Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-28 07:31:10 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/generic-methodologies-and-resources/external-recon-methodology
History
Translator 3e402c83f0 Translated ['generic-methodologies-and-resources/exfiltration.md', 'gene
2023-12-30 22:28:51 +00:00
..
github-leaked-secrets.md Translated ['generic-methodologies-and-resources/exfiltration.md', 'gene 2023-12-30 22:28:51 +00:00
README.md Translated ['generic-methodologies-and-resources/exfiltration.md', 'gene 2023-12-30 22:28:51 +00:00
wide-source-code-search.md Translated to Portuguese 2023-06-06 18:56:34 +00:00

README.md

Metodologia de Reconhecimento Externo

Aprenda hacking no AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras formas de apoiar o HackTricks:


Dica para bug bounty: inscreva-se no Intigriti, uma plataforma premium de bug bounty criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Descoberta de Ativos

Então, disseram-lhe que tudo pertencente a alguma empresa está dentro do escopo, e você quer descobrir o que essa empresa realmente possui.

O objetivo desta fase é obter todas as empresas pertencentes à empresa principal e, em seguida, todos os ativos dessas empresas. Para fazer isso, vamos:

  1. Encontrar as aquisições da empresa principal, isso nos dará as empresas dentro do escopo.
  2. Encontrar o ASN (se houver) de cada empresa, isso nos dará os intervalos de IP pertencentes a cada empresa.
  3. Usar buscas reversas de whois para procurar outras entradas (nomes de organizações, domínios...) relacionadas à primeira (isso pode ser feito recursivamente).
  4. Usar outras técnicas como filtros org e ssl do shodan para procurar outros ativos (o truque ssl pode ser feito recursivamente).

Aquisições

Primeiramente, precisamos saber quais outras empresas são propriedade da empresa principal.
Uma opção é visitar https://www.crunchbase.com/, pesquisar pela empresa principal e clicar em "aquisições". Lá você verá outras empresas adquiridas pela principal.
Outra opção é visitar a página do Wikipedia da empresa principal e procurar por aquisições.

Ok, neste ponto você deve saber todas as empresas dentro do escopo. Vamos descobrir como encontrar seus ativos.

ASNs

Um número de sistema autônomo (ASN) é um número único atribuído a um sistema autônomo (AS) pela Internet Assigned Numbers Authority (IANA).
Um AS consiste em blocos de endereços IP que têm uma política claramente definida para acessar redes externas e são administrados por uma única organização, mas podem ser compostos por vários operadores.

É interessante descobrir se a empresa possui algum ASN atribuído para encontrar seus intervalos de IP. Será interessante realizar um teste de vulnerabilidade contra todos os hosts dentro do escopo e procurar por domínios dentro desses IPs.
Você pode pesquisar pelo nome da empresa, por IP ou por domínio em https://bgp.he.net/.
Dependendo da região da empresa, estes links podem ser úteis para coletar mais dados: AFRINIC (África), Arin(América do Norte), APNIC (Ásia), LACNIC (América Latina), RIPE NCC (Europa). De qualquer forma, provavelmente todas as informações úteis (intervalos de IP e Whois) já aparecem no primeiro link.

#You can try "automate" this with amass, but it's not very recommended
amass intel -org tesla
amass intel -asn 8911,50313,394161

Também, BBOT realiza a enumeração de subdomínios automaticamente agregando e resumindo ASNs ao final da varredura.

bbot -t tesla.com -f subdomain-enum
...
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS394161 | 8.244.131.0/24      | 5            | TESLA          | Tesla Motors, Inc.         | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS16509  | 54.148.0.0/15       | 4            | AMAZON-02      | Amazon.com, Inc.           | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS394161 | 8.45.124.0/24       | 3            | TESLA          | Tesla Motors, Inc.         | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS3356   | 8.32.0.0/12         | 1            | LEVEL3         | Level 3 Parent, LLC        | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS3356   | 8.0.0.0/9           | 1            | LEVEL3         | Level 3 Parent, LLC        | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+

Você pode encontrar os intervalos de IP de uma organização também usando http://asnlookup.com/ (ele possui API gratuita).
Você pode encontrar o IP e ASN de um domínio usando http://ipv4info.com/.

Procurando por vulnerabilidades

Neste ponto, conhecemos todos os ativos dentro do escopo, então, se você estiver autorizado, poderia lançar algum scanner de vulnerabilidade (Nessus, OpenVAS) sobre todos os hosts.
Além disso, você poderia realizar alguns scans de portas ou usar serviços como shodan para encontrar portas abertas e, dependendo do que encontrar, você deve consultar este livro sobre como realizar pentest em vários serviços possíveis em execução.
Também vale a pena mencionar que você também pode preparar algumas listas de nomes de usuário e senhas padrão e tentar força bruta em serviços com https://github.com/x90skysn3k/brutespray.

Domínios

Sabemos todas as empresas dentro do escopo e seus ativos, é hora de encontrar os domínios dentro do escopo.

Por favor, note que nas técnicas propostas a seguir você também pode encontrar subdomínios e essa informação não deve ser subestimada.

Primeiramente, você deve procurar pelo(s) domínio(s) principal(is) de cada empresa. Por exemplo, para a Tesla Inc. seria tesla.com.

DNS Reverso

Como você encontrou todos os intervalos de IP dos domínios, você poderia tentar realizar consultas de DNS reverso nesses IPs para encontrar mais domínios dentro do escopo. Tente usar algum servidor DNS da vítima ou algum servidor DNS bem conhecido (1.1.1.1, 8.8.8.8)

dnsrecon -r <DNS Range> -n <IP_DNS>   #DNS reverse of all of the addresses
dnsrecon -d facebook.com -r 157.240.221.35/24 #Using facebooks dns
dnsrecon -r 157.240.221.35/24 -n 1.1.1.1 #Using cloudflares dns
dnsrecon -r 157.240.221.35/24 -n 8.8.8.8 #Using google dns

Para que isso funcione, o administrador precisa ativar manualmente o PTR. Você também pode usar uma ferramenta online para essa informação: http://ptrarchive.com/

Reverse Whois (loop)

Dentro de um whois, você pode encontrar muitas informações interessantes como nome da organização, endereço, emails, números de telefone... Mas o que é ainda mais interessante é que você pode encontrar mais ativos relacionados à empresa se realizar buscas reversas de whois por qualquer um desses campos (por exemplo, outros registros de whois onde o mesmo email aparece). Você pode usar ferramentas online como:

Você pode automatizar essa tarefa usando DomLink (requer uma chave de API do whoxy). Você também pode realizar algumas descobertas automáticas de reverse whois com amass: amass intel -d tesla.com -whois

Note que você pode usar essa técnica para descobrir mais nomes de domínio toda vez que encontrar um novo domínio.

Trackers

Se encontrar o mesmo ID do mesmo tracker em 2 páginas diferentes, você pode supor que ambas as páginas são gerenciadas pela mesma equipe. Por exemplo, se você ver o mesmo ID do Google Analytics ou o mesmo ID do Adsense em várias páginas.

Existem algumas páginas e ferramentas que permitem buscar por esses trackers e mais:

Favicon

Você sabia que podemos encontrar domínios e subdomínios relacionados ao nosso alvo procurando pelo mesmo hash do ícone favicon? É exatamente isso que a ferramenta favihash.py feita por @m4ll0k2 faz. Veja como usá-la:

cat my_targets.txt | xargs -I %% bash -c 'echo "http://%%/favicon.ico"' > targets.txt
python3 favihash.py -f https://target/favicon.ico -t targets.txt -s

favihash - descubra domínios com o mesmo hash de ícone favicon

Simplificando, favihash nos permitirá descobrir domínios que têm o mesmo hash de ícone favicon que nosso alvo.

Além disso, você também pode pesquisar tecnologias usando o hash do favicon conforme explicado neste post do blog. Isso significa que, se você conhece o hash do favicon de uma versão vulnerável de uma tecnologia web, você pode pesquisar no shodan e encontrar mais lugares vulneráveis:

shodan search org:"Target" http.favicon.hash:116323821 --fields ip_str,port --separator " " | awk '{print $1":"$2}'

Esta é a forma como você pode calcular o hash do favicon de um site:

import mmh3
import requests
import codecs

def fav_hash(url):
response = requests.get(url)
favicon = codecs.encode(response.content,"base64")
fhash = mmh3.hash(favicon)
print(f"{url} : {fhash}")
return fhash

Direitos Autorais / String Única

Procure dentro das páginas da web strings que possam ser compartilhadas entre diferentes sites na mesma organização. A string de direitos autorais pode ser um bom exemplo. Em seguida, procure essa string no Google, em outros navegadores ou até mesmo no Shodan: shodan search http.html:"Copyright string"

Tempo CRT

É comum ter um trabalho cron como

# /etc/crontab
37 13 */10 * * certbot renew --post-hook "systemctl reload nginx"

para renovar todos os certificados de domínio no servidor. Isso significa que mesmo que a CA utilizada para isso não defina o tempo em que foi gerado no tempo de Validade, é possível encontrar domínios pertencentes à mesma empresa nos registros de transparência de certificados. Confira este artigo para mais informações.

Passive Takeover

Aparentemente é comum que as pessoas atribuam subdomínios a IPs que pertencem a provedores de nuvem e, em algum momento, percam esse endereço IP mas esqueçam de remover o registro DNS. Portanto, apenas iniciando uma VM em uma nuvem (como Digital Ocean), você estará na verdade assumindo o controle de alguns subdomínios.

Este post explica uma história sobre isso e propõe um script que inicia uma VM no DigitalOcean, obtém o IPv4 da nova máquina e procura no Virustotal por registros de subdomínio apontando para ele.

Outras maneiras

Observe que você pode usar esta técnica para descobrir mais nomes de domínio sempre que encontrar um novo domínio.

Shodan

Como você já sabe o nome da organização que possui o espaço IP. Você pode pesquisar por esses dados no shodan usando: org:"Tesla, Inc." Verifique os hosts encontrados para novos domínios inesperados no certificado TLS.

Você poderia acessar o certificado TLS da página principal da web, obter o nome da Organização e depois procurar por esse nome dentro dos certificados TLS de todas as páginas da web conhecidas pelo shodan com o filtro: ssl:"Tesla Motors" ou usar uma ferramenta como sslsearch.

Assetfinder

Assetfinder é uma ferramenta que procura por domínios relacionados com um domínio principal e subdomínios deles, bastante incrível.

Procurando por vulnerabilidades

Verifique se há alguma domínio para assumir. Talvez alguma empresa esteja usando algum domínio mas eles perderam a propriedade. Basta registrá-lo (se for barato o suficiente) e informar a empresa.

Se você encontrar algum domínio com um IP diferente dos que você já encontrou na descoberta de ativos, você deve realizar uma varredura básica de vulnerabilidade (usando Nessus ou OpenVAS) e alguma varredura de portas com nmap/masscan/shodan. Dependendo de quais serviços estão em execução, você pode encontrar neste livro algumas dicas para "atacá-los".
Note que às vezes o domínio está hospedado dentro de um IP que não é controlado pelo cliente, então não está no escopo, tenha cuidado.


Dica de bug bounty: inscreva-se no Intigriti, uma plataforma de bug bounty premium criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Subdomínios

Nós conhecemos todas as empresas dentro do escopo, todos os ativos de cada empresa e todos os domínios relacionados às empresas.

É hora de encontrar todos os possíveis subdomínios de cada domínio encontrado.

DNS

Vamos tentar obter subdomínios a partir dos registros DNS. Também devemos tentar por Transferência de Zona (Se vulnerável, você deve reportar isso).

dnsrecon -a -d tesla.com

OSINT

A maneira mais rápida de obter muitos subdomínios é pesquisar em fontes externas. As ferramentas mais utilizadas são as seguintes (para melhores resultados configure as chaves API):

# subdomains
bbot -t tesla.com -f subdomain-enum

# subdomains (passive only)
bbot -t tesla.com -f subdomain-enum -rf passive

# subdomains + port scan + web screenshots
bbot -t tesla.com -f subdomain-enum -m naabu gowitness -n my_scan -o .

amass enum [-active] [-ip] -d tesla.com
amass enum -d tesla.com | grep tesla.com # To just list subdomains

# Subfinder, use -silent to only have subdomains in the output
./subfinder-linux-amd64 -d tesla.com [-silent]

# findomain, use -silent to only have subdomains in the output
./findomain-linux -t tesla.com [--quiet]

python3 oneforall.py --target tesla.com [--dns False] [--req False] [--brute False] run

assetfinder --subs-only <domain>

# It requires that you create a sudomy.api file with API keys
sudomy -d tesla.com

vita -d tesla.com

theHarvester -d tesla.com -b "anubis, baidu, bing, binaryedge, bingapi, bufferoverun, censys, certspotter, crtsh, dnsdumpster, duckduckgo, fullhunt, github-code, google, hackertarget, hunter, intelx, linkedin, linkedin_links, n45ht, omnisint, otx, pentesttools, projectdiscovery, qwant, rapiddns, rocketreach, securityTrails, spyse, sublist3r, threatcrowd, threatminer, trello, twitter, urlscan, virustotal, yahoo, zoomeye"

Existem outras ferramentas/APIs interessantes que, mesmo não sendo especializadas diretamente na busca de subdomínios, podem ser úteis para encontrar subdomínios, como:

# Get list of subdomains in output from the API
## This is the API the crobat tool will use
curl https://sonar.omnisint.io/subdomains/tesla.com | jq -r ".[]"

curl https://jldc.me/anubis/subdomains/tesla.com | jq -r ".[]"

# Get Domains from rapiddns free API
rapiddns(){
curl -s "https://rapiddns.io/subdomain/$1?full=1" \
| grep -oE "[\.a-zA-Z0-9-]+\.$1" \
| sort -u
}
rapiddns tesla.com

# Get Domains from crt free API
crt(){
curl -s "https://crt.sh/?q=%25.$1" \
| grep -oE "[\.a-zA-Z0-9-]+\.$1" \
| sort -u
}
crt tesla.com
  • gau: recupera URLs conhecidas do Open Threat Exchange da AlienVault, do Wayback Machine e do Common Crawl para qualquer domínio fornecido.
# Get subdomains from GAUs found URLs
gau --subs tesla.com | cut -d "/" -f 3 | sort -u

# Get only subdomains from SubDomainizer
python3 SubDomainizer.py -u https://tesla.com | grep tesla.com

# Get only subdomains from subscraper, this already perform recursion over the found results
python subscraper.py -u tesla.com | grep tesla.com | cut -d " " -f

# Get info about the domain
shodan domain <domain>
# Get other pages with links to subdomains
shodan search "http.html:help.domain.com"

export CENSYS_API_ID=...
export CENSYS_API_SECRET=...
python3 censys-subdomain-finder.py tesla.com

python3 DomainTrail.py -d example.com

Este projeto oferece gratuitamente todos os subdomínios relacionados a programas de bug-bounty. Você também pode acessar esses dados usando chaospy ou até mesmo acessar o escopo utilizado por este projeto https://github.com/projectdiscovery/chaos-public-program-list

Você pode encontrar uma comparação de muitas dessas ferramentas aqui: https://blog.blacklanternsecurity.com/p/subdomain-enumeration-tool-face-off

DNS Brute force

Vamos tentar encontrar novos subdomínios forçando bruscamente servidores DNS usando nomes de subdomínios possíveis.

Para esta ação, você precisará de algumas listas de palavras comuns de subdomínios como:

E também IPs de bons resolvedores DNS. Para gerar uma lista de resolvedores DNS confiáveis, você pode baixar os resolvedores de https://public-dns.info/nameservers-all.txt e usar dnsvalidator para filtrá-los. Ou você poderia usar: https://raw.githubusercontent.com/trickest/resolvers/main/resolvers-trusted.txt

As ferramentas mais recomendadas para brute-force DNS são:

  • massdns: Esta foi a primeira ferramenta que realizou um brute-force DNS eficaz. É muito rápida, no entanto, está propensa a falsos positivos.
sed 's/$/.domain.com/' subdomains.txt > bf-subdomains.txt
./massdns -r resolvers.txt -w /tmp/results.txt bf-subdomains.txt
grep -E "tesla.com. [0-9]+ IN A .+" /tmp/results.txt
  • gobuster: Este, eu acredito, usa apenas 1 resolvedor
gobuster dns -d mysite.com -t 50 -w subdomains.txt
  • shuffledns é um wrapper em torno do massdns, escrito em go, que permite enumerar subdomínios válidos usando bruteforce ativo, bem como resolver subdomínios com tratamento de wildcard e suporte fácil de entrada e saída.
shuffledns -d example.com -list example-subdomains.txt -r resolvers.txt
  • puredns: Ele também utiliza massdns.
puredns bruteforce all.txt domain.com
  • aiodnsbrute utiliza asyncio para forçar bruscamente nomes de domínio de forma assíncrona.
aiodnsbrute -r resolvers -w wordlist.txt -vv -t 1024 domain.com

Segunda Rodada de Brute-Force DNS

Após encontrar subdomínios usando fontes abertas e brute-forcing, você pode gerar alterações dos subdomínios encontrados para tentar descobrir ainda mais. Diversas ferramentas são úteis para esse propósito:

  • dnsgen: Dado os domínios e subdomínios, gera permutações.
cat subdomains.txt | dnsgen -

goaltdns -l subdomains.txt -w /tmp/words-permutations.txt -o /tmp/final-words-s3.txt
  • gotator: Dado os domínios e subdomínios, gera permutações. Se nenhum arquivo de permutações for indicado, o gotator usará o seu próprio.
gotator -sub subdomains.txt -silent [-perm /tmp/words-permutations.txt]

altdns -i subdomains.txt -w /tmp/words-permutations.txt -o /tmp/asd3
  • dmut: Outra ferramenta para realizar permutações, mutações e alterações de subdomínios. Esta ferramenta executará força bruta no resultado (não suporta coringa dns).
  • Você pode obter a lista de palavras de permutações do dmut aqui.
cat subdomains.txt | dmut -d /tmp/words-permutations.txt -w 100 \
--dns-errorLimit 10 --use-pb --verbose -s /tmp/resolvers-trusted.txt
  • alterx: Baseado em um domínio, ele gera novos possíveis nomes de subdomínios com base em padrões indicados para tentar descobrir mais subdomínios.

Geração inteligente de permutações

  • regulator: Para mais informações, leia este post, mas basicamente ele pega as partes principais dos subdomínios descobertos e os mistura para encontrar mais subdomínios.
python3 main.py adobe.com adobe adobe.rules
make_brute_list.sh adobe.rules adobe.brute
puredns resolve adobe.brute --write adobe.valid
  • subzuf: subzuf é um fuzzer de força bruta de subdomínios acoplado com um algoritmo guiado por resposta DNS extremamente simples, mas eficaz. Utiliza um conjunto de dados de entrada fornecidos, como uma lista de palavras personalizada ou registros históricos de DNS/TLS, para sintetizar com precisão mais nomes de domínio correspondentes e expandi-los ainda mais em um loop baseado nas informações coletadas durante a varredura DNS.
echo www | subzuf facebook.com

Fluxo de Trabalho de Descoberta de Subdomínios

Confira este post no blog que escrevi sobre como automatizar a descoberta de subdomínios de um domínio usando workflows do Trickest para que eu não precise iniciar manualmente um monte de ferramentas no meu computador:

{% embed url="https://trickest.com/blog/full-subdomain-discovery-using-workflow/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

{% embed url="https://trickest.com/blog/full-subdomain-brute-force-discovery-using-workflow/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

VHosts / Hosts Virtuais

Se você encontrou um endereço IP contendo uma ou várias páginas web pertencentes a subdomínios, você poderia tentar encontrar outros subdomínios com webs nesse IP procurando em fontes OSINT por domínios em um IP ou por força bruta nos nomes de domínio VHost nesse IP.

OSINT

Você pode encontrar alguns VHosts em IPs usando HostHunter ou outras APIs.

Força Bruta

Se você suspeita que algum subdomínio pode estar oculto em um servidor web, você poderia tentar forçar a descoberta:

ffuf -c -w /path/to/wordlist -u http://victim.com -H "Host: FUZZ.victim.com"

gobuster vhost -u https://mysite.com -t 50 -w subdomains.txt

wfuzz -c -w /usr/share/wordlists/SecLists/Discovery/DNS/subdomains-top1million-20000.txt --hc 400,404,403 -H "Host: FUZZ.example.com" -u http://example.com -t 100

#From https://github.com/allyshka/vhostbrute
vhostbrute.py --url="example.com" --remoteip="10.1.1.15" --base="www.example.com" --vhosts="vhosts_full.list"

#https://github.com/codingo/VHostScan
VHostScan -t example.com

{% hint style="info" %} Com esta técnica, você pode até conseguir acessar endpoints internos/ocultos. {% endhint %}

CORS Brute Force

Às vezes, você encontrará páginas que retornam o cabeçalho Access-Control-Allow-Origin apenas quando um domínio/subdomínio válido é definido no cabeçalho Origin. Nestes cenários, você pode abusar deste comportamento para descobrir novos subdomínios.

ffuf -w subdomains-top1million-5000.txt -u http://10.10.10.208 -H 'Origin: http://FUZZ.crossfit.htb' -mr "Access-Control-Allow-Origin" -ignore-body

Força Bruta em Buckets

Ao procurar por subdomínios, fique atento para ver se está apontando para algum tipo de bucket, e nesse caso, verifique as permissões.
Além disso, como neste ponto você já conhecerá todos os domínios dentro do escopo, tente forçar a bruta de possíveis nomes de buckets e verificar as permissões.

Monitoramento

Você pode monitorar se novos subdomínios de um domínio são criados monitorando os Logs de Transparência de Certificados sublert faz isso.

Procurando por vulnerabilidades

Verifique a possibilidade de tomada de subdomínio.
Se o subdomínio estiver apontando para algum bucket S3, verifique as permissões.

Se você encontrar algum subdomínio com um IP diferente dos que você já encontrou na descoberta de ativos, você deve realizar um scan de vulnerabilidade básico (usando Nessus ou OpenVAS) e algum scan de portas com nmap/masscan/shodan. Dependendo de quais serviços estão rodando, você pode encontrar neste livro algumas dicas para "atacá-los".
Note que às vezes o subdomínio está hospedado dentro de um IP que não é controlado pelo cliente, então não está no escopo, tenha cuidado.

IPs

Nas etapas iniciais, você pode ter encontrado alguns intervalos de IP, domínios e subdomínios.
É hora de recolher todos os IPs desses intervalos e para os domínios/subdomínios (consultas DNS).

Usando serviços das seguintes apis gratuitas, você também pode encontrar IPs anteriores usados por domínios e subdomínios. Esses IPs ainda podem ser de propriedade do cliente (e podem permitir que você encontre bypasses do CloudFlare)

Você também pode verificar domínios que apontam para um endereço IP específico usando a ferramenta hakip2host

Procurando por vulnerabilidades

Faça um scan de portas em todos os IPs que não pertencem a CDNs (já que é muito provável que você não encontre nada interessante lá). Nos serviços em execução descobertos, você pode ser capaz de encontrar vulnerabilidades.

Encontre um guia sobre como escanear hosts.

Caça a servidores web

Encontramos todas as empresas e seus ativos e sabemos os intervalos de IP, domínios e subdomínios dentro do escopo. É hora de procurar por servidores web.

Nas etapas anteriores, você provavelmente já realizou algum reconhecimento dos IPs e domínios descobertos, então você pode ter já encontrado todos os possíveis servidores web. No entanto, se você não o fez, agora vamos ver algumas dicas rápidas para procurar servidores web dentro do escopo.

Por favor, note que isso será orientado para a descoberta de aplicativos web, então você também deve realizar a varredura de vulnerabilidades e scan de portas (se permitido pelo escopo).

Um método rápido para descobrir portas abertas relacionadas a servidores web usando masscan pode ser encontrado aqui.
Outra ferramenta amigável para procurar servidores web é httprobe, fprobe e httpx. Você apenas passa uma lista de domínios e ele tentará se conectar à porta 80 (http) e 443 (https). Além disso, você pode indicar para tentar outras portas:

cat /tmp/domains.txt | httprobe #Test all domains inside the file for port 80 and 443
cat /tmp/domains.txt | httprobe -p http:8080 -p https:8443 #Check port 80, 443 and 8080 and 8443

Screenshots

Agora que você descobriu todos os servidores web presentes no escopo (entre os IPs da empresa e todos os domínios e subdomínios), você provavelmente não sabe por onde começar. Então, vamos simplificar e começar apenas tirando screenshots de todos eles. Apenas dando uma olhada na página principal, você pode encontrar endpoints estranhos que são mais propensos a serem vulneráveis.

Para realizar a ideia proposta, você pode usar EyeWitness, HttpScreenshot, Aquatone, Shutter ou webscreenshot.

Além disso, você poderia então usar eyeballer para analisar todos os screenshots e dizer o que provavelmente contém vulnerabilidades, e o que não contém.

Ativos de Nuvem Pública

Para encontrar possíveis ativos de nuvem pertencentes a uma empresa, você deve começar com uma lista de palavras-chave que identifiquem essa empresa. Por exemplo, para uma empresa de criptomoedas, você pode usar palavras como: "crypto", "wallet", "dao", "<nome_do_domínio>", <"nomes_de_subdomínios">.

Você também precisará de listas de palavras de palavras comuns usadas em buckets:

Então, com essas palavras, você deve gerar permutações (confira a Segunda Rodada de Força Bruta em DNS para mais informações).

Com as listas de palavras resultantes, você poderia usar ferramentas como cloud_enum, CloudScraper, cloudlist ou S3Scanner.

Lembre-se de que, ao procurar por Ativos de Nuvem, você deve procurar por mais do que apenas buckets na AWS.

Procurando por vulnerabilidades

Se você encontrar coisas como buckets abertos ou funções de nuvem expostas, você deve acessá-las e tentar ver o que elas oferecem e se você pode abusar delas.

Emails

Com os domínios e subdomínios dentro do escopo, você basicamente tem tudo o que precisa para começar a procurar por emails. Estas são as APIs e ferramentas que funcionaram melhor para mim para encontrar emails de uma empresa:

Procurando por vulnerabilidades

Emails serão úteis mais tarde para força bruta em logins web e serviços de autenticação (como SSH). Além disso, são necessários para phishings. Além disso, essas APIs fornecerão ainda mais informações sobre a pessoa por trás do email, o que é útil para a campanha de phishing.

Vazamentos de Credenciais

Com os domínios, subdomínios e emails, você pode começar a procurar por credenciais vazadas no passado pertencentes a esses emails:

Procurando por vulnerabilidades

Se você encontrar credenciais vazadas válidas, isso é uma vitória muito fácil.

Vazamentos de Segredos

Vazamentos de credenciais estão relacionados a hacks de empresas onde informações sensíveis foram vazadas e vendidas. No entanto, as empresas podem ser afetadas por outros vazamentos cujas informações não estão nessas bases de dados:

Vazamentos no Github

Credenciais e APIs podem ser vazadas nos repositórios públicos da empresa ou dos usuários que trabalham pela empresa no github.
Você pode usar a ferramenta Leakos para baixar todos os repositórios públicos de uma organização e de seus desenvolvedores e executar gitleaks sobre eles automaticamente.

Leakos também pode ser usado para executar gitleaks contra todos os textos fornecidos URLs passadas para ele, pois às vezes páginas da web também contêm segredos.

Dorks do Github

Confira também esta página para possíveis dorks do github que você também poderia procurar na organização que está atacando:

{% content-ref url="github-leaked-secrets.md" %} github-leaked-secrets.md {% endcontent-ref %}

Vazamentos em Pastes

Às vezes, atacantes ou apenas trabalhadores irão publicar conteúdo da empresa em um site de paste. Isso pode ou não conter informações sensíveis, mas é muito interessante procurar por isso.
Você pode usar a ferramenta Pastos para pesquisar em mais de 80 sites de paste ao mesmo tempo.

Dorks do Google

Os antigos, mas eficazes dorks do Google são sempre úteis para encontrar informações expostas que não deveriam estar lá. O único problema é que a google-hacking-database contém vários milhares de possíveis consultas que você não pode executar manualmente. Então, você pode escolher suas 10 favoritas ou você poderia usar uma ferramenta como Gorks para executá-las todas.

Note que as ferramentas que esperam executar toda a base de dados usando o navegador Google regular nunca terminarão, pois o Google irá bloqueá-lo muito em breve.

Procurando por vulnerabilidades

Se você encontrar credenciais vazadas válidas ou tokens de API, isso é uma vitória muito fácil.

Vulnerabilidades em Código Público

Se você descobriu que a empresa tem código de fonte aberta, você pode analisar e procurar por vulnerabilidades nele.

Dependendo da linguagem existem diferentes ferramentas que você pode usar:

{% content-ref url="../../network-services-pentesting/pentesting-web/code-review-tools.md" %} code-review-tools.md {% endcontent-ref %}

Também existem serviços gratuitos que permitem analisar repositórios públicos, como:

Metodologia de Pentesting Web

A maioria das vulnerabilidades encontradas por caçadores de bugs reside dentro de aplicações web, então neste ponto eu gostaria de falar sobre uma metodologia de teste de aplicação web, e você pode encontrar essa informação aqui.

Também quero fazer uma menção especial à seção Ferramentas de Scanners Automatizados de Web open source, pois, se você não deve esperar que elas encontrem vulnerabilidades muito sensíveis, elas são úteis para implementá-las em fluxos de trabalho para ter alguma informação web inicial.

Recapitulação

Parabéns! Neste ponto, você já realizou toda a enumeração básica. Sim, é básico porque muito mais enumeração pode ser feita (veremos mais truques mais tarde).

Então você já:

  1. Encontrou todas as empresas dentro do escopo
  2. Encontrou todos os ativos pertencentes às empresas (e realizou alguma varredura de vulnerabilidade, se estiver no escopo)
  3. Encontrou todos os domínios pertencentes às empresas
  4. Encontrou todos os subdomínios dos domínios (alguma tomada de subdomínio?)
  5. Encontrou todos os IPs (de e não de CDNs) dentro do escopo.
  6. Encontrou todos os servidores web e tirou um screenshot deles (algo estranho que mereça um olhar mais aprofundado?)
  7. Encontrou todos os ativos de nuvem pública potenciais pertencentes à empresa.
  8. Emails, vazamentos de credenciais e vazamentos de segredos que poderiam dar-lhe uma grande vitória muito facilmente.
  9. Pentesting em todos os webs que você encontrou

Ferramentas Automáticas de Reconhecimento Completo

Existem várias ferramentas disponíveis que realizarão parte das ações propostas contra um determinado escopo.

Referências


Dica de caça a bugs: inscreva-se no Intigriti, uma plataforma premium de caça a bugs criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Aprenda hacking na AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks: