wtfis

أداة بحث سلبية عن أسماء المضيفين والنطاقات وعناوين IP مخصصة للبشر

ما هو؟

wtfis هي أداة سطر أوامر تجمع معلومات حول نطاق أو FQDN أو عنوان IP باستخدام خدمات OSINT المختلفة. على عكس الأدوات الأخرى من نوعها، فهي مبنية خصيصًا للاستهلاك البشري، حيث تقدم نتائج جميلة (قد تختلف النتائج حسب رأيك) وسهلة القراءة والفهم.

تفترض هذه الأداة أنك تستخدم حسابات المستوى المجاني / المجتمعي، ولذلك فهي تقوم بأقل عدد ممكن من استدعاءات API لتقليل الوصول إلى الحصص والحدود القصوى.

اسم المشروع هو تلاعب لفظي بكلمة "whois".

مصادر البيانات

الخدمة	تُستخدم في البحث	مطلوبة	الباقة المجانية
Virustotal	الكل	لا	نعم
AbuseIPDB	عنوان IP	لا	نعم
Greynoise	عنوان IP	لا	نعم
IP2Location	عنوان IP	لا	نعم
IP2Whois	النطاق/FQDN	لا	نعم
IPinfo	عنوان IP	لا	نعم (بدون تسجيل)
IPWhois	عنوان IP	لا	نعم (بدون تسجيل)
Shodan	عنوان IP	لا	لا
URLhaus	الكل	لا	نعم

Virustotal

المصدر الأساسي للمعلومات. يجلب:

• اسم المضيف (FQDN) أو النطاق أو IP
  • أحدث إحصائيات التحليل مع تفاصيل البائعين
  • درجة السمعة (بناءً على أصوات مجتمع VT)
  • مراتب الشعبية (Alexa, Cisco Umbrella, إلخ) (لـ FQDN والنطاق فقط)
  • التصنيفات (المعينة من قبل بائعين مختلفين)
• الدقة (Resolutions) (لـ FQDN والنطاق فقط)
  • آخر n من عناوين IP (الافتراضي: 3، الحد الأقصى: 10)
  • أحدث إحصائيات التحليل لكل عنوان IP أعلاه
• Whois
  • احتياطي فقط: إذا كانت بيانات اعتماد IP2Whois غير متوفرة
  • بيانات whois متنوعة حول النطاق نفسه

AbuseIPDB

AbuseIPDB هي قاعدة بيانات جماعية المصادر لعناوين IP الضارة المبلغ عنها. من خلال واجهة API الخاصة بها، تعرض wtfis:

• درجة الثقة في الإساءة (0-100)
• عدد البلاغات

IP2Location

مصدر بديل للبحث عن الموقع الجغرافي وASN لعناوين IP (الافتراضي هو IPWhois). يجلب:

• الموقع الجغرافي
• ASN والمؤسسة (Org)
• البروكسي (True أو False)

IP2Whois وIP2Location هما ميزتان مختلفتان من نفس الخدمة، لذا تحتاج إلى التسجيل مرة واحدة فقط. يمكن بعد ذلك استخدام مفتاح API للبحثين معًا.

IP2Whois

تُستخدم اختياريًا إذا تم توفير بيانات الاعتماد. تجلب:

• Whois
  • بيانات whois متنوعة حول النطاق نفسه

يُنصح باستخدام IP2Whois بدلاً من Virustotal لبيانات whois لعدة أسباب:

• تنسيق بيانات whois في VT أقل اتساقًا
• تميل بيانات whois من IP2Whois إلى أن تكون بجودة أفضل من VT. أيضًا، يبدو أن بيانات المسجّل في VT مجهولة المصدر.
• يمكنك توفير استدعاء VT API واحد عن طريق تحويل المهمة إلى IP2Whois.

IPinfo

مصدر بديل آخر للبحث عن الموقع الجغرافي وASN لعناوين IP. يجلب:

• الموقع الجغرافي
• ASN والمؤسسة (Org)
• اسم المضيف
• Anycast (true أو false)

IPWhois

مصدر البحث الافتراضي للموقع الجغرافي وASN لعناوين IP. يجلب:

• الموقع الجغرافي
• ASN والمؤسسة (Org) ومزود الخدمة (ISP)
• النطاق

لا ينبغي الخلط بين IPWhois وIP2Whois، الذي يوفر بيانات Whois للنطاقات.

Greynoise

باستخدام واجهة API المجتمعية الخاصة بـ Greynoise، ستعرض wtfis ما إذا كان عنوان IP موجودًا في إحدى مجموعات بيانات Greynoise:

• Noise: تم رؤية عنوان IP وهو يفحص الإنترنت بانتظام
• RIOT: ينتمي عنوان IP إلى تطبيق أعمال شائع (مثل Microsoft O365 أو Google Workspace أو Slack)

مزيد من المعلومات حول مجموعات البيانات هنا.

بالإضافة إلى ذلك، تُرجع الواجهة أيضًا تصنيف Greynoise لعنوان IP (إن كان متاحًا). القيم الممكنة هي benign و malicious و unknown.

Shodan

يجلب البيانات من نقطة النهاية /shodan/host/{ip} (انظر الوثائق). لكل عنوان IP، يسترجع:

• قائمة المنافذ والخدمات المفتوحة
• نظام التشغيل (إن كان متاحًا)
• الوسوم (المعينة من قبل Shodan)

URLhaus

URLhaus هي قاعدة بيانات جماعية المصادر لعناوين URLs الضارة المبلغ عنها. يوفر هذا الإثراء نظرة ثاقبة حول ما إذا كان اسم المضيف أو عنوان IP الذي تم الاستعلام عنه يُستخدم أو كان يُستخدم لتوزيع البرامج الضارة عبر HTTP أو HTTPS. تتضمن البيانات المقدمة:

• عدد عناوين URLs النشطة حاليًا وإجمالي عناوين URLs الخاصة بالبرامج الضارة
• ما إذا كان اسم المضيف أو عنوان IP موجودًا حاليًا في قوائم الحظر العامة DNSBL وSURBL
• جميع الوسوم التي تم تعيينها لعنوان URL عبر تاريخه في قاعدة بيانات URLhaus

التثبيت

$ pip install wtfis

للتثبيت عبر conda (من conda-forge)، انظر wtfis-feedstock.

للتثبيت عبر brew:

brew install wtfis

الإعداد

يستخدم wtfis متغيرات البيئة التالية (جميعها اختيارية):

• VT_API_KEY - مفتاح API الخاص بـ Virustotal
• ABUSEIPDB_API_KEY - مفتاح API الخاص بـ AbuseIPDB
• IP2LOCATION_API_KEY - مفتاح API الخاص بـ IP2Location
• IP2WHOIS_API_KEY - مفتاح API الخاص بـ IP2Whois
• GREYNOISE_API_KEY - مفتاح API الخاص بـ Greynoise
• SHODAN_API_KEY - مفتاح API الخاص بـ Shodan
• URLHAUS_API_KEY - مفتاح API الخاص بـ URLhaus
• WTFIS_DEFAULTS - الوسائط المنطقية الافتراضية
• GEOLOCATION_SERVICE - خدمة بحث الموقع الجغرافي / ASN المطلوب استخدامها

عيّن هذه باستخدام طريقتك الخاصة.

بدلاً من ذلك، أنشئ ملفًا في دليل منزلك ~/.env.wtfis يحتوي على الخيارات المذكورة أعلاه. انظر .env.wtfis.example للحصول على قالب. ملاحظة: لا تنسَ تنفيذ chmod 400 على الملف!

الاستخدام

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP

options:
  -h, --help            show this help message and exit
  -A, --all             Enable all possible enrichments
  -s, --use-shodan      Use Shodan to enrich IPs
  -g, --use-greynoise   Enable Greynoise for IPs
  -a, --use-abuseipdb   Enable AbuseIPDB for IPs
  -u, --use-urlhaus     Enable URLhaus for IPs and domains
  -m N, --max-resolutions N
                        Maximum number of resolutions to show (default: 3)
  -n, --no-color        Show output without colors
  -1, --one-column      Display results in one column
  -V, --version         Print version number
  --geolocation-service {ip2location,ipinfo,ipwhois}
                        Geolocation service to use (default: ipwhois)

ببساطة:

$ wtfis FQDN_OR_DOMAIN_OR_IP

وستحصل على النتائج منظمة في لوحات، على غرار الصورة أعلاه.

يتم قبول الإدخال المعطّل (Defanged)، مثل api[.]google[.]com.

إذا كانت الطرفية تدعم ذلك، فإن بعض الحقول والعناوين تكون روابط تشعبية قابلة للنقر تشير إلى مواقع الخدمات المعنية.

جميع الإثراءات