threatexpress/domainhunterÜberprüft abgelaufene Domains auf Kategorisierung/Reputation und Archive.org-Verlauf, um gute Kandidaten für Phishing- und C2-Domainnamen zu ermitteln.
Autoren Joe Vest (@joevest) & Andrew Chiles (@andrewchiles)
Die Auswahl eines Domainnamens ist ein wichtiger Aspekt der Vorbereitung von Penetrationstests und insbesondere von Red Team-Einsätzen. Häufig können Domains, die zuvor für harmlose Zwecke genutzt wurden und ordnungsgemäß kategorisiert waren, für nur wenige Dollar erworben werden. Solche Domains können einem Team helfen, reputationsbasierte Webfilter und Netzwerk-Egress-Beschränkungen für Phishing und C2-bezogene Aufgaben zu umgehen.
Dieses Python-basierte Tool wurde entwickelt, um schnell die Suchmaschine Expireddomains.net nach abgelaufenen/verfügbaren Domains mit vorheriger Nutzungshistorie zu durchsuchen. Es fragt optional die Domain-Reputation bei Diensten wie Symantec Site Review (BlueCoat), IBM X-Force und Cisco Talos ab. Die primäre Ausgabe des Tools ist ein mit Zeitstempel versehener HTML-Tabellenbericht.
Siehe CHANGELOG für den Verlauf der Updates und Versionshinweise!
Installieren der Python-Anforderungen
pip3 install -r requirements.txt
Optional – Installieren zusätzlicher OCR-Unterstützungsabhängigkeiten
Debian/Ubuntu: apt-get install tesseract-ocr python3-pil
MAC OSX: brew install tesseract
pipenv --python 3.7
pipenv install
Optional – Installieren zusätzlicher OCR-Unterstützungsabhängigkeiten
apt-get install tesseract-ocr python3-pilErstellen des Images
docker build -t domainhunter .
Ausführen mit Ihren Argumenten
docker run -it domainhunter [args]
usage: domainhunter.py [-h] [-a] [-k KEYWORD] [-c] [-f FILENAME] [--ocr]
[-r MAXRESULTS] [-s SINGLE] [-t {0,1,2,3,4,5}]
[-w MAXWIDTH] [-V]
Finds expired domains, domain categorization, and Archive.org history to determine good candidates for C2 and phishing domains
optional arguments:
-h, --help show this help message and exit
-a, --alexa Filter results to Alexa listings
-k KEYWORD, --keyword KEYWORD
Keyword used to refine search results
-c, --check Perform domain reputation checks
-f FILENAME, --filename FILENAME
Specify input file of line delimited domain names to
check
--ocr Perform OCR on CAPTCHAs when challenged
-r MAXRESULTS, --maxresults MAXRESULTS
Number of results to return when querying latest
expired/deleted domains
-s SINGLE, --single SINGLE
Performs detailed reputation checks against a single
domain name/IP.
-t {0,1,2,3,4,5}, --timing {0,1,2,3,4,5}
Modifies request timing to avoid CAPTCHAs. Slowest(0)
= 90-120 seconds, Default(3) = 10-20 seconds,
Fastest(5) = no delay
-w MAXWIDTH, --maxwidth MAXWIDTH
Width of text table
-V, --version show program's version number and exit
Examples:
./domainhunter.py -k apples -c --ocr -t5
./domainhunter.py --check --ocr -t3
./domainhunter.py --single mydomain.com
./domainhunter.py --keyword tech --check --ocr --timing 5 --alexa
./domaihunter.py --filename inputlist.txt --ocr --timing 5
Standardwerte verwenden, um die letzten 100 Domains zu überprüfen und die Reputation zu prüfen
python3 ./domainhunter.py
Suche nach den 1000 zuletzt abgelaufenen/gelöschten Domains, aber keine Reputationsprüfung
python3 ./domainhunter.py -r 1000
Alle Reputationsprüfungen für eine einzelne Domain durchführen
python3 ./domainhunter.py -s mydomain.com
[*] Lade Malware-Domain-Liste herunter von http://mirror1.malwaredomains.com/files/justdomains
[*] Rufe Domain-Reputation ab für: mydomain.com
[*] BlueCoat: mydomain.com
[+] mydomain.com: Technologie/Internet
[*] IBM xForce: mydomain.com
[+] mydomain.com: Kommunikationsdienste, Software as a Service, Cloud, (Punktzahl: 1)
[*] Cisco Talos: mydomain.com
[+] mydomain.com: Webhosting (Punktzahl: Neutral)
Alle Reputationsprüfungen für eine Liste von Domains mit maximaler Geschwindigkeit und OCR von CAPTCHAs durchführen
python3 ./domainhunter.py -f <domainslist.txt> -t 5 --ocr
Suche nach verfügbaren Domains mit dem Keyword "dog", maximal 25 Ergebnisse, und Reputationsprüfung
python3 ./domainhunter.py -k dog -r 25 -c
____ ___ __ __ _ ___ _ _ _ _ _ _ _ _ _____ _____ ____
| _ \ / _ \| \/ | / \ |_ _| \ | | | | | | | | | \ | |_ _| ____| _ \
| | | | | | | |\/| | / _ \ | || \| | | |_| | | | | \| | | | | _| | |_) |
| |_| | |_| | | | |/ ___ \ | || |\ | | _ | |_| | |\ | | | | |___| _ <
|____/ \___/|_| |_/_/ \_\___|_| \_| |_| |_|\___/|_| \_| |_| |_____|_| \_\
Prüfung der Reputation abgelaufener Domains
Autoren: @joevest und @andrewchiles
HAFTUNGSAUSSCHLUSS: Dies ist nur für Bildungszwecke gedacht!
Es wurde entwickelt, um Bildung und die Verbesserung der Computer-/Cybersicherheit zu fördern.
Die Autoren oder Arbeitgeber haften nicht für rechtswidrige Handlungen oder Missbrauch durch Benutzer dieses Tools.
Wenn Sie planen, diesen Inhalt für illegale Zwecke zu nutzen, tun Sie es nicht. Schönen Tag noch :)
[*] Lade Malware-Domain-Liste herunter von http://mirror1.malwaredomains.com/files/justdomains
[*] Rufe abgelaufene oder gelöschte Domains ab, die "dog" enthalten
[*] https://www.expireddomains.net/domain-name-search/?q=dog
[*] Führe Reputationsprüfungen für 8 Domains durch.
[*] BlueCoat: doginmysuitcase.com
[+] doginmysuitcase.com: Reisen
[*] IBM xForce: doginmysuitcase.com
[+] doginmysuitcase.com: Nicht gefunden.
[*] Cisco Talos: doginmysuitcase.com
[+] doginmysuitcase.com: Nicht kategorisiert