Orbis - Angriffsflächen-Intelligenz

Umfassende Angriffsflächen-Intelligenz

Orbis kartiert automatisch die gesamte internetfähige Angriffsfläche Ihres Unternehmens: Subdomains, offene Ports, Webanwendungen, Cloud-Infrastruktur, TLS-Zertifikate, E-Mail-Posture, offengelegte Secrets, Login-Panels und mehr. Anschließend bewertet und rangiert es jedes entdeckte Asset, sodass Sie genau wissen, worauf Sie sich zuerst konzentrieren müssen.
Was es tut

Sie geben eine Liste von Domains ein. Es erledigt den Rest.
Sie geben eine Liste von Domains ein. Es erledigt den Rest.``` google.com → Frogy 2.0 discovers: apple.com • 2,000+ subdomains (passive + active enumeration) example.com • Every open port across all live hosts • Every web application — status, tech stack, redirects • Login panels, exposed .env files, leaked JS secrets • TLS certificates, cipher strengths, expiry dates • Subdomain takeover candidates (55+ service fingerprints) • Cloud asset inventory (AWS / Azure / GCP / Cloudflare) • SPF / DKIM / DMARC / DNSSEC / BIMI / MTA-STS / DANE • Third-party vendor dependencies across all surfaces • Interactive asset relationship graph → Risk-scored, prioritised, searchable HTML report
## Pipeline-Übersicht

Frogy 2.0 führt eine **31-schrittige Bash-Pipeline** gegen Ihre Ziele aus – vollautomatisiert von der Erkennung bis zum Bericht, alle Phasen werden bedingungslos ausgeführt.

| Phase | Schritte | Was passiert |
|-------|---------|--------------|
| **Seed-Erweiterung** | 1–3 | crt.sh org filter · ARIN RDAP ASN→CIDR · TLD-Scan · Marken-Variation · SEC EDGAR · WhoisXML-Registrant-Pivot (API-optional) |
| **Entdeckung** | 4–9 | Subfinder + Assetfinder + crt.sh + GAU + Wayback CDX + RapidDNS + OTX/VT (API-optional) → Zusammenführen + Ausschlussfilter |
| **DNS & Takeover** | 10–11 | DNSX vollständige Auflösung (A/AAAA/CNAME/MX/NS/SPF/DMARC/DKIM/DNSSEC/BIMI/MTA-STS/DANE) · CDN/Cloud-Tier-Klassifizierung · 55+ Dangling-DNS-Fingerabdrücke |
| **Port + Web** | 12–16 | IPv6-Entdeckung · Naabu-Portscan (~500 Ports, CDN-bewusst) · Web-Port-URL-Erweiterung · HTTPX-Fingerprinting · Shodan-Banner-Anreicherung (API-optional) |
| **Crawl + JS** | 18–19 | Katana Deep Crawl (JS-bewusst, Tiefe 3) → JS-Datei-Analyse (Geheimnisse, Endpunkte, SDK-Referenzen) |
| **Sicherheitsanalyse** | 21–23 | Login-Panel-Erkennung · TLS/Chiffre-Bewertung · Sicherheitsheader-Compliance · CORS / BIMI / MTA-STS / DANE / WHOIS-strukturierte Felder |
| **Intelligenz** | 24–29 | SaaS-Mandanten · Drittanbieter-Intelligenz (100+ Muster) · API-Oberfläche · Kollegen-Identifikation · GitHub-Org-Oberfläche · Favicon-Hash-Clustering |
| **Cloud** | 30 | Cloud-Infrastruktur-Inventar + WAF-Schutzstatus · Prüfung auf offene Speicher · Bucket-Permutation |
| **Bewertung + Bericht** | 31 | Drei-Eimer-Risikobewertung (70+ Signale) → Eigenständiger HTML-Bericht mit 11 Registerkarten |

---

## Hauptmerkmale

<details>
<summary><b>Subdomain-Erkennung & DNS-Intelligenz</b></summary>

- Aggregation aus **Subfinder**, **Assetfinder**, **crt.sh**, **GAU** (Wayback Machine), RapidDNS, OTX, VirusTotal
- Vollständige DNS-Auflösung: A, AAAA, CNAME, MX, NS, SPF, DMARC, DKIM, DNSSEC
- BIMI-, MTA-STS-, DANE/TLSA-Einträge pro Domain
- WHOIS: Registrar, Erstellungsdatum, Ablaufdatum, RegistrantOrg, RegistrantLand pro Domain
- **Projektbezogene Ausschlussliste** – als nicht zum Umfang gehörig markierte Assets werden vor der DNS-Auflösung und bei allen zukünftigen Rescans gefiltert
</details>

<details>
<summary><b>Web-Fingerprinting mit Weiterleitungs-Intelligenz</b></summary>

- HTTPX mit `-follow-redirects` erfasst **Metadaten des letzten Hops** (nicht die Weiterleitungsseite)
- **Weiterleitungs-Deduplizierung** in Berichten: HTTP:80 wird unterdrückt, wenn HTTPS:443 für denselben Host existiert – vermeidet Doppelzählung
- Technologie-Stack, Webserver + Version, CDN/WAF, Content-Length, Statuscodes
</details>

<details>
<summary><b>Subdomain-Übernahmeerkennung</b></summary>

- 55+ Dienst-Fingerabdrücke: GitHub Pages, AWS S3, Heroku, Netlify, Vercel, Azure, Fastly, Fly.io und mehr
- Verifiziert durch Abruf des erwarteten Fehlerseiten-Bodys
- Klassifizierung: **Bestätigt** / **Potentiell** / **Sicher**
- Übernahmestatus fließt direkt in den Risikoscore ein
</details>

<details>
<summary><b>TLS/SSL-Tiefenanalyse</b></summary>

- Chiffre-Suite-Prüfung: markiert NULL, ANON, RC4, DES, 3DES, CBC
- Protokollversion (TLS 1.3 bis hinab zu SSL 3.0)
- Erkennung selbstsignierter Zertifikate, Wildcard-SAN-Erkennung, fehlgeschlagene Handshakes
- Zertifikatsablauf mit farbcodierter Dringlichkeit (abgelaufen → innerhalb 7 Tagen → innerhalb 30 Tagen → ok)
- **Schlüsselalgorithmus** (RSA / ECDSA) und **Schlüsselgröße** (farbcodiert: rot < 2048, gelb = 2048, grün ≥ 4096 / jedes ECDSA)
- **CA-Typ**-Erkennung: Let's Encrypt vs. kostenpflichtige CA
- **Zertifikatsnote A–F** (0–100) pro Zertifikat – TLS-Version + Chiffre + Ablauf + Schlüssel + selbstsigniert + Wildcard
</details>

<details>
<summary><b>Mail-Infrastruktur-Kartierung</b></summary>

- Pro-Domain **MX-Eintrags**-Sammlung + automatische Mail-Anbietererkennung (Google Workspace, Microsoft 365, ProofPoint, Mimecast, usw.)
- **SPF / DKIM / DMARC / DNSSEC** pro Domain ausgewertet
- **BIMI**-Eintragserkennung, **MTA-STS**-Modus (enforce/testing/none), **DANE/TLSA**-Einträge (Ports 443 und 25)
- Eigener **Mail-Infrastruktur**-Berichtstab mit pro-Domain **E-Mail-Risikoscore 0–100**
</details>

<details>
<summary><b>Domain-Intelligenz-Anreicherung</b></summary>

- Strukturierte **WHOIS**-Felder pro Domain: Registrar, DomainCreated, DomainExpires, DomainAge, RegistrantOrg, RegistrantCountry
- **NS-Cluster-Abzeichen** – gruppiert Domains, die dieselben Nameserver teilen
- **Shodan-Dienstbanner** in der IP-Adresstabelle (Port · Protokoll · Dienst-Pills)
</details>

<details>
<summary><b>Login-Oberflächenerkennung</b></summary>

- Multi-Signal-Heuristiken: Passwort/Benutzernamenfelder, CSRF-Tokens, HTTP 401/403/407, JS-Auth-Bibliotheken, mehrsprachige Anmelde-Keywords, CAPTCHA-Indikatoren
- Strukturierte JSON-Ausgabe mit **Login-Panel-Typ** (phpMyAdmin, Jenkins, Kubernetes Dashboard, Grafana, CMS-Admin, Remote-Access-Gateways)
- Typ wird von der Bewertungsmaschine verwendet, um höhere Strafen für hochwertige Panels zu vergeben
</details>

<details>
<summary><b>Cloud-Infrastruktur-Kartierung</b></summary>

- Umfasst AWS, Azure, GCP, Cloudflare, Vercel, Netlify, Fastly, Heroku, Fly.io, DigitalOcean, Hetzner
- Ressourcentyp-Klassifizierung: CDN, Load Balancer, Objektspeicher, Managed DB, API-Gateway, Serverless
- Schutzstatus: WAF/CDN-geschützt vs. direkte Ursprungsfreigabe
</details>

<details>
<summary><b>Crawl-basierte Komplexitätsbewertung</b></summary>

- Katana durchsucht jede Live-Seite (Tiefe 3)
- **Deduplizierte eindeutige Seitenanzahl** pro Endpunkt: numerische Pfadsegmente normalisiert (`/users/123` → `/users/{id}`), Query-Strings entfernt
- Logarithmisch skalierter Score-Beitrag (+2 bis +12) – misst die tatsächliche Anwendungskomplexität, keine URL-Anzahlinflation
</details>

<details>
<summary><b>Drittanbieter-Intelligenz</b></summary>

- Multi-Quellen-Sammlung: CSP-Header, Katana-JS-Analyse, MX/SPF/CNAME-Einträge, HTTP-Response-Header
- **100+ Anbietermuster** klassifizieren in Analytics, CDN, Auth/Identity, Payment, Marketing, Cloud, Monitoring und mehr
- Eigener **Drittanbieter**-Berichtstab mit Zusammenfassung pro Kategorie und vollständiger Anbieterdetailtabelle
</details>

<details>
<summary><b>Asset-Topologie-Graph</b></summary>

- Interaktiver **D3 v7 Force-Directed-Graph** im Bericht – keine externen Abhängigkeiten
- **8 Knotentypen**: Domain · IP · ASN · NS · MX · Cloud · TLS-Zertifikat · Anbieter
- **11 Kantentypen**: DNS · CNAME · NS · MX · ASN · Cloud · TLS-SAN · Anbieter · Übernahme · Weiterleitung · Favicon
- Klicken Sie auf einen Knoten für Ego-Netzwerk-Highlight; filtern nach Knotentyp oder Kantentyp; suchen nach Name
</details>

<details>
<summary><b>Interaktives Berichts-UI</b></summary>

- **Anklickbare Scorekarte pro Endpunkt** – klicken Sie auf einen Angriffsflächen-Score, um eine Aufschlüsselung jedes beitragenden Signals zu sehen
- **Spalten-Sichtbarkeitsumschalter** pro Tabelle – Spalten ein-/ausblenden, Status in localStorage gespeichert
- **Bereichs-Intelligenz-Schublade** – ⓘ-Schaltfläche in jedem Bereich öffnet eine analystemgeschriebene Erklärung mit roten Flaggen, auf die zu achten ist
- **Spalten-Micro-Tooltips** – fahren Sie mit der Maus über den `?`-Chip in einem beliebigen Spaltenkopf für eine einzeilige Definition und den Anwendungsfall für Angreifer
- **9-Diagramm-Analyse-Raster** in der Übersicht
- **Dunkles / Helles Thema** – geteilt zwischen Dashboard und Bericht
</details>

## Risikobewertung

Jeder Endpunkt wird anhand von **drei gedeckelten Eimern** (max. 100) bewertet. Der aggregierte Berichtswert ist der **Mittelwert der Top-5-Domain-Endpunkt-Scores**.

| Eimer | Deckel | Misst |
|-------|--------|-------|
| **Sensitivität** | 40 | Asset-Kritikalität, Stack-Komplexität, Datenverarbeitungs-Klassifizierung |
| **Exposition** | 35 | Direkt gefährliche oder erreichbare Angriffsflächen |
| **Hygiene** | 25 | Fehlkonfigurationen, Zertifikatszustand, Compliance-Lücken |

<details>
<summary><b>Sensitivitätssignale</b></summary>

| Signal | Punkte |
|--------|--------|
| Mitarbeiterorientiertes / internes Asset | +12 |
| Admin-/Überwachungstool im Stack (Kibana, Grafana, Jenkins, phpMyAdmin, k8s Dashboard) | +12 |
| Crawl-Oberflächengröße – eindeutige deduplizierte Seiten (logarithmisch skaliert) | bis zu +12 |
| Identitäts-/Auth-Dienst (Keycloak, Okta, Auth0, LDAP, SAML) | +8 |
| Objektspeicher-Endpunkt offengelegt | +8 |
| Fehler-/Debug-Seite öffentlich sichtbar | +8 |
| Nicht-Produktionsumgebung im Titel (dev / staging / test / UAT) | +6 |
| API-Oberfläche erkannt | +6 |
| CMS-Admin-Oberfläche (WordPress, Drupal, Magento) | +6 |
| Managed Database-Fußabdruck erreichbar | +7 |
| Geschäftskritische TLD / finanziell gethemter Pfad im Crawl | bis zu +8 |
| Hochrisiko-Drittanbieter in Verwendung | bis zu +6 |
| Cloud API / Serverless-Ressource | +5 |
| SaaS-Mandanten-Fußabdruck erkannt | +3 |
| Cloud-verwaltete Oberfläche | +3 |
| Full-Stack-Framework erkannt | +2 |
| Authentifizierungsgeschützte Oberfläche (HTTP 401) | +3 |
</details>

<details>
<summary><b>Expositionssignale</b></summary>

| Signal | Punkte |
|--------|--------|
| Offener / öffentlich zugänglicher Cloud-Speicher-Bucket | +20 |
| Login-Oberfläche über HTTP bereitgestellt | +20 |
| Authentifizierte Oberfläche (HTTPS-Login) | +12 |
| Hochwertiges Login-Panel (phpMyAdmin, Jenkins, k8s, Portainer, Grafana, Remote-Access) | +8 – +10 Bonus |
| Bestätigte Subdomain-Übernahme | +15 – +20 |
| Potentielle Subdomain-Übernahme (dangling CNAME) | +8 – +12 |
| Admin-Tool im Seitentitel sichtbar (Kibana, Grafana, Jenkins…) | +10 |
| Directory Listing aktiviert (`Index of /`) | +10 |
| Management-Port(s) offengelegt | bis zu +15 |
| Datenbank-Port(s) offengelegt | bis zu +12 |
| Offene Internetdienste (Portanzahl) | bis zu +14 |
| Eindeutige crawlbare Seiten (logarithmisch skaliert) | bis zu +12 |
| Cloud-Workload / CDN ohne WAF-Schutz | +8 – +12 |
| Infrastruktur-Management-Interface im Tech-Stack | +6 |
| TLS-Handshake-Fehler | +6 |
| HTTP 403 (Ressource existiert, durch Auth blockiert) | +4 |
| 5xx-Serverfehler | +4 |
</details>

<details>
<summary><b>Hygienesignale</b></summary>

| Signal | Punkte |
|--------|--------|
| TLS-Zertifikat abgelaufen | +20 |
| Veraltetes SSL 3.0-Protokoll | +18 |
| NULL / anonyme Chiffre-Suite | +18 |
| RC4 / DES / 3DES kaputte Chiffre | +12 |
| Legacy TLS 1.0 / 1.1 | +12 |
| CORS-Wildcard `*` | +12 |
| CORS-Null-Origin erlaubt | +10 |
| Server am Ende der Lebensdauer (Apache 2.x / nginx ≤1.17 / PHP 5–7) | +10 |
| Zertifikat läuft innerhalb von 7 Tagen ab | +12 |
| Selbstsigniertes Zertifikat | +8 |
| Fehler-/Debug-/Stacktrace-Seite öffentlich | +8 |
| CBC-Chiffre in Verwendung (BEAST / POODLE) | +6 |
| Entwicklungsserver offengelegt (Werkzeug, Flask dev) | +6 |
| Zertifikat läuft innerhalb von 30 Tagen ab | +6 |
| HTTP → HTTPS Weiterleitungsdowngrade erkannt | +6 |
| Schwacher RSA-Schlüssel < 2048 Bit | +8 |
| Fehlende Sicherheitsheader (HSTS, CSP, X-Frame-Options…) | bis zu +12 |
| DMARC nicht veröffentlicht | +6 |
| SPF nicht veröffentlicht | +4 |
| Zertifikatsgültigkeit unbekannt | +4 |
| Wildcard TLS-Zertifikat | +4 |
| DKIM nicht veröffentlicht | +3 |
| DNSSEC nicht aktiviert | +2 |
| Serverversion in Headern offengelegt | +5 |
</details>

> **Warum es wichtig ist:** Ein internes Admin-Panel mit einem abgelaufenen selbstsignierten Zertifikat, einem Wildcard-CORS-Header und Port 3306 offen erzielt einen weit höheren Score als eine statische Marketing-Seite – so überspringt Ihr Team das Rauschen und beginnt dort, wo es darauf ankommt.

# Screenshots

<img width="1236" height="747" alt="image" src="https://assets.kitploit.com/production/public/readmes/6630/ee8282f09e3b62496fcf2f8881000a92cb7e8314e8c0e64222d31601763dc64d.png" />
<img width="1217" height="755" alt="image" src="https://assets.kitploit.com/production/public/readmes/6630/a6301fc3325e2f604d2f87ad1ab436ce7bb37e1110fcb01ccc4edb8bdc06d542.png" />
<img width="1219" height="755" alt="image" src="https://assets.kitploit.com/production/public/readmes/6630/c96a4abb42a9062b07c999f15dc9ac0b8cd06be365310abfc087d1fe3460e0c7.png" />
<img width="1218" height="743" alt="image" src="https://assets.kitploit.com/production/public/readmes/6630/a372ce2eb3eb6f748f6bc8b2b9d893b6e2906765675fdf78e2ec181bc4d82146.png" />

## Schnellstart

### 1. Docker-Image erstellen```bash
git clone https://github.com/iamthefrogy/frogy2.0.git
cd frogy2.0
chmod 777 *
docker build -t frogy:latest .
Beliebteste

frogy2.0

2. Den Container ausführen

3. Dashboard öffnen```
