devanshbatham/certeagleArmando registros de CT en vivo para la monitorización automatizada de activos
Leer Blog aquí : https://medium.com/@Asm0d3us/weaponizing-live-ct-logs-for-automated-monitoring-of-assets-39c6973177c7
En Bugbounties “Si no eres el primero, entonces eres el último” no existe tal cosa como una medalla de plata o bronce. El reconocimiento juega un papel muy importante y si puedes detectar/identificar un activo recién añadido antes que otros, entonces las posibilidades de que encuentres/informes una falla de seguridad en ese activo y seas recompensado por ello son mayores que las de otros.
Personalmente, he estado monitoreando registros CT para dominios/subdominios durante bastante tiempo y me ha dado muchos resultados exitosos. La inspiración detrás de esto fue “Sublert : By yassineaboukir” que verifica crt.sh en busca de subdominios y puede ejecutarse periódicamente. Sin embargo, estoy usando un enfoque algo diferente y, en lugar de mirar crt.sh periódicamente, extraigo dominios de los feeds de registros CT en vivo, por lo que las posibilidades de encontrar un nuevo activo antes son mayores en comparación con otros.
Asumo que ya has realizado la configuración de tu espacio de trabajo de Slack.
Ahora crea un canal llamado “subdomain-monitor” y configura un webhook entrante
Edita el archivo config.yaml y pega allí tu URL de webhook de Slack. Debería verse algo así
Puedes especificar palabras clave y dominios para coincidir en el archivo domains.yaml. Puedes especificar nombres
Para coincidir subdominios :
Nota : Observa el punto precedente [ . ]
Tomemos “.facebook.com” como ejemplo. Los dominios extraídos de los registros CT en tiempo real se compararán con la palabra “.facebook.com”. Si coinciden, se registrarán en nuestro archivo de salida (found-domains.log). Lo que hay que tener en cuenta aquí es que generará algunos falsos positivos como “test.facebook.com.test.com”, “example.facebook.company”, pero podemos filtrarlos más adelante usando algo de magia con regex
Supongamos que deseas monitorear y registrar dominios/subdominios que contengan la palabra “hackerone”. Entonces nuestro archivo domains.yaml se verá algo así
Ahora todos los dominios/subdominios extraídos que contengan la palabra “hackerone” se compararán y registrarán (y se te enviará una notificación de Slack por ello)
Bien, hemos terminado con nuestra configuración inicial. Instalemos las dependencias requeridas y ejecutemos nuestra herramienta
$ pip3 install -r requirements.txt
$ python3 certeagle.py
Los dominios coincidentes se verán así :
Las notificaciones de Slack se verán así :
Archivos de salida :
El programa seguirá ejecutándose. Todos los dominios coincidentes se guardarán en el directorio de salida en el archivo found-domains.log
Advertencia estricta : No monitoree activos de ninguna organización sin consentimiento previo
Envíame un DM : @0xAsm0d3us
Si crees que mi trabajo ha agregado algún valor a tu conocimiento existente, entonces puedes Buy me a Coffee here (¿y a quién no le gusta una buena taza de café?')
