wtfis

Passives Hostname-, Domain- und IP-Lookup-Tool für Nicht-Roboter

WTF ist das?

wtfis ist ein Kommandozeilen-Tool, das mithilfe verschiedener OSINT-Dienste Informationen über eine Domain, einen FQDN oder eine IP-Adresse sammelt. Anders als andere Tools dieser Art ist es speziell für den menschlichen Gebrauch konzipiert und liefert Ergebnisse, die hübsch (Geschmackssache) sowie leicht zu lesen und zu verstehen sind.

Dieses Tool geht davon aus, dass du kostenlose Konten bzw. Konten der Community-Stufe verwendest, und macht daher so wenige API-Aufrufe wie möglich, um Quoten- und Ratengrenzen nicht zu erreichen.

Der Projektname ist ein Wortspiel mit „whois“.

Datenquellen

Virustotal

Die primäre Informationsquelle. Ruft Folgendes ab:

• Hostname (FQDN), Domain oder IP
  • Neueste Analysestatistiken mit Anbieterdetails
  • Reputationswert (basierend auf VT-Community-Abstimmungen)
  • Popularitätsränge (Alexa, Cisco Umbrella, etc.) (nur FQDN und Domain)
  • Kategorien (von verschiedenen Anbietern zugewiesen)
• Auflösungen (nur FQDN und Domain)
  • Letzte n IP-Adressen (Standard: 3, Maximum: 10)
  • Neueste Analysestatistiken jeder der obigen IPs
• Whois
  • Nur als Fallback: wenn keine IP2Whois-Zugangsdaten verfügbar sind
  • Verschiedene Whois-Daten über die Domain selbst

AbuseIPDB

AbuseIPDB ist eine Crowd-sourced-Datenbank gemeldeter bösartiger IP-Adressen. Über ihre API zeigt wtfis:

• Abuse-Confidence-Score (0-100)
• Anzahl der Meldungen

IP2Location

Alternative Quelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen (Standard ist IPWhois). Ruft Folgendes ab:

• Geolokalisierung
• ASN und Org
• Proxy (True oder False)

IP2Whois und IP2Location sind verschiedene Funktionen desselben Dienstes, du musst dich also nur einmal anmelden. Der API-Schlüssel kann dann für beide Lookups verwendet werden.

IP2Whois

Wird optional verwendet, wenn Zugangsdaten angegeben sind. Ruft Folgendes ab:

• Whois
  • Verschiedene Whois-Daten über die Domain selbst

IP2Whois wird für Whois-Daten aus einigen Gründen gegenüber Virustotal empfohlen:

• Das VT-Whisle-Datenformat ist weniger konsistent
• IP2Whois-Whisle-Daten sind tendenziell von besserer Qualität als die von VT. Außerdem sind die Registrantendaten von VT offenbar anonymisiert.
• Du sparst einen VT-API-Aufruf, indem du die Aufgabe an IP2Whois auslagerst.

IPinfo

Eine weitere alternative Quelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen. Ruft Folgendes ab:

• Geolokalisierung
• ASN und Org
• Hostname
• Anycast (true oder false)

IPWhois

Standardquelle für Geolokalisierungs- und ASN-Lookups von IP-Adressen. Ruft Folgendes ab:

• Geolokalisierung
• ASN, Org und ISP
• Domain

IPWhois sollte nicht mit IP2Whois verwechselt werden, das Domain-Whisle-Daten liefert.

Greynoise

Mithilfe der Community-API von Greynoise zeigt wtfis, ob eine IP in einem der Greynoise-Datensätze enthalten ist:

• Noise: Die IP wurde regelmäßig beim Scannen des Internets beobachtet
• RIOT: Die IP gehört zu einer gängigen Geschäftsanwendung (z. B. Microsoft O365, Google Workspace, Slack)

Weitere Informationen zu den Datensätzen findest du hier.

Darüber hinaus liefert die API auch die Klassifizierung von Greynoise für eine IP (falls verfügbar). Mögliche Werte sind benign (gutartig), malicious (bösartig) und unknown (unbekannt).

Shodan

Holt Daten vom Endpunkt /shodan/host/{ip} ab (siehe Doku). Für jede IP werden abgerufen:

• Liste der offenen Ports und Dienste
• Betriebssystem (falls verfügbar)
• Tags (von Shodan zugewiesen)

URLhaus

URLhaus ist eine Crowd-sourced-Datenbank gemeldeter bösartiger URLs. Diese Anreicherung gibt Aufschluss darüber, ob der abgefragte Hostname oder die IP-Adresse derzeit oder zuvor für die Verteilung von Malware über HTTP oder HTTPS verwendet wurde bzw. wird. Zu den bereitgestellten Daten gehören:

• Anzahl der derzeit online befindlichen und der gesamten Malware-URLs
• Ob der Hostname oder die IP derzeit in den öffentlichen Blocklisten DNSBL und SURBL steht
• Alle Tags, die der URL im Laufe ihrer Geschichte in der URLhaus-Datenbank zugewiesen wurden

Installation

$ pip install wtfis

Zur Installation über conda (von conda-forge) siehe wtfis-feedstock.

Zur Installation über brew:

brew install wtfis

Einrichtung

wtfis verwendet diese Umgebungsvariablen (alle optional):

• VT_API_KEY - Virustotal-API-Schlüssel
• ABUSEIPDB_API_KEY - AbuseIPDB-API-Schlüssel
• IP2LOCATION_API_KEY - IP2Location-API-Schlüssel
• IP2WHOIS_API_KEY - IP2Whois-API-Schlüssel
• GREYNOISE_API_KEY - Greynoise-API-Schlüssel
• SHODAN_API_KEY - Shodan-API-Schlüssel
• URLHAUS_API_KEY - URLhaus-API-Schlüssel
• WTFIS_DEFAULTS - Standard-Boolesche Argumente
• GEOLOCATION_SERVICE - Zu verwendender Geolokalisierungs- / ASN-Lookup-Dienst

Setze diese mit deiner eigenen Methode.

Alternativ kannst du in deinem Home-Verzeichnis eine Datei ~/.env.wtfis mit den obigen Optionen erstellen. Eine Vorlage findest du in .env.wtfis.example. HINWEIS: Vergiss nicht, die Datei mit chmod 400 zu sichern!

Verwendung

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP

options:
  -h, --help            show this help message and exit
  -A, --all             Enable all possible enrichments
  -s, --use-shodan      Use Shodan to enrich IPs
  -g, --use-greynoise   Enable Greynoise for IPs
  -a, --use-abuseipdb   Enable AbuseIPDB for IPs
  -u, --use-urlhaus     Enable URLhaus for IPs and domains
  -m N, --max-resolutions N
                        Maximum number of resolutions to show (default: 3)
  -n, --no-color        Show output without colors
  -1, --one-column      Display results in one column
  -V, --version         Print version number
  --geolocation-service {ip2location,ipinfo,ipwhois}
                        Geolocation service to use (default: ipwhois)

Im Grunde:

$ wtfis FQDN_OR_DOMAIN_OR_IP

und du erhältst Ergebnisse, die nach Paneelen organisiert sind, ähnlich wie im obigen Bild.

Entschärfte (defanged) Eingaben werden akzeptiert (z. B. api[.]google[.]com).

Falls das Terminal dies unterstützt, sind bestimmte Felder und Überschriften klickbare Hyperlinks, die auf die Websites der jeweiligen Dienste verweisen.

Alle Anreicherungen

Anstatt jedes Anreicherungs-Flag einzeln anzugeben, kannst du das Flag -A / --all verwenden, um alle Anreicherungen zu aktivieren, wo dies möglich ist. Dieses Flag schließt sich gegenseitig mit den --use-*-Flags aus.

AbuseIPDB

Verwende das Flag -a oder --use-abuseipdb, um die AbuseIPDB-Anreicherung für Hostnames, Domains und IPs zu aktivieren.

Der Feldname AbuseIPDB ist ein Hyperlink (sofern vom Terminal unterstützt), der dich zur spezifischen AbuseIPDB-Datenbankseite für deine Abfrage führt.

Greynoise

Um Greynoise zu aktivieren, rufe das Tool mit dem Flag -g oder --use-greynoise auf. Da das API-Kontingent recht niedrig ist (50 Anfragen pro Woche, Stand März 2023), ist dieser Lookup standardmäßig deaktiviert.

Der Feldname GreyNoise ist ebenfalls ein Hyperlink (sofern vom Terminal unterstützt), der auf den IP-Eintrag in der Greynoise-Weboberfläche verweist, wo mehr Kontext angezeigt wird.

Shodan

Shodan kann verwendet werden, um die offenen Ports oder Dienste einer IP sowie in einigen Ergebnissen das Betriebssystem anzuzeigen. Rufe das Tool mit dem Flag -s oder --use-shodan auf.

Falls das Terminal dies unterstützt, ist das Feld Services ein klickbarer Hyperlink, der dich zur Shodan-Weboberfläche führt.

URLhaus

Verwende das Flag -u oder --use-urlhaus, um die URLhaus-Anreicherung für Hostnames, Domains und IPs zu aktivieren.

Der Feldname Malware URLs ist ein Hyperlink (sofern vom Terminal unterstützt), der dich zur spezifischen URLhaus-Datenbankseite für deine Abfrage führt.

Anzeigeoptionen

Für FQDN- und Domain-Lookups kannst du die maximale Anzahl der angezeigten IP-Auflösungen mit -m NUMBER oder --max-resolutions=NUMBER erhöhen oder verringern. Die Obergrenze liegt bei 10. Wenn du keine Auflösungen benötigst, setze die Zahl auf 0.

Um alle Paneele in einer Spalte anzuzeigen, verwende das Flag -1 oder --one-column.

Paneele können mit -n oder --no-color ohne Farben angezeigt werden.

Standardwerte

Standardargumente können durch Setzen der Umgebungsvariable WTFIS_DEFAULTS definiert werden. Zum Beispiel, um standardmäßig Shodan zu verwenden und Ergebnisse in einer Spalte anzuzeigen:

WTFIS_DEFAULTS=-s -1

Wenn ein Argument in WTFIS_DEFAULTS enthalten ist, dann hebt die Angabe desselben Arguments beim Befehlsaufruf dieses Argument auf. Wenn du im obigen Beispiel also Folgendes ausführst:

$ wtfis example.com -s

dann wird Shodan NICHT verwendet.

Beachte, dass die maximale Anzahl der Auflösungen (-m N, --max-resolutions N) derzeit nicht in den Standardwerten definiert werden kann.

Ändern des IP-Geolokalisierungs- und ASN-Anbieters

Die empfohlene Methode zum Ändern ist das Setzen der Variable GEOLOCATION_SERVICE. Zum Beispiel, um IPinfo zu verwenden:

GEOLOCATION_SERVICE=ipinfo

Alternativ kannst du --geolocation-service beim Befehlsaufruf setzen:

$ wtfis --geolocation-service=ipinfo 1.1.1.1

Wenn beide oben genannten Optionen gesetzt sind, hat das Kommandozeilen-Flag Vorrang.

Docker

wtfis kann aus einem Docker-Image ausgeführt werden. Baue zunächst das Image (mithilfe des enthaltenen Dockerfile), indem du Folgendes ausführst:

$ make docker-image

Das Image enthält die neueste getaggte Version (nicht unbedingt vom neuesten Commit) von wtfis. Dadurch wird sichergestellt, dass du eine stabile Version erhältst.

Es gibt zwei Möglichkeiten, das Image auszuführen:

Stelle sicher, dass sich .env.wtfis in deinem Home-Verzeichnis befindet und die erforderlichen Umgebungsvariablen gesetzt sind. Führe dann einfach Folgendes aus:

$ make docker-run

Dies ist ein Alias für

$ docker run --env-file=${HOME}/.env.wtfis -it wtfis

Beachte, dass jede Definition KEINE Leerzeichen vor und nach dem Gleichheitszeichen haben darf (FOO=bar, nicht FOO = bar).

Alternativ kannst du die Umgebungsvariablen selbst setzen und dann z. B. Folgendes ausführen:

$ docker run -e VT_API_KEY -e SHODAN_API_KEY -it wtfis