InfraHunter

ابحث بنشاط عن بنية المهاجمين التحتية من خلال تصفية نتائج Shodan ببيانات URLScan.

المتطلبات

• مفتاح Shodan API
• مفتاح URLScan API
• python3 -m pip install -r requirements.txt

أمثلة الاستخدام

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

الاستعلامات المدمجة

يمكنك استخدام استعلامات مُعدّة مسبقًا عن طريق توفير اسمها مع -q. لعرض جميع الاستعلامات المدمجة، شغّل python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

يمكنك أيضًا توفير رابط إلى webhook الخاص بـ Discord مع -d, --discord. سيؤدي ذلك إلى إرسال النتائج إلى هذا الـ webhook بدلاً من فتحها في المتصفح.

ماذا أفعل؟

1. ابحث في Shodan باستخدام الاستعلام المقدم عبر -q, --query
2. لكل مجموعة من IP/المنفذ/البروتوكول والنطاق/المنفذ/البروتوكول، أرسلها إلى URLScan
   • إذا كان لديه منافذ مفتوحة متعددة، فسيتم إرسال جميع المنافذ
   • يرسل روابط http و https
   • نفس العملية لجميع النطاقات
3. لكل نتيجة من URLScan
   • تحقق مما إذا كانت الصفحة الممسوحة ضوئيًا أعادت HTTP OK (200)
   • تحقق مما إذا كانت تحتوي على لقطة شاشة لصفحة الويب في نتائج URLScan
   • قم بتنزيل الصورة وحساب SHA256 الخاص بها وحذف الصورة
   • تحقق من SHA256 مقابل قائمة التجزئات لاستبعادها (هذه القائمة هي أشياء اعتبرتها غير ضارة، لكنني أخطط لإنشاء طريقة لتجاوز هذا الفحص) (القائمة موجودة لأنني أستخدم هذه الأداة للبحث وفقًا لجدول زمني)
   • لكل نتيجة متبقية لم يستبعدها فحص التجزئة، أعد النتيجة

حدود معدل API

تم ترميز الأداة بشكل ثابت للنوم لمدة 20 ثانية بين عمليات إرسال URLScan لتكون لطيفة. بشكل افتراضي، تستخدم عمليات الفحص العامة، ويمكن تغيير ذلك باستخدام --scan-type.