Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/generic-methodologies-and-resources/external-recon-methodology
History
Translator 637796f4e0 Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2
2024-05-05 22:39:36 +00:00
..
github-leaked-secrets.md Translated to Polish 2024-02-11 01:46:25 +00:00
README.md Translated ['README.md', 'binary-exploitation/arbitrary-write-2-exec/aw2 2024-05-05 22:39:36 +00:00
wide-source-code-search.md Translated ['forensics/basic-forensic-methodology/partitions-file-system 2024-03-26 15:52:37 +00:00

README.md

Metodologia zewnętrznego rozpoznania

Nauka hakowania AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli interesuje Cię kariera w dziedzinie hakowania i hakowanie tego, co niemożliwe - rekrutujemy! (wymagana biegła znajomość języka polskiego, zarówno pisanego, jak i mówionego).

{% embed url="https://www.stmcyber.com/careers" %}

Odkrywanie zasobów

Jeśli dowiedziałeś się, że wszystko należące do pewnej firmy znajduje się w zakresie, a chcesz dowiedzieć się, co ta firma faktycznie posiada.

Celem tej fazy jest uzyskanie wszystkich firm należących do głównej firmy, a następnie wszystkich zasobów tych firm. Aby to osiągnąć, będziemy:

  1. Znaleźć przejęcia głównej firmy, co pozwoli nam poznać firmy znajdujące się w zakresie.
  2. Znaleźć numer ASN (jeśli istnieje) każdej firmy, co pozwoli nam poznać zakresy IP posiadane przez każdą firmę.
  3. Użyć odwróconego wyszukiwania whois, aby szukać innych wpisów (nazwy organizacji, domeny...) związanych z pierwszym (można to zrobić rekurencyjnie).
  4. Użyć innych technik, takich jak filtry shodan org i ssl, aby szukać innych zasobów (szczególnie trik z ssl można wykonać rekurencyjnie).

Przejęcia

Po pierwsze, musimy dowiedzieć się, które inne firmy należą do głównej firmy.
Jedną z opcji jest odwiedzenie https://www.crunchbase.com/, wyszukanie głównej firmy i kliknięcie na "przejęcia". Tam zobaczysz inne firmy przejęte przez główną firmę.
Inną opcją jest odwiedzenie strony Wikipedii głównej firmy i wyszukanie przejęć.

W tym momencie powinieneś znać wszystkie firmy znajdujące się w zakresie. Sprawdźmy teraz, jak znaleźć ich zasoby.

ASNs

Numer autonomicznego systemu (ASN) to unikalny numer przypisany systemowi autonomicznemu (AS) przez Internet Assigned Numbers Authority (IANA).
AS składa się z bloków adresów IP, które mają jasno zdefiniowaną politykę dostępu do sieci zewnętrznych i są administrowane przez jedną organizację, ale mogą składać się z kilku operatorów.

Interesujące jest dowiedzieć się, czy firma ma przypisany jakiś ASN, aby znaleźć jej zakresy IP. Warto przeprowadzić test podatności przeciwko wszystkim hostom w zakresie i szukać domen w tych IP.
Możesz szukać po nazwie firmy, po IP lub po domenie na stronie https://bgp.he.net/.
W zależności od regionu firmy te linki mogą być przydatne do zebrania więcej danych: AFRINIC (Afryka), Arin(Ameryka Północna), APNIC (Azja), LACNIC (Ameryka Łacińska), RIPE NCC (Europa). W każdym razie, prawdopodobnie wszystkie przydatne informacje (zakresy IP i Whois) znajdują się już na pierwszym linku.

#You can try "automate" this with amass, but it's not very recommended
amass intel -org tesla
amass intel -asn 8911,50313,394161

Również BBOT automatycznie agreguje i podsumowuje subdomeny na końcu skanowania.

bbot -t tesla.com -f subdomain-enum
...
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS394161 | 8.244.131.0/24      | 5            | TESLA          | Tesla Motors, Inc.         | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS16509  | 54.148.0.0/15       | 4            | AMAZON-02      | Amazon.com, Inc.           | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS394161 | 8.45.124.0/24       | 3            | TESLA          | Tesla Motors, Inc.         | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS3356   | 8.32.0.0/12         | 1            | LEVEL3         | Level 3 Parent, LLC        | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+
[INFO] bbot.modules.asn: | AS3356   | 8.0.0.0/9           | 1            | LEVEL3         | Level 3 Parent, LLC        | US        |
[INFO] bbot.modules.asn: +----------+---------------------+--------------+----------------+----------------------------+-----------+

Możesz znaleźć zakresy IP organizacji również korzystając z http://asnlookup.com/ (ma darmowe API).
Możesz znaleźć IP i ASN domeny korzystając z http://ipv4info.com/.

Wyszukiwanie podatności

W tym momencie znamy wszystkie zasoby w zakresie, więc jeśli masz zgodę, możesz uruchomić skaner podatności (Nessus, OpenVAS) na wszystkich hostach.
Możesz także uruchomić niektóre skanowania portów lub skorzystać z usług takich jak shodan aby znaleźć otwarte porty i w zależności od tego, co znajdziesz, powinieneś sprawdzić w tej książce, jak testować penetracyjnie kilka możliwych usług działających.
Warto również wspomnieć, że możesz przygotować listy domyślnych nazw użytkowników i haseł i spróbować przeprowadzić atak brutalnej siły na usługi za pomocą https://github.com/x90skysn3k/brutespray.

Domeny

Znamy wszystkie firmy w zakresie i ich zasoby, czas znaleźć domeny w zakresie.

Proszę zauważyć, że w proponowanych technikach można również znaleźć subdomeny i ta informacja nie powinna być lekceważona.

Po pierwsze, powinieneś szukać głównej domeny(ów) każdej firmy. Na przykład, dla Tesla Inc. będzie to tesla.com.

Odwrócone DNS

Po znalezieniu wszystkich zakresów IP domen, możesz spróbować wykonać odwrócone wyszukiwanie DNS na tych IP, aby znaleźć więcej domen w zakresie. Spróbuj użyć serwera DNS ofiary lub znanego serwera DNS (1.1.1.1, 8.8.8.8)

dnsrecon -r <DNS Range> -n <IP_DNS>   #DNS reverse of all of the addresses
dnsrecon -d facebook.com -r 157.240.221.35/24 #Using facebooks dns
dnsrecon -r 157.240.221.35/24 -n 1.1.1.1 #Using cloudflares dns
dnsrecon -r 157.240.221.35/24 -n 8.8.8.8 #Using google dns

Aby to działało, administrator musi ręcznie włączyć PTR.
Możesz także skorzystać z narzędzia online do tego celu: http://ptrarchive.com/

Odwrotne Whois (pętla)

Wewnątrz whois można znaleźć wiele interesujących informacji, takich jak nazwa organizacji, adres, adresy e-mail, numery telefonów... Ale co jest jeszcze bardziej interesujące, to to, że można znaleźć więcej zasobów związanych z firmą, jeśli wykonasz odwrotne wyszukiwanie whois po dowolnym z tych pól (na przykład inne rejestry whois, gdzie pojawi się ten sam e-mail).
Możesz skorzystać z narzędzi online takich jak:

Możesz zautomatyzować to zadanie za pomocą DomLink (wymaga klucza API whoxy).
Możesz także wykonać automatyczne odkrywanie odwrotnego whois za pomocą amass: amass intel -d tesla.com -whois

Zauważ, że tę technikę można wykorzystać do odkrywania kolejnych nazw domen za każdym razem, gdy znajdziesz nową domenę.

Śledzenie

Jeśli znajdziesz ten sam identyfikator tego samego śledzenia na 2 różnych stronach, można przypuszczać, że obie strony są zarządzane przez ten sam zespół.
Na przykład, jeśli zobaczysz ten sam identyfikator Google Analytics lub ten sam identyfikator Adsense na kilku stronach.

Istnieją strony i narzędzia, które pozwalają wyszukiwać po tych śledzaczach i nie tylko:

Favicon

Czy wiedziałeś, że możemy znaleźć powiązane domeny i subdomeny naszego celu, szukając tego samego skrótu ikony favicon? Dokładnie to robi narzędzie favihash.py stworzone przez @m4ll0k2. Oto jak go użyć:

cat my_targets.txt | xargs -I %% bash -c 'echo "http://%%/favicon.ico"' > targets.txt
python3 favihash.py -f https://target/favicon.ico -t targets.txt -s

favihash - odkryj domeny z tym samym haszem ikony favicon

Po prostu mówiąc, favihash pozwoli nam odkryć domeny, które mają ten sam hasz ikony favicon co nasz cel.

Co więcej, możesz również wyszukiwać technologie za pomocą hasza favicon, jak wyjaśniono w tym wpisie na blogu. Oznacza to, że jeśli znasz hasz faviconu podatnej wersji technologii internetowej, możesz wyszukać go w shodan i znaleźć więcej podatnych miejsc:

shodan search org:"Target" http.favicon.hash:116323821 --fields ip_str,port --separator " " | awk '{print $1":"$2}'

To jest sposób obliczenia hasz ikony strony internetowej:

import mmh3
import requests
import codecs

def fav_hash(url):
response = requests.get(url)
favicon = codecs.encode(response.content,"base64")
fhash = mmh3.hash(favicon)
print(f"{url} : {fhash}")
return fhash

Prawo autorskie / Unikalny ciąg znaków

Szukaj na stronach internetowych ciągów znaków, które mogą być udostępniane w różnych witrynach w tej samej organizacji. Ciąg znaków praw autorskich mógłby być dobrym przykładem. Następnie wyszukaj ten ciąg znaków w Google, w innych przeglądarkach lub nawet w shodan: shodan search http.html:"Ciąg znaków praw autorskich"

Czas CRT

To powszechne mieć zadanie cron, takie jak

# /etc/crontab
37 13 */10 * * certbot renew --post-hook "systemctl reload nginx"

Odnowienie wszystkich certyfikatów domen na serwerze. Oznacza to, że nawet jeśli CA używane do tego nie ustawia czasu generacji w Czasie ważności, jest możliwe znalezienie domen należących do tej samej firmy w dziennikach transparentności certyfikatów.\

Sprawdź ten artykuł, aby uzyskać więcej informacji.

Informacje DMARC dotyczące poczty

Możesz skorzystać z witryny takiej jak https://dmarc.live/info/google.com lub narzędzia takiego jak https://github.com/Tedixx/dmarc-subdomains, aby znaleźć domeny i subdomeny, które dzielą te same informacje DMARC.

Pasywne przejęcie

Wygląda na to, że ludzie często przypisują subdomeny do adresów IP należących do dostawców chmury i w pewnym momencie tracą ten adres IP, ale zapominają o usunięciu rekordu DNS. Dlatego po prostu uruchamiając maszynę wirtualną w chmurze (np. Digital Ocean) faktycznie przejmiesz niektóre subdomeny.

Ten post wyjaśnia historię na ten temat i proponuje skrypt, który uruchamia maszynę wirtualną w DigitalOcean, pobiera adres IPv4 nowej maszyny, a następnie szuka w Virustotal rekordów subdomen, które na nią wskazują.

Inne sposoby

Zauważ, że możesz użyć tej techniki, aby odkrywać więcej nazw domen za każdym razem, gdy znajdziesz nową domenę.

Shodan

Ponieważ już znasz nazwę organizacji posiadającej przestrzeń IP, możesz wyszukać te dane w Shodan używając: org:"Tesla, Inc." Sprawdź znalezione hosty pod kątem nowych nieoczekiwanych domen w certyfikacie TLS.

Możesz uzyskać dostęp do certyfikatu TLS głównej strony internetowej, uzyskać nazwę organizacji, a następnie wyszukać tę nazwę w certyfikatach TLS wszystkich znanych stron internetowych w shodan z filtrem: ssl:"Tesla Motors" lub użyć narzędzia takiego jak sslsearch.

Assetfinder

Assetfinder to narzędzie, które szuka powiązanych domen z główną domeną i ich subdomen, całkiem niesamowite.

Wyszukiwanie podatności

Sprawdź, czy istnieje przejęcie domeny. Być może jakaś firma używa pewnej domeny, ale utrata własności. Po prostu zarejestruj ją (jeśli jest wystarczająco tania) i daj znać firmie.

Jeśli znajdziesz jakąkolwiek domenę z innym adresem IP niż te, które już znalazłeś w odkrywaniu zasobów, powinieneś przeprowadzić podstawowe skanowanie podatności (za pomocą Nessus lub OpenVAS) oraz skan portów za pomocą nmap/masscan/shodan. W zależności od tego, jakie usługi są uruchomione, możesz znaleźć w tej książce kilka sztuczek do "atakowania" ich.
Zauważ, że czasami domena jest hostowana wewnątrz adresu IP, który nie jest kontrolowany przez klienta, więc nie jest to w zakresie, bądź ostrożny.


Wskazówka dotycząca bug bounty: Zarejestruj się na platformie Intigriti, premium platformie bug bounty stworzonej przez hakerów, dla hakerów! Dołącz do nas na https://go.intigriti.com/hacktricks już dziś i zacznij zarabiać nagrody aż do $100,000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Subdomeny

Znamy wszystkie firmy w zakresie, wszystkie zasoby każdej firmy i wszystkie domeny związane z firmami.

Nadszedł czas, aby znaleźć wszystkie możliwe subdomeny każdej znalezionej domeny.

{% hint style="success" %} Zauważ, że niektóre z narzędzi i technik do znajdowania domen mogą również pomóc w znalezieniu subdomen! {% endhint %}

DNS

Spróbujmy uzyskać subdomeny z rekordów DNS. Powinniśmy również spróbować Transferu Strefy (jeśli jest podatny, powinieneś to zgłosić).

dnsrecon -a -d tesla.com

OSINT

Najszybszym sposobem na uzyskanie dużej liczby subdomen jest wyszukiwanie w źródłach zewnętrznych. Najczęściej używane narzędzia to następujące (dla lepszych wyników skonfiguruj klucze API):

# subdomains
bbot -t tesla.com -f subdomain-enum

# subdomains (passive only)
bbot -t tesla.com -f subdomain-enum -rf passive

# subdomains + port scan + web screenshots
bbot -t tesla.com -f subdomain-enum -m naabu gowitness -n my_scan -o .

amass enum [-active] [-ip] -d tesla.com
amass enum -d tesla.com | grep tesla.com # To just list subdomains

# Subfinder, use -silent to only have subdomains in the output
./subfinder-linux-amd64 -d tesla.com [-silent]

# findomain, use -silent to only have subdomains in the output
./findomain-linux -t tesla.com [--quiet]

python3 oneforall.py --target tesla.com [--dns False] [--req False] [--brute False] run

assetfinder --subs-only <domain>

# It requires that you create a sudomy.api file with API keys
sudomy -d tesla.com

vita -d tesla.com

theHarvester -d tesla.com -b "anubis, baidu, bing, binaryedge, bingapi, bufferoverun, censys, certspotter, crtsh, dnsdumpster, duckduckgo, fullhunt, github-code, google, hackertarget, hunter, intelx, linkedin, linkedin_links, n45ht, omnisint, otx, pentesttools, projectdiscovery, qwant, rapiddns, rocketreach, securityTrails, spyse, sublist3r, threatcrowd, threatminer, trello, twitter, urlscan, virustotal, yahoo, zoomeye"

Istnieją inne interesujące narzędzia/API, które mogą być przydatne do znalezienia subdomen, takie jak:

# Get list of subdomains in output from the API
## This is the API the crobat tool will use
curl https://sonar.omnisint.io/subdomains/tesla.com | jq -r ".[]"

curl https://jldc.me/anubis/subdomains/tesla.com | jq -r ".[]"

# Get Domains from rapiddns free API
rapiddns(){
curl -s "https://rapiddns.io/subdomain/$1?full=1" \
| grep -oE "[\.a-zA-Z0-9-]+\.$1" \
| sort -u
}
rapiddns tesla.com

# Get Domains from crt free API
crt(){
curl -s "https://crt.sh/?q=%25.$1" \
| grep -oE "[\.a-zA-Z0-9-]+\.$1" \
| sort -u
}
crt tesla.com
  • gau: pobiera znane adresy URL z AlienVault's Open Threat Exchange, Wayback Machine i Common Crawl dla określonej domeny.
# Get subdomains from GAUs found URLs
gau --subs tesla.com | cut -d "/" -f 3 | sort -u

# Get only subdomains from SubDomainizer
python3 SubDomainizer.py -u https://tesla.com | grep tesla.com

# Get only subdomains from subscraper, this already perform recursion over the found results
python subscraper.py -u tesla.com | grep tesla.com | cut -d " " -f

# Get info about the domain
shodan domain <domain>
# Get other pages with links to subdomains
shodan search "http.html:help.domain.com"

export CENSYS_API_ID=...
export CENSYS_API_SECRET=...
python3 censys-subdomain-finder.py tesla.com

python3 DomainTrail.py -d example.com

Ten projekt oferuje darmowo wszystkie subdomeny związane z programami bug bounty. Możesz uzyskać dostęp do tych danych również za pomocą chaospy lub uzyskać dostęp do zakresu używanego przez ten projekt https://github.com/projectdiscovery/chaos-public-program-list

Możesz znaleźć porównanie wielu z tych narzędzi tutaj: https://blog.blacklanternsecurity.com/p/subdomain-enumeration-tool-face-off

Atak siłowy DNS

Spróbujmy znaleźć nowe subdomeny za pomocą ataku siłowego na serwery DNS, używając możliwych nazw subdomen.

Do tego działania będziesz potrzebować kilku często używanych list słów dla subdomen, takich jak:

Oraz adresy IP dobrych resolverów DNS. Aby wygenerować listę zaufanych resolverów DNS, możesz pobrać resolverów z https://public-dns.info/nameservers-all.txt i użyć dnsvalidator do ich filtrowania. Lub możesz użyć: https://raw.githubusercontent.com/trickest/resolvers/main/resolvers-trusted.txt

Najbardziej polecane narzędzia do ataku siłowego DNS to:

  • massdns: To było pierwsze narzędzie, które przeprowadziło skuteczny atak siłowy DNS. Jest bardzo szybkie, ale podatne na fałszywe wyniki dodatnie.
sed 's/$/.domain.com/' subdomains.txt > bf-subdomains.txt
./massdns -r resolvers.txt -w /tmp/results.txt bf-subdomains.txt
grep -E "tesla.com. [0-9]+ IN A .+" /tmp/results.txt
  • gobuster: Myślę, że ten używa tylko 1 resolver'a
gobuster dns -d mysite.com -t 50 -w subdomains.txt
  • shuffledns to nakładka na massdns, napisana w języku go, która pozwala na wyliczenie prawidłowych subdomen za pomocą aktywnego brutalnego ataku, a także rozwiązywanie subdomen z obsługą symboli wieloznacznych oraz łatwe wsparcie wejścia-wyjścia.
shuffledns -d example.com -list example-subdomains.txt -r resolvers.txt
  • puredns: Wykorzystuje również massdns.
puredns bruteforce all.txt domain.com
  • aiodnsbrute używa asyncio do asynchronicznego brutalnego przełamywania nazw domen.
aiodnsbrute -r resolvers -w wordlist.txt -vv -t 1024 domain.com

Druga runda brutalnej siły DNS

Po znalezieniu subdomen przy użyciu otwartych źródeł i brutalnej siły, można wygenerować zmiany znalezionych subdomen, aby spróbować znaleźć jeszcze więcej. Kilka narzędzi jest przydatnych do tego celu:

  • dnsgen: Generuje permutacje domen i subdomen.
cat subdomains.txt | dnsgen -
  • goaltdns: Dla podanych domen i subdomen generuje permutacje.
  • Możesz pobrać listę permutacji goaltdns wordlist tutaj.
goaltdns -l subdomains.txt -w /tmp/words-permutations.txt -o /tmp/final-words-s3.txt
  • gotator: Dla podanych domen i subdomen generuje permutacje. Jeśli nie zostanie wskazany plik z permutacjami, gotator użyje własnego.
gotator -sub subdomains.txt -silent [-perm /tmp/words-permutations.txt]
  • altdns: Oprócz generowania permutacji subdomen, może również próbować je rozwiązać (ale lepiej użyć wcześniej skomentowanych narzędzi).
  • Możesz pobrać listę permutacji słów dla altdns tutaj.
altdns -i subdomains.txt -w /tmp/words-permutations.txt -o /tmp/asd3
  • dmut: Kolejne narzędzie do wykonywania permutacji, mutacji i zmian poddomen. To narzędzie będzie próbować siłowo wynik (nie obsługuje dzikich kart DNS).
  • Możesz pobrać listę słów permutacji dmut tutaj.
cat subdomains.txt | dmut -d /tmp/words-permutations.txt -w 100 \
--dns-errorLimit 10 --use-pb --verbose -s /tmp/resolvers-trusted.txt
  • alterx: Na podstawie domeny generuje nowe potencjalne nazwy subdomen na podstawie określonych wzorców, aby odkryć więcej subdomen.

Inteligentna generacja permutacji

  • regulator: Aby uzyskać więcej informacji, przeczytaj ten post, ale w skrócie pobierze główne części z odkrytych subdomen i połączy je, aby znaleźć więcej subdomen.
python3 main.py adobe.com adobe adobe.rules
make_brute_list.sh adobe.rules adobe.brute
puredns resolve adobe.brute --write adobe.valid
  • subzuf: subzuf to fuzer próbujący poddomen, połączony z niezwykle prostym, ale skutecznym algorytmem prowadzonym przez odpowiedź DNS. Wykorzystuje dostarczony zestaw danych wejściowych, takich jak dostosowana lista słów lub historyczne rekordy DNS/TLS, aby dokładnie syntetyzować więcej odpowiadających im nazw domen i rozwijać je jeszcze bardziej w pętli na podstawie informacji zebranych podczas skanowania DNS.
echo www | subzuf facebook.com

Workflow Odkrywania Subdomen

Sprawdź ten wpis na blogu, który napisałem na temat automatyzacji odkrywania subdomen z domeny przy użyciu najtrudniejszych workflowów, aby nie musiał ręcznie uruchamiać wielu narzędzi na swoim komputerze:

{% embed url="https://trickest.com/blog/full-subdomain-discovery-using-workflow/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

{% embed url="https://trickest.com/blog/full-subdomain-brute-force-discovery-using-workflow/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

VHosts / Hosty Wirtualne

Jeśli znalazłeś adres IP zawierający jedną lub kilka stron internetowych należących do subdomen, możesz spróbować znaleźć inne subdomeny z witrynami na tym IP, szukając w źródłach OSINT domen na danym IP lub próbując siłowo nazwy domen VHost na tym IP.

OSINT

Możesz znaleźć niektóre Hosty Wirtualne w IP za pomocą HostHunter lub innych interfejsów API.

Atak Siłowy

Jeśli podejrzewasz, że pewna subdomena może być ukryta na serwerze sieciowym, możesz spróbować ją siłowo odszukać:

ffuf -c -w /path/to/wordlist -u http://victim.com -H "Host: FUZZ.victim.com"

gobuster vhost -u https://mysite.com -t 50 -w subdomains.txt

wfuzz -c -w /usr/share/wordlists/SecLists/Discovery/DNS/subdomains-top1million-20000.txt --hc 400,404,403 -H "Host: FUZZ.example.com" -u http://example.com -t 100

#From https://github.com/allyshka/vhostbrute
vhostbrute.py --url="example.com" --remoteip="10.1.1.15" --base="www.example.com" --vhosts="vhosts_full.list"

#https://github.com/codingo/VHostScan
VHostScan -t example.com

{% hint style="info" %} Za pomocą tej techniki możesz nawet uzyskać dostęp do wewnętrznych/ukrytych punktów końcowych. {% endhint %}

CORS Brute Force

Czasami znajdziesz strony, które zwracają nagłówek Access-Control-Allow-Origin tylko wtedy, gdy prawidłowa domena/poddomena jest ustawiona w nagłówku Origin. W tych scenariuszach możesz wykorzystać to zachowanie do odkrywania nowych poddomen.

ffuf -w subdomains-top1million-5000.txt -u http://10.10.10.208 -H 'Origin: http://FUZZ.crossfit.htb' -mr "Access-Control-Allow-Origin" -ignore-body

Atak siłowy na kubełki

Podczas poszukiwania subdomen zwróć uwagę, czy nie wskazują one na jakikolwiek rodzaj kubełka, a w takim przypadku sprawdź uprawnienia.
Ponadto, w tym momencie znasz wszystkie domeny w zakresie, spróbuj przeprowadzić atak siłowy na możliwe nazwy kubełków i sprawdź uprawnienia.

Monitorowanie

Możesz monitorować, czy nowe subdomeny domeny są tworzone poprzez monitorowanie logów Transparentności Certyfikatów sublert .

Poszukiwanie podatności

Sprawdź możliwe przejęcia subdomen.
Jeśli subdomena wskazuje na kubełek S3, sprawdź uprawnienia.

Jeśli znajdziesz jakąkolwiek subdomenę z innym adresem IP niż te, które już znalazłeś podczas odkrywania zasobów, powinieneś przeprowadzić podstawowe skanowanie podatności (używając Nessusa lub OpenVAS) oraz skan portów przy użyciu nmap/masscan/shodan. W zależności od tego, jakie usługi są uruchomione, możesz znaleźć w tej książce kilka sztuczek do ich "atakowania".
Zauważ, że czasami subdomena jest hostowana pod adresem IP, który nie jest kontrolowany przez klienta, więc nie jest w zakresie, bądź ostrożny.

Adresy IP

W początkowych krokach możesz znaleźć pewne zakresy IP, domeny i subdomeny.
Nadszedł czas, aby zbierać wszystkie adresy IP z tych zakresów oraz dla domen/subdomen (zapytania DNS).

Korzystając z usług poniższych darmowych interfejsów API, możesz również znaleźć poprzednie adresy IP używane przez domeny i subdomeny. Te adresy IP mogą nadal należeć do klienta (i mogą pozwolić Ci na znalezienie obejść CloudFlare)

Możesz również sprawdzić domeny wskazujące na określony adres IP za pomocą narzędzia hakip2host

Poszukiwanie podatności

Skanuj porty wszystkich adresów IP, które nie należą do CDN (ponieważ prawdopodobnie nie znajdziesz tam nic interesującego). W odkrytych uruchomionych usługach możesz znaleźć podatności.

Znajdź przewodnik o tym, jak skanować hosty.

Polowanie na serwery WWW

Znaleźliśmy wszystkie firmy i ich zasoby, znamy zakresy IP, domeny i subdomeny w zakresie. Czas poszukać serwerów WWW.

W poprzednich krokach prawdopodobnie już przeprowadziłeś rekonesans odkrytych adresów IP i domen, więc możesz już znaleźć wszystkie możliwe serwery WWW. Jeśli jednak nie, teraz zobaczymy szybkie sztuczki do szukania serwerów WWW w zakresie.

Należy zauważyć, że będzie to zorientowane na odkrywanie aplikacji internetowych, więc powinieneś również przeprowadzić skan podatności i portów również (jeśli zezwala na to zakres).

Szybka metoda odkrywania otwartych portów związanych z serwerami WWW za pomocą masscan można znaleźć tutaj.
Innym przyjaznym narzędziem do szukania serwerów WWW jest httprobe, fprobe i httpx. Wystarczy przekazać listę domen, a narzędzie spróbuje połączyć się z portem 80 (http) i 443 (https). Dodatkowo, można wskazać, aby spróbował innych portów:

cat /tmp/domains.txt | httprobe #Test all domains inside the file for port 80 and 443
cat /tmp/domains.txt | httprobe -p http:8080 -p https:8443 #Check port 80, 443 and 8080 and 8443

Zrzuty ekranu

Teraz, gdy odkryłeś wszystkie serwery WWW obecne w zakresie (wśród adresów IP firmy oraz wszystkich domen i poddomen), prawdopodobnie nie wiesz, od czego zacząć. Dlatego zacznij od zrobienia zrzutów ekranu wszystkich z nich. Już po rzuceniu okiem na stronę główną możesz znaleźć dziwne punkty końcowe, które są bardziej podatne na zagrożenia.

Aby wykonać proponowany pomysł, możesz użyć EyeWitness, HttpScreenshot, Aquatone, Shutter, Gowitness lub webscreenshot.

Ponadto, możesz użyć eyeballer, aby przejrzeć wszystkie zrzuty ekranu i powiedzieć Ci, co najprawdopodobniej zawiera podatności, a co nie.

Zasoby publiczne w chmurze

Aby znaleźć potencjalne zasoby chmurowe należące do firmy, powinieneś zaczynać od listy słów kluczowych identyfikujących tę firmę. Na przykład, dla firmy kryptowalutowej możesz użyć słów takich jak: "crypto", "wallet", "dao", "<nazwa_domeny>", <"nazwy_poddomen">.

Będziesz także potrzebował list słów często używanych w kubełkach:

Następnie, z tymi słowami powinieneś generować permutacje (sprawdź Druga runda Brute-Force DNS po więcej informacji).

Z uzyskanych list słów możesz użyć narzędzi takich jak cloud_enum, CloudScraper, cloudlist lub S3Scanner.

Pamiętaj, że szukając zasobów w chmurze powinieneś szukać czegoś więcej niż tylko kubełków w AWS.

Szukanie podatności

Jeśli znajdziesz rzeczy takie jak otwarte kubełki lub funkcje chmurowe wystawione, powinieneś do nich uzyskać dostęp i spróbować zobaczyć, co oferują i czy można je wykorzystać.

Emaile

Dzięki domenom i poddomenom w zakresie masz praktycznie wszystko, czego potrzebujesz, aby zacząć szukać adresów e-mail. Oto API i narzędzia, które najlepiej sprawdziły się dla mnie w poszukiwaniu adresów e-mail firmy:

Szukanie podatności

Emaile przydadzą się później do brute-force'owania logowań na stronach internetowych i usługach uwierzytelniania (takich jak SSH). Są również potrzebne do phishingu. Ponadto te API dostarczą Ci jeszcze więcej informacji o osobie za adresem e-mail, co jest przydatne dla kampanii phishingowej.

Wycieki poświadczeń

Dzięki domenom, poddomenom i adresom e-mail możesz zacząć szukać wycieków poświadczeń, które miały miejsce w przeszłości i należały do tych adresów e-mail:

Szukanie podatności

Jeśli znajdziesz ważne wycieki poświadczeń, to bardzo łatwe zwycięstwo.

Wycieki sekretów

Wycieki poświadczeń są związane z atakami na firmy, w których wyciekły i zostały sprzedane poufne informacje. Jednak firmy mogą być dotknięte również przez inne wycieki, których informacje nie znajdują się w tych bazach danych:

Wycieki z Githuba

Poświadczenia i interfejsy API mogą być wyciekane w publicznych repozytoriach firmy lub użytkowników pracujących w tej firmie na Githubie.
Możesz użyć narzędzia Leakos, aby pobrać wszystkie publiczne repozytoria organizacji i jej deweloperów i automatycznie uruchomić na nich gitleaks.

Leakos może również być używany do uruchamiania gitleaks na wszystkich tekstach dostarczonych URL-ów przekazanych do niego, ponieważ czasami strony internetowe również zawierają sekrety.

Dorki Githuba

Sprawdź także tę stronę w poszukiwaniu potencjalnych dorków Githuba, których również możesz szukać w atakowanej organizacji:

{% content-ref url="github-leaked-secrets.md" %} github-leaked-secrets.md {% endcontent-ref %}

Wycieki wklejek

Czasami atakujący lub po prostu pracownicy opublikują treści firmy na stronie z wklejkami. Mogą one zawierać informacje poufne lub nie, ale warto je przeszukać.
Możesz użyć narzędzia Pastos, aby jednocześnie przeszukać ponad 80 stron z wklejkami.

Dorki Google

Stare, ale złote dorki Google zawsze są przydatne do znalezienia ujawnionych informacji, które tam nie powinny być. Jedynym problemem jest to, że baza danych google-hacking zawiera kilka tysięcy możliwych zapytań, których nie można uruchomić ręcznie. Dlatego możesz wybrać swoje ulubione 10 lub skorzystać z narzędzia takiego jak Gorks do ich uruchomienia wszystkich.

Zauważ, że narzędzia, które oczekują uruchomienia całej bazy danych za pomocą zwykłej przeglądarki Google, nigdy się nie zakończą, ponieważ Google bardzo szybko zablokuje Twoje działania.

Szukanie podatności

Jeśli znajdziesz ważne wycieki poświadczeń lub tokenów API, to bardzo łatwe zwycięstwo.

Publiczne podatności kodu

Jeśli odkryłeś, że firma ma kod open-source, możesz go analizować i szukać na nim podatności.

W zależności od języka istnieją różne narzędzia, których możesz użyć:

{% content-ref url="../../network-services-pentesting/pentesting-web/code-review-tools.md" %} code-review-tools.md {% endcontent-ref %}

Istnieją również bezpłatne usługi, które pozwalają skanować publiczne repozytoria, takie jak:

Metodologia testowania penetracyjnego aplikacji internetowych

Większość podatności znalezionych przez łowców błędów znajduje się w aplikacjach internetowych, dlatego w tym momencie chciałbym omówić metodologię testowania aplikacji internetowych, którą można znaleźć tutaj.

Chciałbym również zwrócić uwagę na sekcję Otwarte narzędzia skanujące automatycznie strony internetowe, ponieważ, chociaż nie powinieneś oczekiwać, że znajdą one bardzo wrażliwe podatności, są przydatne do implementacji ich w przepływach pracy w celu uzyskania początkowych informacji o stronie internetowej.

Podsumowanie

Gratulacje! W tym momencie już przeprowadziłeś całą podstawową enumerację. Tak, jest to podstawowe, ponieważ można wykonać znacznie więcej operacji enumeracji (zobaczymy więcej sztuczek później).

Więc już:

  1. Znalazłeś wszystkie firmy w zakresie
  2. Znalazłeś wszystkie zasoby należące do firm (i przeprowadziłeś skanowanie podatności, jeśli jest w zakresie)
  3. Znalazłeś wszystkie domeny należące do firm
  4. Znalazłeś wszystkie subdomeny domen (jakiekolwiek przejęcie subdomeny?)
  5. Znalazłeś wszystkie adresy IP (z i bez CDN) w zakresie.
  6. Znalazłeś wszystkie serwery internetowe i wykonałeś zrzut ekranu z nich (czy coś dziwnego warte głębszego zbadania?)
  7. Znalazłeś wszystkie potencjalne publiczne zasoby w chmurze należące do firmy.
  8. Emaile, wycieki poświadczeń i wycieki tajemnic, które mogą dać Ci duże zwycięstwo bardzo łatwo.
  9. Testowanie penetracyjne wszystkich stron internetowych, które znalazłeś

Pełne narzędzia automatyczne do rozpoznawania

Istnieje wiele narzędzi, które wykonają część proponowanych działań w określonym zakresie.

Referencje

Jeśli interesuje Cię kariera w dziedzinie hakowania i hakowanie niemożliwych do zhakowania - zatrudniamy! (wymagana biegła znajomość języka polskiego w piśmie i mowie).

{% embed url="https://www.stmcyber.com/careers" %}

Zacznij od zera i zostań ekspertem w hakowaniu AWS z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks: