ip-obfuscation

IP-Obfuscator

Ein Security-Testing-Toolkit zur Erzeugung obfuskierter IP-Adressen und URLs. Nützlich für Penetrationstests, Sicherheitsforschung, Phishing-Awareness-Schulungen und zum Testen von URL-Parsern/-Filtern.

Überblick

Dieses Toolkit bietet zwei Schnittstellen:

• ip_obfuscator.html – Webbasierte GUI für die interaktive Nutzung
• ip_obfuscator.py – Kommandozeilen-Tool für Skripting und Automatisierung

Beide Tools erzeugen dieselben Obfuskationstechniken, darunter:

• DWORD/Integer-Formate (dezimal, hex, oktal)
• Varianten der Punktnotation (hex, oktal, gemischte Basen)
• IPv6-gemappte Adressen
• URL-Authority-Tricks (gefälschte Domain mit @)
• Class-B/C-Kurzschreibweise
• Overflow-Techniken
• URL-Encoding-Varianten

Web-Oberfläche (ip_obfuscator.html)

Öffne ip_obfuscator.html in einem beliebigen modernen Browser. Kein Server erforderlich.

Funktionen

• HTTPS-Umschalter – Wechsel zwischen HTTP- und HTTPS-Protokoll
• Filter/Suche – Echtzeit-Filterung der Ergebnisse nach Schlüsselwort
• Export – Ergebnisse als JSON oder CSV herunterladen
• Im Browser testen – Jede generierte URL in einem neuen Tab öffnen
• Einklappbare Kategorien – Auf Überschriften klicken, um Abschnitte ein-/auszuklappen
• Sicherheitszonen-Analyse – Sehen, welche Formate die Windows-Intranet-Zone auslösen

Screenshot-Workflow

1. Ziel-IP-Adresse eingeben (z. B. 192.168.1.100)
2. Gefälschte Domain für den @-Trick festlegen (z. B. secure.bank.com)
3. Pfad und Port nach Bedarf konfigurieren
4. HTTPS bei Bedarf umschalten
5. Auf „Generate Obfuscations" klicken
6. Tabs verwenden, um zwischen URLs, IP-Formaten und Sicherheitszonen zu wechseln
7. Auf ein beliebiges Ergebnis klicken, um es zu kopieren, oder „Test in Browser" verwenden

Kommandozeilen-Tool (ip_obfuscator.py)

Voraussetzungen

• Python 3.6+
• Keine externen Abhängigkeiten (verwendet nur die Standardbibliothek)

Grundlegende Verwendung

# Show all obfuscation formats for an IP
python3 ip_obfuscator.py 192.168.1.100

# Generate obfuscated URLs
python3 ip_obfuscator.py 192.168.1.100 --url

# With fake domain and path
python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Kommandozeilen-Optionen

Option	Kurz	Beschreibung
--url	-u	Vollständige URLs statt nur IP-Formate generieren
--fake-domain	-f	Gefälschte Domain für den @-Trick (Standard: google.com)
--fake-pass	-w	Gefälschtes Passwort für das Format user:pass@host
--path	-p	URL-Pfad (Standard: /)
--port	-P	Portnummer
--https	-s	HTTPS statt HTTP verwenden
--json	-j	Ausgabe als JSON
--filter	-F	Ergebnisse nach Schlüsselwort filtern
--list	-l	Kompakte Listenausgabe (nur Werte)
--zones	-z	Auswirkungen auf die Windows-Sicherheitszone analysieren
--decode	-d	Eine obfuskierte IP zurück in die Standardform dekodieren

Beispiele

URLs mit gefälschter Domain generieren

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Ausgabe:

================================================================================
OBFUSCATED URL GENERATOR
================================================================================
  Target IP:     192.168.1.100
  Fake Domain:   secure.bank.com
  Fake Password: (none)
  Port:          (default)
  Path:          /login
  Protocol:      HTTP
================================================================================

DWORD/INTEGER FORMATS
--------------------------------------------------------------------------------

  Standard (no obfuscation):
  http://192.168.1.100/login

  Decimal DWORD:
  http://3232235876/login

  Hex DWORD:
  http://0xC0A80164/login

  Octal DWORD:
  http://030052000544/login

...

Ergebnisse mit JSON-Ausgabe filtern

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --filter "fake auth" --json

Ausgabe:

{
  "Fake Auth + Decimal DWORD": "http://secure.bank.com@3232235876/",
  "Fake Auth + Hex DWORD": "http://secure.bank.com@0xc0a80164/",
  "Fake Auth + Octal DWORD": "http://secure.bank.com@030052000544/",
  "Fake Auth + Dotted Hex": "http://[email protected]/",
  "Fake Auth + Dotted Octal": "http://[email protected]/",
  "Fake Auth + IPv6 Mapped (hex)": "http://secure.bank.com@[::ffff:c0a8:164]/",
  "Fake Auth + IPv6 Mapped (decimal)": "http://secure.bank.com@[::ffff:192.168.1.100]/",
  "Fake Auth + IPv6 Mapped (full)": "http://secure.bank.com@[0000:0000:0000:0000:0000:ffff:c0a8:0164]/",
  "Fake Auth + Class B": "http://[email protected]/",
  "Fake Auth + Class C": "http://[email protected]/"
}

HTTPS-URLs generieren

python3 ip_obfuscator.py 192.168.1.100 --url --https --filter ipv6

Nur IPv6-Formate auflisten

python3 ip_obfuscator.py 192.168.1.100 --list --filter ipv6

Ausgabe:

All obfuscated forms of 192.168.1.100:

  ::ffff:192.168.1.100
  ::ffff:c0a8:164
  0000:0000:0000:0000:0000:ffff:c0a8:0164
  0:0:0:0:0:ffff:c0a8:164
  ::ffff:c0a80164
  ::192.168.1.100
  ::c0a8:164
  [::ffff:c0a8:164]
  [::ffff:192.168.1.100]
  [0000:0000:0000:0000:0000:ffff:c0a8:0164]

Obfuskierte URLs dekodieren

python3 ip_obfuscator.py --decode "http://secure.bank.com@3232235876/login"

Ausgabe:

Input:   http://secure.bank.com@3232235876/login
Decoded: 192.168.1.100

Sicherheitszonen-Analyse

python3 ip_obfuscator.py 192.168.1.100 --zones

Ausgabe:

================================================================================
MICROSOFT SECURITY ZONES ANALYSIS
================================================================================

The 'Dot Rule' (PlainHostName rule):
  • Hostname WITHOUT dots → Local Intranet Zone
  • Hostname WITH dots    → Internet Zone

⚠️  SECURITY IMPACT of Intranet Zone:
  • Automatic NTLM/Kerberos credential release (credential theft!)
  • Less restrictive ActiveX/script policies
  • May bypass security prompts and Mark-of-the-Web

================================================================================
Target IP: 192.168.1.100
================================================================================

🔴 DOTLESS → LOCAL INTRANET ZONE (HIGH RISK - credential leak)
--------------------------------------------------------------------------------
  Decimal DWORD
    URL: http://3232235876/
    Note: CONFIRMED: MS98-016 specifically documents this as Intranet Zone bypass

  Hex DWORD (0x prefix)
    URL: http://0xC0A80164/
    Note: CONFIRMED: Numeric hostname without dots → Intranet Zone

  Octal DWORD
    URL: http://030052000544/
    Note: Octal integer without dots → Intranet Zone

🟢 DOTTED → INTERNET ZONE (normal security)
--------------------------------------------------------------------------------
  Standard Dotted Decimal
    URL: http://192.168.1.100/

  Dotted Hex
    URL: http://0xC0.0xA8.0x1.0x64/
...

Referenz der Obfuskationstechniken

Kategorie	Beispiel	Beschreibung
Decimal DWORD	3232235876	32-Bit-Integer-Darstellung
Hex DWORD	0xC0A80164	Hexadezimaler Integer
Octal DWORD	030052000544	Oktaler Integer (führende Null)
Dotted Hex	0xC0.0xA8.0x1.0x64	Jedes Oktett in Hex
Dotted Octal	0300.0250.01.0144	Jedes Oktett in Oktal
Mixed Bases	192.0xa8.01.100	Kombination aus Dez/Hex/Oktal
Class B	192.11010404	Erstes Oktett + 24-Bit-Wert
Class C	192.168.356	Zwei Oktette + 16-Bit-Wert
IPv6 Mapped	::ffff:c0a8:164	IPv4-gemappte IPv6-Adresse
Fake Auth	secure.bank.com@IP	Trick im URL-Authority-Abschnitt
Overflow	7527203172	Wert + 2^32 (läuft über)

Sicherheitshinweise