Bash-basiertes Skript für passive Reconnaissance und Attack-Surface-Mapping, das ausschließlich öffentliche APIs und Standard-Linux-Tools (curl, dig, openssl, nmap, python3) verwendet.
_ _ _ _ _ _______
| \ | | | | | |/ / ____|
| \| | | | | ' /| _|
| |\ | |_| | . \| |___
|_| \_|\___/|_|\_\_____|
N U K E // recon & attack surface mapper
-----------------------------------------
Bash-basiertes Skript für passive Reconnaissance + Attack-Surface-Mapping, das ausschließlich öffentliche APIs + Standard-Linux-Tools verwendet (curl, dig, openssl, nmap, python3).
Die gesamte Ausgabe landet in einer einzigen .txt-Datei: nuke_<domain>.txt.
Keine Abhängigkeit von subfinder, ffuf, gobuster, subjs, getJS, jshunter oder js_snitch.
| # | Modul | Quelle / Technik |
|---|---|---|
| 1 | Subdomains via CT | crt.sh |
| 2 | Subdomains via alternativer CT | crt.name |
| 3 | Subdomains (optional, erfordert Key) | SecurityTrails API |
| 4 | Subdomains + URLs + IPs | OTX AlienVault |
| 5 | Domains + IPs + ASN/Server | urlscan.io |
| 6 | Subdomains + Siblings + IPs (erfordert Key) | VirusTotal v2 |
| 7 | Konsolidierte Subdomains | Union + Dedupe über alle Quellen |
| 8 | DNS (TXT/SPF, A, AAAA, NS, MX, SOA + AXFR) | dns.google (DoH) + dig/host — entspricht dnsrecon -d |
| 9 | WHOIS | RDAP via rdap.org |
| 10 | IPs / Reverse DNS / RDAP-IP / HTTP-Status | dns.google PTR + rdap.org/ip + curl -I |
| 11 | Favicon-Hash (Shodan-Hunting) + IP-SSL-Verifikation | Lokaler Shodan-Standard-murmur3 (http.favicon.hash) + openssl + nmap --script ssl-cert |
| 12 | JS-Dateien + extrahierte Endpunkte | <script src>-Parsing + Pfad/URL-Regex (ersetzt subjs/getJS/jshunter) |
| 13 | Historische URLs | Wayback Machine CDX |
| 14 | Origin-IP-Erkennung (CDN/WAF-Bypass) | Korreliert DNS + OTX + urlscan + VT + SPF + Shodan, filtert via RDAP-Org + Host:-Header-Test |
| 15 | Eingebauter Dirscan | Kuratierte Wordlist mit hohem Signal, parallel (kein ffuf/gobuster nötig) |
Highlights:
pip install), mit einsatzbereiten Dorks: http.favicon.hash:X.ip4:/include:/a/mx) — leakt Infrastruktur / Origin-IP.?api=, admin, token, .bak, .sql, .env, .git)..git/HEAD, .env, backup.zip, phpinfo.php, actuator/env, swagger/, graphql, jenkins/, etc.bash, curl, grep, sed, awk, sort, trdig oder host → für AXFRpython3 → für Favicon-murmur3-Hash (Shodan-Standard)nmap → für nmap --script ssl-cert -p 443 <IP>openssl → für Zertifikat-CN/SAN-InspektionLäuft auf Kali, Ubuntu, Debian, WSL2.
git clone https://github.com/AnkhCorp/Nuke.sh.git
cd Nuke.sh
chmod +x nuke.sh
# Basic (100% kostenlos, keine Keys)
bash nuke.sh example.com
# Mit Keys (über Argumente)
bash nuke.sh example.com SECURITYTRAILS_KEY VIRUSTOTAL_KEY
# Mit Keys über env (empfohlen — Keys niemals committen)
export SECURITYTRAILS_API_KEY="your_key"
export VT_APIKEY="your_key"
export SHODAN_API_KEY="your_key" # optional
export ZOOMEYE_KEY="your_key" # optional
bash nuke.sh example.com
Unterstützte Umgebungsvariablen:
| Variable | Erforderlich? | Wo bekommt man sie |
|---|---|---|
SECURITYTRAILS_API_KEY | Nein | https://securitytrails.com/app/signup |
VT_APIKEY | Nein | https://www.virustotal.com/gui/my-apikey |
SHODAN_API_KEY | Nein | https://account.shodan.io |
ZOOMEYE_KEY | Nein | https://www.zoomeye.hk |
URLSCAN_SIZE | Nein (Standard 1000) | Z. B. export URLSCAN_SIZE=10000 für Maximum |
Ausgabe:
nuke_example.com.txt
===================================================================
== 7. CONSOLIDATED SUBDOMAINS (all sources)
===================================================================
crt.sh=45 | crt.name=38 | securitytrails=52 | otx=20 | urlscan=15 | virustotal=30
[UNIQUE total]: https://raw.githubusercontent.com/ankhcorp/nuke.sh/main/87
admin.example.com
api.example.com
...
===================================================================
== 14. ORIGIN IP DISCOVERY (consolidated)
===================================================================
[All candidate IPs (current DNS + OTX + urlscan + VT + SPF + Shodan)]:
https://raw.githubusercontent.com/ankhcorp/nuke.sh/main/1.2.3.4
5.6.7.8
...
IP: 1.2.3.4 | RDAP_ORG: CLOUDFLARENET
IP: 5.6.7.8 | RDAP_ORG: LOCAWEB
# Shodan — certificate
shodan search 'Ssl.cert.subject.CN:"example.com" 200 --fields ip_str'
# Shodan — favicon
shodan search 'http.favicon.hash:123456789'
# ZoomEye
ssl:"example.com" # at https://www.zoomeye.hk/
# Manual
https://crt.name/v1/search?apex=example.com
https://favicon-hash.kmsec.uk/
https://viewdns.info/iphistory/?domain=example.com
https://mxtoolbox.com/SuperTool.aspx
https://urlscan.io/search/#domain:example.com
Manuelle Verifikation eines Origin-IP-Kandidaten:
curl -sk -H 'Host: example.com' https://<CANDIDATE_IP>/ | head -n 20
echo | openssl s_client -connect <CANDIDATE_IP>:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName
nmap --script ssl-cert -p 443 <CANDIDATE_IP>
Wenn das Zertifikat mit CN/SAN=example.com antwortet (oder Titel/Server zur Seite passt), ist das die echte IP.
| Tool | Grund für Ersatz |
|---|---|
subfinder | Ersetzt durch crt.sh + crt.name + OTX + urlscan + VT + SecurityTrails (alles über API, nichts zu installieren) |
webanalyze | Zuverlässige Tech-Erkennung erfordert eine kostenpflichtige API (Wappalyzer/BuiltWith) — außerhalb des Umfangs |
subjs / getJS | Ersetzt durch eingebaute <script src>-Extraktion (Abschnitt 12) |
jshunter | Ersetzt durch eingebaute Endpoint-Regex (Abschnitt 12) |
js_snitch | Kein Public-API-Äquivalent |
dnsrecon -d | Äquivalent in Abschnitt 8 (NS/MX/SOA/AXFR via DoH + dig) |
httpx-toolkit | Teilweises Äquivalent in Abschnitt 10 (Status/Server pro Host) |
ffuf / gobuster | Eingebauter Dirscan mit kuratierter Wordlist + xargs -P (Abschnitt 15) — für vollständiges Fuzzing SecLists verwenden: ffuf -u https://TARGET/FUZZ -w raft-medium-directories.txt |
Nur gegen Ziele verwenden, für deren Test du autorisiert bist (eigene Assets, Bug-Bounty-Programme im Scope, beauftragte Pentests).
Der Autor ist nicht für Missbrauch verantwortlich.
MIT — frei verwenden, ändern und teilen.
PRs sind willkommen! Roadmap-Ideen:
--only-ips / --only-subs Flagsamass / anubis-Integration