wtfis

Passives Hostname-, Domain- und IP-Lookup-Tool für Nicht-Roboter

WTF ist das?

wtfis ist ein Kommandozeilen-Tool, das mithilfe verschiedener OSINT-Dienste Informationen über eine Domain, einen FQDN oder eine IP-Adresse sammelt. Anders als andere Tools dieser Art ist es speziell für den menschlichen Gebrauch konzipiert und liefert Ergebnisse, die hübsch (Geschmackssache) sowie leicht zu lesen und zu verstehen sind.

Dieses Tool geht davon aus, dass du kostenlose Konten bzw. Konten der Community-Stufe verwendest, und macht daher so wenige API-Aufrufe wie möglich, um Quoten- und Ratengrenzen nicht zu erreichen.

Der Projektname ist ein Wortspiel mit „whois“.

Datenquellen

Dienst	Verwendet bei der Suche	Erforderlich	Kostenlose Stufe
Virustotal	Alle	Nein	Ja
AbuseIPDB	IP-Adresse	Nein	Ja
Greynoise	IP-Adresse	Nein	Ja
IP2Location	IP-Adresse	Nein	Ja
IP2Whois	Domain/FQDN	Nein	Ja
IPinfo	IP-Adresse	Nein	Ja (ohne Anmeldung)
IPWhois	IP-Adresse	Nein	Ja (ohne Anmeldung)
Shodan	IP-Adresse	Nein	Nein
URLhaus	Alle	Nein	Ja

Virustotal

Die primäre Informationsquelle. Ruft Folgendes ab:

• Hostname (FQDN), Domain oder IP
  • Neueste Analysestatistiken mit Anbieterdetails
  • Reputationswert (basierend auf VT-Community-Abstimmungen)
  • Popularitätsränge (Alexa, Cisco Umbrella, etc.) (nur FQDN und Domain)
  • Kategorien (von verschiedenen Anbietern zugewiesen)
• Auflösungen (nur FQDN und Domain)
  • Letzte n IP-Adressen (Standard: 3, Maximum: 10)
  • Neueste Analysestatistiken jeder der obigen IPs
• Whois
  • Nur als Fallback: wenn keine IP2Whois-Zugangsdaten verfügbar sind
  • Verschiedene Whois-Daten über die Domain selbst

AbuseIPDB

AbuseIPDB ist eine Crowd-sourced-Datenbank gemeldeter bösartiger IP-Adressen. Über ihre API zeigt wtfis:

• Abuse-Confidence-Score (0-100)
• Anzahl der Meldungen

IP2Location

Alternative Quelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen (Standard ist IPWhois). Ruft Folgendes ab:

• Geolokalisierung
• ASN und Org
• Proxy (True oder False)

IP2Whois und IP2Location sind verschiedene Funktionen desselben Dienstes, du musst dich also nur einmal anmelden. Der API-Schlüssel kann dann für beide Lookups verwendet werden.

IP2Whois

Wird optional verwendet, wenn Zugangsdaten angegeben sind. Ruft Folgendes ab:

• Whois
  • Verschiedene Whois-Daten über die Domain selbst

IP2Whois wird für Whois-Daten aus einigen Gründen gegenüber Virustotal empfohlen:

• Das VT-Whisle-Datenformat ist weniger konsistent
• IP2Whois-Whisle-Daten sind tendenziell von besserer Qualität als die von VT. Außerdem sind die Registrantendaten von VT offenbar anonymisiert.
• Du sparst einen VT-API-Aufruf, indem du die Aufgabe an IP2Whois auslagerst.

IPinfo

Eine weitere alternative Quelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen. Ruft Folgendes ab:

• Geolokalisierung
• ASN und Org
• Hostname
• Anycast (true oder false)

IPWhois

Standardquelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen. Ruft Folgendes ab:

• Geolokalisierung
• ASN, Org und ISP
• Domain

IPWhois sollte nicht mit IP2Whois verwechselt werden, das Domain-Whisle-Daten liefert.

Greynoise

Mithilfe der Community-API von Greynoise zeigt wtfis, ob eine IP in einem der Greynoise-Datensätze enthalten ist:

• Noise: Die IP wurde regelmäßig beim Scannen des Internets beobachtet
• RIOT: Die IP gehört zu einer gängigen Geschäftsanwendung (z. B. Microsoft O365, Google Workspace, Slack)

Weitere Informationen zu den Datensätzen findest du hier.

Darüber hinaus liefert die API auch die Klassifizierung von Greynoise für eine IP (falls verfügbar). Mögliche Werte sind benign (gutartig), malicious (bösartig) und unknown (unbekannt).

Shodan

Holt Daten vom Endpunkt /shodan/host/{ip} ab (siehe Doku). Für jede IP werden abgerufen:

• Liste der offenen Ports und Dienste
• Betriebssystem (falls verfügbar)
• Tags (von Shodan zugewiesen)

URLhaus

URLhaus ist eine Crowd-sourced-Datenbank gemeldeter bösartiger URLs. Diese Anreicherung gibt Aufschluss darüber, ob der abgefragte Hostname oder die IP-Adresse derzeit oder zuvor für die Verteilung von Malware über HTTP oder HTTPS verwendet wurde bzw. wird. Zu den bereitgestellten Daten gehören:

• Anzahl der derzeit online befindlichen und der gesamten Malware-URLs
• Ob der Hostname oder die IP derzeit in den öffentlichen Blocklisten DNSBL und SURBL steht
• Alle Tags, die der URL im Laufe ihrer Geschichte in der URLhaus-Datenbank zugewiesen wurden

Installation

$ pip install wtfis

Zur Installation über conda (von conda-forge) siehe wtfis-feedstock.

Zur Installation über brew:

brew install wtfis

Einrichtung

wtfis verwendet diese Umgebungsvariablen (alle optional):

• VT_API_KEY - Virustotal-API-Schlüssel
• ABUSEIPDB_API_KEY - AbuseIPDB-API-Schlüssel
• IP2LOCATION_API_KEY - IP2Location-API-Schlüssel
• IP2WHOIS_API_KEY - IP2Whois-API-Schlüssel
• GREYNOISE_API_KEY - Greynoise-API-Schlüssel
• SHODAN_API_KEY - Shodan-API-Schlüssel
• URLHAUS_API_KEY - URLhaus-API-Schlüssel
• WTFIS_DEFAULTS - Standard-Boolesche Argumente
• GEOLOCATION_SERVICE - Zu verwendender Geolokalisierungs- / ASN-Lookup-Dienst

Setze diese mit deiner eigenen Methode.

Alternativ kannst du in deinem Home-Verzeichnis eine Datei ~/.env.wtfis mit den obigen Optionen erstellen. Eine Vorlage findest du in .env.wtfis.example. HINWEIS: Vergiss nicht, die Datei mit chmod 400 zu sichern!

Verwendung

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP