صائد التصيد

اكتشف نطاقات التصيد المحتملة في الوقت الفعلي تقريبًا من خلال البحث عن إصدارات شهادات TLS المشبوهة المبلغ عنها في سجل الشفافية للشهادات (CTL) عبر واجهة CertStream API. الإصدارات "المشبوهة" هي تلك التي تتجاوز درجة اسمها النطاق حدًا معينًا بناءً على ملف تكوين.

هذا مجرد إثبات مفهوم (PoC) عامل. لا تتردد في المساهمة وتعديل الكود ليناسب احتياجاتك. 👍

لقطة شاشة لاستخدام مثال.

التثبيت

يجب أن يعمل البرنامج النصي بشكل جيد باستخدام Python2 أو Python3. في كلتا الحالتين، قم بتثبيت المتطلبات بعد استنساخ أو تنزيل الكود المصدري:

pip install -r requirements.txt

الإعداد

يستخدم صائد التصيد ملف تكوين YAML بسيط لتعيين درجة رقمية للسلاسل التي يمكن العثور عليها في الاسم الشائع لشهادة TLS أو حقل SAN (أي اسم نطاق الشهادة). يأتي ملف التكوين، suspicious.yaml، بإعدادات افتراضية معقولة، ولكن يمكنك ضبط أو إضافة كل من السلاسل التي يحتوي عليها والدرجة المخصصة لكل سلسلة عن طريق تحرير ملف تجاوز، external.yaml.

يحتوي كل من ملفي التكوين الافتراضي suspicious.yaml و external.yaml القابل للتعديل من قبل المستخدم على قاموسين YAML: keywords و tlds. مفاتيح القواميس هي السلاسل والقيم هي الدرجات التي سيتم تعيينها إذا تم العثور على تلك السلسلة في اسم النطاق لشهادة صادرة. على سبيل المثال:

keywords:
    'login': 25

هنا، يتم إضافة درجة 25 إلى الكلمة الرئيسية العامة login عند العثور عليها في اسم نطاق شهادة TLS. زيادة هذه القيمة سترفع مستوى الاشتباه في النطاقات التي تحتوي على السلسلة login، مما يسمح لك بإخضاع إصدارات الشهادات هذه لمزيد من التدقيق.

ومع ذلك، لكي يتم الإبلاغ عنها كمشبوهة بواسطة صائد التصيد، يجب أن تصل أو تتجاوز (>=، "أكبر من أو يساوي") الدرجة المخصصة لشهادة معينة الحدود التالية:

الدرجة	يتم الإبلاغ كـ
65	`محتمل`
80	`مرجح`
90	`مشبوه`

💡 راجع دالة score_domain() في الكود المصدري للحصول على تفاصيل حول خوارزمية التسجيل.

الاستخدام

بمجرد تكوينه حسب رغبتك، يكون الاستخدام بسيطًا مثل تشغيل البرنامج النصي:

$ ./catch_phishing.py

مثال على التصيد الذي تم اكتشافه

تصيد باي بال