Todo tutorial de brute force de diretórios termina igual: um comando com -w /usr/share/seclists/alguma-coisa/alguma-coisa.txt e nenhuma palavra sobre por que aquele arquivo e não os outros três mil que estão ao lado. O SecLists é a coleção de wordlists que quase todo guia de hacking presume que você já entende, e que quase ninguém explica. Este guia resolve isso: o que existe de fato nos 1,8 GB, como escolher uma lista em dez segundos em vez de adivinhar, e os quatro erros que custam tardes inteiras a quem está começando. Se quiser um alvo durante a leitura, nosso lab Custom Wordlist Attack foi construído exatamente em torno dessa decisão.
A escolha da wordlist é a variável mais subestimada do teste de invasão. Mesma ferramenta, mesmo alvo, mesma quantidade de café: uma lista acha o painel administrativo em quarenta segundos e outra passa vinte minutos sem encontrar nada. Tudo o que vem a seguir foi conferido no repositório atual do SecLists e no pacote seclists do Kali, versão 2025.3.
TL;DR: o SecLists é uma coleção gratuita de wordlists para testes de segurança, com licença MIT, mantida em github.com/danielmiessler/SecLists. No Kali, instale com sudo apt install seclists e ela vai para /usr/share/seclists. Comece por Discovery/Web-Content/common.txt (4.751 entradas) para caminhos web, Discovery/DNS/subdomains-top1million-5000.txt para subdomínios, e Usernames/top-usernames-shortlist.txt junto com Passwords/Common-Credentials/top-passwords-shortlist.txt para password spraying. Maior não é melhor: é mais lento.
O que é o SecLists?
SecLists é uma coleção gratuita de wordlists usadas em avaliações de segurança: nomes de usuário, senhas, caminhos de URL, subdomínios, payloads de fuzzing, web shells e regras de detecção de padrões, tudo reunido em um único repositório. É mantida por Daniel Miessler e colaboradores em github.com/danielmiessler/SecLists, com licença MIT, e já passou de 73 mil estrelas no GitHub.
Não é uma ferramenta. Nada dentro do SecLists executa. É entrada de dados, e é a entrada de quase toda ferramenta que um iniciante toca no primeiro mês: gobuster, ffuf, dirsearch, Hydra, Hashcat, John the Ripper, sqlmap, wfuzz, Nuclei, Burp Intruder. A ferramenta é o motor. A wordlist é o combustível, e é o combustível que decide onde você chega.
Essa distinção pesa mais do que parece. As pessoas gastam semanas aprendendo as flags de um fuzzer e zero minutos aprendendo qual das vinte e tantas listas de conteúdo web deveriam ter apontado para ele. Na prática, as flags raramente decidem o resultado. A lista decide.
Como instalar o SecLists
No Kali Linux, um comando só:
sudo apt install seclistsIsso instala a versão 2025.3 em /usr/share/seclists, cerca de 1,8 GB em disco de acordo com a página do pacote no Kali. O pacote wordlists do Kali também cria um link simbólico em /usr/share/wordlists/seclists apontando para o mesmo lugar, e é por isso que você vê os dois caminhos nos guias. São os mesmos arquivos. Use o que você digitar mais rápido.
Em qualquer outro sistema, clone o repositório. Pule o histórico de commits, a não ser que esperar seja divertido para você:
git clone --depth 1 https://github.com/danielmiessler/SecLists.gitNo BlackArch, sudo pacman -S seclists resolve. No macOS ou num Ubuntu comum, o clone raso é o caminho sensato. O README também documenta um download em zip, útil de saber quando você está numa máquina em que o git não existe e não dá para instalar.
Um aviso honesto sobre espaço em disco. Um clone raso ainda puxa alguns gigabytes, e um clone completo com histórico puxa vários a mais. Num VPS com 20 GB isso é uma decisão real. Se você só precisa das listas de conteúdo web, baixe arquivos individuais com wget a partir de raw.githubusercontent.com e fique abaixo de um megabyte.
.bak e .swp que um desenvolvedor esqueceu num servidor web em produção, exatamente o trabalho para o qual quickhits.txt e web-extensions.txt foram feitos. No navegador, sem instalar nada.
O que existe dentro do SecLists
Nove pastas na raiz, e você vai usar de verdade quatro delas. Aqui está o mapa.
- Discovery - a pasta que você abre quase todo dia. Tem subpastas para
Web-Content(caminhos, arquivos, extensões),DNS(subdomínios),Infrastructure,File-System,SNMP,VariableseMainframe. - Passwords - vazamentos de bancos de dados, credenciais padrão de fabricantes, listas de credenciais comuns ordenadas por frequência e conjuntos específicos por idioma.
- Usernames - listas curtas para spraying, o dump xato com 8,2 milhões de entradas, e listas reais de nomes e sobrenomes em
Names. - Fuzzing - a pasta de payloads. Strings de injeção de SQL, vetores XSS, sequências de traversal para LFI, format strings, sondas de motores de template, casos extremos de Unicode e o famoso
big-list-of-naughty-strings.txt. - Payloads, Web-Shells, Pattern-Matching, Miscellaneous e Ai/LLM_Testing - material especializado. A última é recente e traz strings de prompt injection e jailbreak para testar aplicações apoiadas em LLM.
Os nomes das pastas são claros e os dos arquivos nem sempre. Esse é o problema inteiro, e as duas seções seguintes são a resposta para ele.
Como escolher a wordlist certa
Duas perguntas resolvem isso toda vez. O que você está enumerando, e quanto tempo está disposto a esperar?
A segunda é a que os iniciantes pulam. Uma lista de 220 mil entradas contra uma aplicação lenta, com resposta de 300 ms e 20 threads, leva cerca de 55 minutos. A lista de 4.751 entradas leva um minuto e acha o mesmo painel administrativo em 90% das vezes, porque o painel se chama /admin. Rode a lista pequena primeiro, sempre. Só aumente quando ela voltar vazia.
| O que você está caçando | Comece por | Tamanho |
|---|---|---|
| Diretórios e arquivos web | Discovery/Web-Content/common.txt | 4.751 |
| Diretórios web, passada mais profunda | Discovery/Web-Content/raft-medium-directories.txt | 29.999 |
| Backups e sobras de desenvolvimento | Discovery/Web-Content/quickhits.txt | 2.570 |
| Subdomínios | Discovery/DNS/subdomains-top1million-5000.txt | 5.000 |
| Endpoints de API | Discovery/Web-Content/api/api-endpoints.txt | 295 |
| Nomes de usuário para spraying | Usernames/top-usernames-shortlist.txt | 17 |
| Senhas para spraying | Passwords/Common-Credentials/top-passwords-shortlist.txt | 25 |
| Quebra de hash offline | Passwords/Leaked-Databases/rockyou.txt.tar.gz | 14,3 milhões |
Repare no formato dessa tabela. Adivinhação online contra um serviço no ar usa listas minúsculas, porque cada tentativa custa uma ida e volta e arrisca um bloqueio de conta. Quebra offline contra um hash que você já tem usa listas enormes, porque ali as tentativas são de graça. Confundir as duas coisas é o erro de wordlist mais comum que existe, e é por isso que alguém, em algum lugar, está neste momento apontando 14 milhões de entradas do rockyou para um formulário de login que bloqueia na quinta tentativa.
Os arquivos do SecLists que vale conhecer pelo nome
Conteúdo web
common.txt é o seu padrão. São 4.751 entradas, cobre os caminhos que existem em boa parte dos servidores web reais e termina rápido o bastante para rodar enquanto você lê a página inicial. Quando ele não devolve nada, vá para raft-medium-directories.txt (29.999) ou raft-large-directories.txt (62.281). As listas raft foram geradas a partir de crawls reais, o que as deixa muito melhor ordenadas do que as relíquias alfabéticas que substituíram.
quickhits.txt (2.570) merece menção à parte porque não é uma lista de diretórios. É uma lista de coisas que nunca deveriam estar públicas: .git/config, .env, .htpasswd, arquivos de swap de editor, backups de banco de dados. Duas mil requisições, e numa aplicação mal publicada uma delas entrega credenciais. Rode em todo alvo web que você tiver autorização para tocar.
E tem o DirBuster-2007_directory-list-2.3-medium.txt, 220.559 linhas, aquele que todo tutorial antigo cita. Ele é de 2007, o cabeçalho de copyright diz isso. Ainda funciona, mas é lento e sua ordenação reflete uma web que não existe mais: trate como a passada que você deixa rodando à noite, não como a que abre o trabalho. Coloque o fluxo completo em prática com nosso guia de fuzzing com ffuf ou o tutorial do gobuster.
Subdomínios
A família subdomains-top1million vem em versões de 5.000, 20.000 e 110.000 entradas, mais um conjunto completo compactado. Comece pela de 5.000. A diferença entre 5.000 e 110.000 é quase toda ruído para um alvo único, e brute force de DNS nessa escala começa a parecer abuso para o resolvedor que você está martelando. n0kovo_subdomains.txt e bitquark-subdomains-top100000.txt são as duas alternativas que valem a tentativa quando a lista padrão se esgota.
Usuários e senhas
As duas listas curtas são as joias escondidas do repositório inteiro. top-usernames-shortlist.txt tem 17 entradas, e são as 17 certas: root, admin, test, guest, mysql, oracle, pi, vagrant, ec2-user, azureuser e mais um punhado. top-passwords-shortlist.txt tem 25. Dezessete vezes vinte e cinco dá 425 tentativas, o que termina em menos de um minuto contra SSH e é o primeiro movimento correto em qualquer máquina onde você não tem outra pista.
Passwords/Default-Credentials/default-passwords.csv traz 2.876 linhas de credenciais padrão de fabricantes indexadas por produto. Quando seu scan revela uma página de administração de roteador ou a interface web de uma impressora, esse arquivo responde mais rápido que um buscador. Para trabalho offline, o rockyou.txt.tar.gz vem dentro do SecLists e precisa ser extraído antes de usar, o que nosso guia do rockyou.txt cobre, junto com o que realmente existe naquelas 14 milhões de linhas.
Payloads de fuzzing
A pasta Fuzzing é onde o SecLists deixa de falar de descoberta e passa a falar de quebrar coisas. LFI/LFI-Jhaddix.txt (930 entradas) é um conjunto de payloads de traversal pronto para uso. template-engines-identification.txt diz qual motor de template está na sua frente antes de você tentar explorá-lo. big-list-of-naughty-strings.txt é o arquivo que se joga em qualquer campo de entrada quando você quer saber o quão mal a aplicação lida com casos extremos. Carregue no Burp Intruder ou como wordlist de um fuzzer e você substitui uma hora digitando payloads na mão.
Quatro erros com SecLists que desperdiçam sua tarde
1. Usar um nome de arquivo tirado de tutorial antigo
O SecLists renomeou muitos arquivos para creditar as fontes, e os clássicos mudaram de lugar. directory-list-2.3-medium.txt agora é DirBuster-2007_directory-list-2.3-medium.txt. 10-million-password-list-top-1000.txt agora é xato-net-10-million-passwords-1000.txt. Todo guia escrito antes da renomeação aponta para um caminho que não existe mais, e para quem está começando "arquivo não encontrado" parece instalação quebrada. Quando um caminho falhar, não reinstale. Procure:
ls /usr/share/seclists/Discovery/Web-Content/ | grep -i directory-list
find /usr/share/seclists -iname '*subdomain*'2. Mandar as linhas de comentário como requisições
As listas do DirBuster começam com um cabeçalho de copyright de 13 linhas, todas iniciadas por #. A maioria dos fuzzers não sabe disso e vai pedir obedientemente /# Copyright 2007 James Fisher e mais doze linhas igualmente inúteis. Raramente quebra alguma coisa, mas suja a sua saída e faz você parecer descuidado numa revisão de logs. O ffuf tem uma flag para isso:
ffuf -ic -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -u https://target.example/FUZZA solução portátil, para ferramentas que não têm uma flag equivalente, é remover as linhas você mesmo:
grep -v '^#' original.txt | grep -v '^$' > clean.txt3. Esquecer as extensões
As listas de conteúdo web contêm palavras cruas. admin, não admin.php. Se a aplicação serve arquivos .php ou .aspx e você não pedir à ferramenta que acrescente as extensões, vai perder todos os arquivos e achar só diretórios. No ffuf isso é -e .php,.bak,.txt; o gobuster usa -x. Discovery/Web-Content/web-extensions.txt traz um conjunto selecionado de 43 entradas para quando você quer fuzzar a própria extensão em vez de adivinhar.
4. Pegar o rockyou.txt por reflexo
O rockyou.txt veio de um vazamento de 2009 num site de jogos sociais. É excelente para quebrar hashes offline e francamente ruim para quase todo o resto. Contra um formulário de login no ar, é lento e barulhento demais. Contra um alvo corporativo, é a população errada: ninguém numa empresa com política de senhas usa iloveyou. A lista certa para um alvo corporativo é a que você constrói a partir do próprio alvo, que é o assunto da próxima seção.
Quando o SecLists é a resposta errada
Eis o que a maioria dos guias não vai contar: num trabalho real, a melhor wordlist costuma ser uma que ainda não existe.
O SecLists é uma coleção do que era comum a todo mundo. Seu alvo é uma organização só, com vocabulário próprio: codinomes de produto, cidades de escritório, o cachorro do fundador, uma ferramenta interna com um nome que ninguém de fora do prédio jamais ouviu. Nada disso está numa lista genérica, e tudo isso está no site deles.
Então raspe o site. cewl https://acme.example -d 2 -m 6 -w custom.txt percorre dois níveis de profundidade e grava numa lista cada palavra de seis caracteres ou mais. Entregue isso ao Hashcat com um arquivo de regras e você obtém as mutações que as pessoas de fato escolhem: Acme2026!, acme123, Acme@Corp. Em trabalhos reais, listas derivadas do alvo encontram credenciais que o rockyou nunca vai encontrar, e com uma fração das tentativas.
A mesma lógica vale para caminhos. Raspe o site, extraia cada fragmento de URL e devolva isso como wordlist ao lado do common.txt. Convenções de nomenclatura se repetem: se você achou /api/v1/users, então /api/v1/admin vale um palpite que nenhuma lista genérica vai dar por você. Construir essa lista a partir de um alvo no ar é exatamente a habilidade que nosso lab Custom Wordlist Attack treina, e ela se transfere para todo trabalho que você vier a fazer.
O SecLists continua sendo o ponto de partida. Só não é o ponto de chegada.
Considerações legais e éticas
Lembrete essencial: sempre obtenha autorização por escrito antes de apontar uma wordlist para qualquer sistema que não seja seu. Brute force de diretórios e password spraying são acesso não autorizado sem permissão, sob o Computer Fraud and Abuse Act nos Estados Unidos, o Computer Misuse Act no Reino Unido, o artigo 154-A do Código Penal brasileiro, e legislações equivalentes em quase todo lugar.
- Só rode ataques com wordlist contra sistemas seus, labs propositalmente vulneráveis ou hosts explicitamente nomeados num escopo assinado.
- Password spraying pode bloquear contas reais. Conheça a política de bloqueio antes de começar, fique bem abaixo do limite e combine a janela com o cliente.
- Wordlists grandes geram muito tráfego. Uma passada de 220 mil entradas com muitas threads é indistinguível de uma tentativa de negação de serviço do lado do defensor, e pode realmente derrubar uma aplicação pequena.
- Listas de senhas vazadas contêm credenciais reais de pessoas reais. Use para testar sistemas autorizados, nunca para acessar contas, e não as redistribua fora desse propósito.
- Registre suas escolhas de wordlist no relatório. "Testamos os 5.000 subdomínios mais comuns" é uma informação de escopo que o cliente consegue usar. "Rodamos uma wordlist" não é.
- Siga uma metodologia estabelecida em vez de improvisar. O OWASP Web Security Testing Guide mostra onde a enumeração entra num teste estruturado.
Perguntas frequentes
Onde o SecLists fica instalado no Kali Linux?
Em /usr/share/seclists. O pacote wordlists do Kali também cria um link simbólico em /usr/share/wordlists/seclists apontando para o mesmo diretório, então os dois caminhos funcionam e você vai ver os dois em tutoriais. Se nenhum existir, o pacote não está instalado: rode sudo apt install seclists.
Por qual wordlist do SecLists um iniciante deve começar?
Discovery/Web-Content/common.txt para caminhos web, Discovery/DNS/subdomains-top1million-5000.txt para subdomínios, e as duas listas curtas de Usernames e Passwords/Common-Credentials para tentativas de login. Esses quatro arquivos cobrem a maioria dos cenários de iniciante. Só passe para as listas maiores quando as pequenas não devolverem nada.
Por que o directory-list-2.3-medium.txt não existe mais?
Ele foi renomeado. O arquivo agora se chama DirBuster-2007_directory-list-2.3-medium.txt, na mesma pasta Discovery/Web-Content, com as mesmas 220.559 linhas. O SecLists passou a usar prefixos de origem em muitos nomes de arquivo para creditar de onde cada lista veio, o que quebrou os caminhos impressos em guias mais antigos.
O SecLists é gratuito?
Sim. O SecLists é publicado sob licença MIT, que permite uso comercial, e é gratuito no GitHub, nos repositórios do Kali e nos do BlackArch. As listas individuais mantêm a atribuição própria, e alguns arquivos preservam o cabeçalho de licença do autor original, que é por que as listas do DirBuster ainda exibem um aviso Creative Commons de 2007.
O SecLists inclui o rockyou.txt?
Sim, como Passwords/Leaked-Databases/rockyou.txt.tar.gz, que você extrai antes de usar. O Kali também traz a própria cópia em /usr/share/wordlists/rockyou.txt.gz pelo pacote wordlists. Nos dois casos é a mesma lista de 14.344.392 senhas do vazamento de 2009.
Qual o tamanho do SecLists?
O pacote seclists do Kali informa tamanho instalado de cerca de 1,8 GB na versão 2025.3. Um git clone --depth 1 puxa um volume parecido; um clone completo com histórico é bem maior. Num VPS pequeno, baixe arquivos individuais de raw.githubusercontent.com.
Seus próximos passos
Saber usar o SecLists se resume a um hábito: antes de rodar qualquer coisa, diga em voz alta o que você está enumerando e quanto tempo vai dar para isso. Essa frase escolhe o arquivo. Caminhos web numa primeira passada significa common.txt. Credenciais contra um serviço no ar significa as duas listas curtas. Um hash no seu próprio disco significa rockyou ou algo melhor. Todo o resto é variação desses três casos.
Depois vá construir uma lista sua, porque é ali que estão os achados interessantes. Comece de graça no HackerDNA, sem cartão de crédito: rode o lab Custom Wordlist Attack e depois siga o curso de Password Cracking para ver onde cada tipo de lista se encaixa. Dez alvos depois você vai escolher uma wordlist sem pensar, e vai reparar em como tudo fica mais rápido.
Faz parte da série Teste de Invasão
Artigos relacionados:
