasang secara default di Kali Linux dan menjadi senjata utama web penetration tester di seluruh dunia.

Artikel ini akan membahas cara menggunakan Dirb dan Dirsearch secara praktis, dari instalasi hingga interpretasi hasil. Baca juga: Cara Menggunakan Gobuster: Panduan Lengkap Directory Enumeration untuk Pemula jika ingin memahami tool ketiga yang paling populer di kategori ini.

Apa Itu Web Directory Enumeration dan Kenapa Penting?

Web directory enumeration adalah proses menemukan direktori dan file tersembunyi di server web dengan cara mengirimkan request ke berbagai path yang umum digunakan. Teknik ini termasuk dalam fase reconnaissance atau pengumpulan informasi, yang merupakan langkah pertama dalam penetration testing.

Bayangkan sebuah gedung perkantoran besar. Directory enumeration seperti mencoba membuka setiap pintu di gedung itu untuk melihat mana yang tidak terkunci. Beberapa pintu mungkin menuju ruang server, ruang arsip, atau panel kontrol yang seharusnya hanya bisa diakses karyawan tertentu. Jika salah satu pintu itu terbuka, penyerang bisa masuk tanpa perlu merusak apa pun.

Dalam konteks keamanan siber, directory enumeration membantu mengidentifikasi:

• Panel administrasi yang tidak terlindungi (/admin, /wp-admin, /phpmyadmin)
• File konfigurasi yang terekspos (config.php.bak, .env, wp-config.php)
• File backup database (backup.sql, db_backup.zip)
• Direktori Git yang terekspos (.git/)
• Log file yang mengandung informasi sensitif
• Endpoint API yang tidak terdokumentasi

Menurut pedoman NIST SP 800-115, pengujian keamanan web harus mencakup identifikasi konten tersembunyi sebagai bagian dari information gathering. Directory enumeration adalah teknik inti yang direkomendasikan dalam framework tersebut.

Apa Itu Dirb? Cara Kerja dan Fitur Utamanya

Dirb adalah web content scanner berbasis command line yang dikembangkan oleh The Dark Raver. Tool ini sudah ada sejak awal 2000-an dan menjadi salah satu tool paling klasik di dunia penetration testing. Dirb bekerja dengan cara mengirimkan HTTP request ke server target menggunakan wordlist (daftar kata) untuk menemukan direktori dan file yang ada.

Keunggulan utama Dirb adalah kesederhanaannya. Tidak perlu konfigurasi rumit, tidak ada ketergantungan library eksternal yang berat, dan hasilnya langsung terlihat di terminal. Dirb cocok untuk pemula yang baru belajar web recon sekaligus cukup powerful untuk professional yang butuh scan cepat.

Instalasi Dirb

Di Kali Linux, Dirb sudah terpasang secara default. Untuk distribusi Linux lainnya, instal dengan perintah berikut:

Untuk Debian/Ubuntu: sudo apt install dirb

Untuk Fedora/RHEL: sudo dnf install dirb

Untuk Arch Linux: sudo pacman -S dirb

Wordlist default Dirb terletak di /usr/share/wordlists/dirb/. File common.txt berisi sekitar 4.600 path yang paling umum ditemukan di server web. File big.txt berisi koleksi yang lebih lengkap dengan puluhan ribu entri.

Command Dasar Dirb

Berikut adalah perintah-perintah Dirb yang paling sering digunakan dalam penetration testing:

1. Scan dasar dengan wordlist default:

dirb http://target.com

Perintah ini akan memindai target menggunakan wordlist common.txt secara otomatis.

2. Scan dengan wordlist kustom:

dirb http://target.com /usr/share/wordlists/dirb/big.txt

3. Scan dengan ekstensi file tertentu:

dirb http://target.com -X .php,.bak,.txt,.zip

Parameter -X menambahkan ekstensi file ke setiap kata di wordlist. Sangat berguna untuk mencari file backup atau konfigurasi.

4. Scan dengan cookie autentikasi:

dirb http://target.com -c "PHPSESSID=abc123"

5. Scan dengan User-Agent kustom:

dirb http://target.com -a "Mozilla/5.0"

6. Non-recursive scan (hanya root directory):

dirb http://target.com -r

Secara default, Dirb akan melakukan recursive scan — setelah menemukan direktori, Dirb akan memindai isinya. Gunakan -r untuk mematikan fitur ini dan mempercepat scan awal.

Apa Itu Dirsearch? Kelebihan Dibanding Dirb

Dirsearch adalah web path scanner yang lebih modern, ditulis dalam Python oleh maurosoria. Dirsearch hadir untuk mengatasi keterbatasan Dirb, terutama dalam hal kecepatan, dukungan multi-threading, dan fleksibilitas output. Jika Dirb adalah sedan klasik yang andal, Dirsearch adalah mobil balap yang dirancang untuk efisiensi.

Beberapa keunggulan Dirsearch dibanding Dirb:

• Multi-threading — Dirsearch bisa menjalankan puluhan koneksi secara bersamaan, membuat scan jauh lebih cepat
• Output format beragam — Mendukung output plain text, JSON, CSV, XML, dan Markdown
• Proxy support — Bisa melewati proxy HTTP/SOCKS untuk anonimitas
• Recursive scan cerdas — Bisa mengatur kedalaman rekursi secara presisi
• Delay antar request — Fitur throttle untuk menghindari rate limiting server
• Wordlist bawaan yang besar — Database path yang lebih lengkap dan terupdate

Instalasi Dirsearch

Dirsearch tidak tersedia di package manager standar. Instalasi dilakukan dengan clone repository dari GitHub:

git clone https://github.com/maurosoria/dirsearch.git
cd dirsearch
pip install -r requirements.txt

Setelah instalasi, Dirsearch bisa dijalankan dengan:

python3 dirsearch.py -u http://target.com

Command Dasar Dirsearch

1. Scan dasar:

python3 dirsearch.py -u http://target.com

2. Scan dengan ekstensi spesifik:

python3 dirsearch.py -u http://target.com -e php,html,bak,zip,txt

3. Scan dengan jumlah thread tertentu:

python3 dirsearch.py -u http://target.com -t 30

Default Dirsearch menggunakan 20 thread. Menambah jumlah thread akan mempercepat scan tapi juga meningkatkan beban ke server target. Gunakan secara bijak.

4. Scan recursive dengan kedalaman terbatas:

python3 dirsearch.py -u http://target.com -r -R 2

Parameter -r mengaktifkan recursive scan, sementara -R 2 membatasi kedalaman rekursi ke 2 level saja.

5. Scan dengan delay untuk menghindari deteksi:

python3 dirsearch.py -u http://target.com --delay 0.5

6. Simpan hasil ke file:

python3 dirsearch.py -u http://target.com -o hasil_scan.txt --format=json

Dirsearch mendukung beberapa format output: simple, plain, json, xml, md, csv, dan html.

7. Scan dengan custom header:

python3 dirsearch.py -u http://target.com --header "Authorization: Bearer token123"

Dirb vs Dirsearch vs Gobuster: Kapan Menggunakan yang Mana?

Ketiga tool directory enumeration memiliki karakteristik yang berbeda. Memilih tool yang tepat tergantung pada situasi dan kebutuhan spesifik. Berikut perbandingan lengkapnya:

Fitur	Dirb	Dirsearch	Gobuster
Bahasa	C	Python	Go
Kecepatan	Lambat (single-thread)	Cepat (multi-thread)	Sangat Cepat (Go concurrency)
Kemudahan Instalasi	apt install	git clone + pip	apt install
Output Format	Terminal only	7 format (json, csv, xml, dll)	Terminal only
Recursive Scan	Bawaan (on by default)	Configurable depth	Tidak ada
DNS Subdomain	Tidak	Tidak	Ya (mode dns)
Proxy Support	Ya	Ya (HTTP/SOCKS)	Ya
Cocok untuk	Scan kecil, belajar	Scan menengah-besar, reporting	Scan besar, high-performance

Gunakan Dirb ketika: Melakukan scan cepat di lingkungan lab, belajar dasar-dasar directory enumeration, atau ketika hanya tersedia terminal tanpa Python. Dirb juga sangat baik untuk recursive scanning yang mendalam karena fitur ini aktif secara default.

Gunakan Dirsearch ketika: Membutuhkan hasil scan dalam format terstruktur (JSON/CSV) untuk reporting, memerlukan kecepatan tinggi dengan multi-threading, atau bekerja dalam lingkungan di mana Python sudah tersedia. Dirsearch unggul dalam integrasi dengan pipeline otomatisasi.

Gunakan Gobuster ketika: Membutuhkan performa maksimal untuk target besar, ingin melakukan enumerasi DNS subdomain sekaligus, atau bekerja dengan resource sistem terbatas. Gobuster yang ditulis dalam bahasa Go sangat efisien dalam penggunaan memori.

Untuk pembahasan mendalam tentang Gobuster, baca: Cara Menggunakan Gobuster: Panduan Lengkap Directory Enumeration untuk Pemula.

Bagaimana Cara Membaca Hasil Directory Enumeration?

Memahami output dari Dirb dan Dirsearch sama pentingnya dengan menjalankan scan itu sendiri. Tidak semua direktori yang ditemukan bernilai dari sisi keamanan. Kemampuan membedakan temuan kritis dari false positive adalah skill yang membedakan pentester pemula dan profesional.

Setiap hasil scan menampilkan HTTP status code yang memberikan informasi tentang kondisi path yang ditemukan:

• 200 OK — Path ditemukan dan bisa diakses. Ini temuan paling penting. Contoh: /admin/ mengembalikan 200 artinya panel admin bisa diakses tanpa autentikasi
• 301/302 Redirect — Path ada tapi mengarahkan ke lokasi lain. Perlu investigasi lebih lanjut. Contoh: /login redirect ke /auth/login menunjukkan adanya sistem autentikasi
• 403 Forbidden — Path ada tapi akses dibatasi. Meskipun tidak bisa diakses langsung, informasi ini berharga karena mengonfirmasi keberadaan direktori. Contoh: /backup/ 403 Forbidden berarti folder backup ada, hanya tidak bisa dibaca
• 401 Unauthorized — Path ada dan memerlukan autentikasi. Bisa jadi target untuk serangan brute-force password
• 500 Internal Server Error — Bisa mengindikasikan kerentanan aplikasi jika path tertentu menyebabkan error yang tidak tertangani

Dalam penetration testing profesional, setiap temuan 200 OK harus dicatat dan dilaporkan. Temuan 403 Forbidden juga penting karena mengonfirmasi struktur direktori server. Kombinasikan hasil directory enumeration dengan tool lain seperti Burp Suite untuk analisis lebih mendalam. Baca juga: Cara Menggunakan Burp Suite untuk Web Security Testing.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah directory enumeration legal?

Directory enumeration legal jika dilakukan terhadap sistem yang Anda miliki sendiri atau sistem di mana Anda memiliki izin tertulis untuk melakukan pengujian keamanan. Melakukan scan terhadap website orang lain tanpa izin dapat melanggar hukum, termasuk UU ITE di Indonesia. Selalu dapatkan izin tertulis sebelum melakukan penetration testing.

Berapa lama waktu yang dibutuhkan untuk scan directory enumeration?

Tergantung ukuran wordlist dan kecepatan koneksi. Scan dengan wordlist common (~4.600 kata) biasanya selesai dalam 2-5 menit. Wordlist besar seperti big.txt (~20.000 kata) bisa memakan waktu 15-30 menit dengan Dirb (single-thread) atau 3-5 menit dengan Dirsearch (multi-thread).

Apa perbedaan utama Dirb dan Dirsearch?

Dirb ditulis dalam bahasa C dan berjalan single-thread, sehingga lebih lambat tapi sangat ringan. Dirsearch ditulis dalam Python dengan dukungan multi-threading, lebih cepat, dan mendukung banyak format output. Dirb lebih cocok untuk belajar, Dirsearch lebih cocok untuk pekerjaan profesional.

Apakah WAF bisa memblokir directory enumeration?

Ya, Web Application Firewall (WAF) modern dapat mendeteksi pola directory enumeration dan memblokir IP yang melakukan scan agresif. Gunakan fitur --delay di Dirsearch untuk memperlambat request dan hindari deteksi. Mengganti User-Agent secara berkala juga membantu.

Wordlist apa yang paling efektif untuk directory enumeration?

Tidak ada wordlist yang sempurna untuk semua situasi. Mulailah dengan common.txt dari Dirb untuk scan awal, lalu lanjutkan dengan wordlist khusus sesuai teknologi target. Seclists dari Daniel Miessler menyediakan koleksi wordlist terorganisir yang sangat lengkap. Untuk target WordPress, gunakan wordlist khusus WordPress. Untuk target berbasis PHP, fokus pada ekstensi .php.

Kesimpulan

Dirb dan Dirsearch adalah dua tool directory enumeration yang saling melengkapi. Dirb memberikan fondasi yang solid untuk memahami cara kerja web content scanning, sementara Dirsearch menawarkan performa dan fleksibilitas yang dibutuhkan dalam pekerjaan profesional. Keduanya gratis, open source, dan sudah menjadi standar industri di dunia penetration testing.

Berdasarkan laporan Verizon Data Breach Investigations Report (DBIR) 2025, lebih dari 30% kebocoran data melibatkan aplikasi web sebagai vektor serangan. Directory enumeration yang dilakukan oleh penyerang sering kali menjadi langkah awal sebelum eskalasi ke serangan yang lebih serius. Kemampuan melakukan directory enumeration secara efektif, dan lebih penting lagi, memahami cara melindungi aplikasi dari teknik ini, adalah investasi skill yang akan terus relevan.

Mulailah berlatih di lingkungan lab yang aman seperti TryHackMe, HackTheBox, atau PortSwigger Web Security Academy. Pahami setiap HTTP status code yang muncul. Catat setiap temuan menarik. Dan yang paling penting, selalu ingat bahwa setiap direktori tersembunyi yang berhasil ditemukan dalam penetration test adalah satu celah keamanan yang berhasil dicegah sebelum penyerang sesungguhnya menemukannya.