ip-obfuscation

IP Obfuscator

Un kit de herramientas de pruebas de seguridad para generar direcciones IP y URL ofuscadas. Útil para pruebas de penetración, investigación de seguridad, formación en concienciación sobre phishing y pruebas de analizadores/filtros de URL.

Descripción general

Este kit de herramientas proporciona dos interfaces:

• ip_obfuscator.html - GUI basada en web para uso interactivo
• ip_obfuscator.py - Herramienta de línea de comandos para scripting y automatización

Ambas herramientas generan las mismas técnicas de ofuscación, incluyendo:

• Formatos DWORD/Entero (decimal, hex, octal)
• Variantes de notación con puntos (hex, octal, bases mixtas)
• Direcciones mapeadas a IPv6
• Trucos de autoridad de URL (dominio falso con @)
• Notación abreviada Clase B/C
• Técnicas de desbordamiento
• Variantes de codificación de URL

Interfaz web (ip_obfuscator.html)

Abre ip_obfuscator.html en cualquier navegador moderno. No se requiere servidor.

Características

• Alternar HTTPS - Cambiar entre protocolos HTTP y HTTPS
• Filtro/Búsqueda - Filtrado de resultados en tiempo real por palabra clave
• Exportar - Descargar resultados como JSON o CSV
• Probar en el navegador - Abrir cualquier URL generada en una nueva pestaña
• Categorías plegables - Hacer clic en los encabezados para expandir/contraer secciones
• Análisis de zona de seguridad - Ver qué formatos activan la Zona de Intranet de Windows

Flujo de trabajo con capturas de pantalla

1. Introduce la dirección IP objetivo (p. ej., 192.168.1.100)
2. Establece el dominio falso para el truco @ (p. ej., secure.bank.com)
3. Configura la ruta y el puerto según sea necesario
4. Activa HTTPS si es necesario
5. Haz clic en "Generate Obfuscations"
6. Usa las pestañas para cambiar entre URLs, Formatos IP y Zonas de seguridad
7. Haz clic en cualquier resultado para copiarlo, o usa "Test in Browser"

Herramienta de línea de comandos (ip_obfuscator.py)

Requisitos

• Python 3.6+
• Sin dependencias externas (usa solo la biblioteca estándar)

Uso básico

# Show all obfuscation formats for an IP
python3 ip_obfuscator.py 192.168.1.100

# Generate obfuscated URLs
python3 ip_obfuscator.py 192.168.1.100 --url

# With fake domain and path
python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Opciones de línea de comandos

Opción	Corta	Descripción
--url	-u	Generar URLs completas en lugar de solo formatos IP
--fake-domain	-f	Dominio falso para el truco @ (predeterminado: google.com)
--fake-pass	-w	Contraseña falsa para el formato user:pass@host
--path	-p	Ruta de la URL (predeterminado: /)
--port	-P	Número de puerto
--https	-s	Usar HTTPS en lugar de HTTP
--json	-j	Salida como JSON
--filter	-F	Filtrar resultados por palabra clave
--list	-l	Salida de lista compacta (solo valores)
--zones	-z	Analizar las implicaciones de la zona de seguridad de Windows
--decode	-d	Decodificar una IP ofuscada a su forma estándar

Ejemplos

Generar URLs con dominio falso

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Salida:

================================================================================
OBFUSCATED URL GENERATOR
================================================================================
  Target IP:     192.168.1.100
  Fake Domain:   secure.bank.com
  Fake Password: (none)
  Port:          (default)
  Path:          /login
  Protocol:      HTTP
================================================================================

DWORD/INTEGER FORMATS
--------------------------------------------------------------------------------

  Standard (no obfuscation):
  http://192.168.1.100/login

  Decimal DWORD:
  http://3232235876/login

  Hex DWORD:
  http://0xC0A80164/login

  Octal DWORD:
  http://030052000544/login

...

Filtrar resultados con salida JSON

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --filter "fake auth" --json

Salida:

{
  "Fake Auth + Decimal DWORD": "http://secure.bank.com@3232235876/",
  "Fake Auth + Hex DWORD": "http://secure.bank.com@0xc0a80164/",
  "Fake Auth + Octal DWORD": "http://secure.bank.com@030052000544/",
  "Fake Auth + Dotted Hex": "http://[email protected]/",
  "Fake Auth + Dotted Octal": "http://[email protected]/",
  "Fake Auth + IPv6 Mapped (hex)": "http://secure.bank.com@[::ffff:c0a8:164]/",
  "Fake Auth + IPv6 Mapped (decimal)": "http://secure.bank.com@[::ffff:192.168.1.100]/",
  "Fake Auth + IPv6 Mapped (full)": "http://secure.bank.com@[0000:0000:0000:0000:0000:ffff:c0a8:0164]/",
  "Fake Auth + Class B": "http://[email protected]/",
  "Fake Auth + Class C": "http://[email protected]/"
}

Generar URLs HTTPS

python3 ip_obfuscator.py 192.168.1.100 --url --https --filter ipv6

Listar solo formatos IPv6

python3 ip_obfuscator.py 192.168.1.100 --list --filter ipv6

Salida:

All obfuscated forms of 192.168.1.100:

  ::ffff:192.168.1.100
  ::ffff:c0a8:164
  0000:0000:0000:0000:0000:ffff:c0a8:0164
  0:0:0:0:0:ffff:c0a8:164
  ::ffff:c0a80164
  ::192.168.1.100
  ::c0a8:164
  [::ffff:c0a8:164]
  [::ffff:192.168.1.100]
  [0000:0000:0000:0000:0000:ffff:c0a8:0164]

Decodificar URLs ofuscadas

python3 ip_obfuscator.py --decode "http://secure.bank.com@3232235876/login"

Salida:

Input:   http://secure.bank.com@3232235876/login
Decoded: 192.168.1.100

Análisis de zona de seguridad

python3 ip_obfuscator.py 192.168.1.100 --zones

Salida:

================================================================================
MICROSOFT SECURITY ZONES ANALYSIS
================================================================================

The 'Dot Rule' (PlainHostName rule):
  • Hostname WITHOUT dots → Local Intranet Zone
  • Hostname WITH dots    → Internet Zone

⚠️  SECURITY IMPACT of Intranet Zone:
  • Automatic NTLM/Kerberos credential release (credential theft!)
  • Less restrictive ActiveX/script policies
  • May bypass security prompts and Mark-of-the-Web

================================================================================
Target IP: 192.168.1.100
================================================================================

🔴 DOTLESS → LOCAL INTRANET ZONE (HIGH RISK - credential leak)
--------------------------------------------------------------------------------
  Decimal DWORD
    URL: http://3232235876/
    Note: CONFIRMED: MS98-016 specifically documents this as Intranet Zone bypass

  Hex DWORD (0x prefix)
    URL: http://0xC0A80164/
    Note: CONFIRMED: Numeric hostname without dots → Intranet Zone

  Octal DWORD
    URL: http://030052000544/
    Note: Octal integer without dots → Intranet Zone

🟢 DOTTED → INTERNET ZONE (normal security)
--------------------------------------------------------------------------------
  Standard Dotted Decimal
    URL: http://192.168.1.100/

  Dotted Hex
    URL: http://0xC0.0xA8.0x1.0x64/
...

Referencia de técnicas de ofuscación