karim852/kumo-domain-recon-toolFramework de OSINT de dominios y reconocimiento de seguridad que ejecuta 26 módulos en paralelo para DNS, puertos, subdominios, credenciales filtradas, endpoints expuestos, CVE y fingerprinting de tecnologías.
Un dominio. Un comando. Todo.
Kumo es un framework de OSINT de dominios y reconocimiento de seguridad. Introduce un dominio — obtén todo de vuelta en tiempo real a través de 26 módulos paralelos: DNS, puertos abiertos, credenciales filtradas, infecciones por infostealer, endpoints vulnerables, subdominios, CVEs, familias de malware y más.```bash pip install requests flask
python3 kumo.py target.com # full CLI scan python3 kumo.py target.com --fast # fast mode (skips slow modules) python3 kumo.py --web # web UI → http://localhost:8888
---
## Capturas de pantalla
**Interfaz web** — 26 módulos transmitiendo en tiempo real, resultados a la derecha, panel de Google Dorks al costado:
**CLI** — el banner de KUMO al iniciar:
---
## Módulos
---
### 🖼️ Screenshot — Resumen del sitio web
Toma una captura de pantalla en vivo del objetivo y la compara con el feed de **ransomware.live**. Extrae el título de la página, la meta descripción, el favicon, la huella del CMS y verifica si el dominio aparece en las publicaciones de filtraciones de algún grupo de ransomware.```
URL https://corp.com
Title Corp — Enterprise Solutions
CMS WordPress 6.4
Favicon ✓ found
☠ RANSOMWARE FEED
✓ No mentions found on ransomware.live
Enumeración completa de DNS con una calificación de seguridad sobre la protección del correo electrónico. Detecta la ausencia de DMARC, políticas SPF débiles, falta de DKIM y transferencias de zona abiertas.``` A 203.0.113.10 MX mail.corp.com (priority 10) NS ns1.corp.com · ns2.corp.com TXT v=spf1 include:_spf.google.com ~all
EMAIL SECURITY DMARC ✗ Missing — anyone can spoof @corp.com SPF ⚠ Soft fail (~all) — not enforced DKIM ✗ No selector found
---
### 📍 Geolocalización — IP + ASN
Resuelve el dominio a IPv4/IPv6, geolocaliza cada IP y obtiene datos de ASN, ISP y organización.```
IP 203.0.113.10
Country 🇺🇸 United States
City Ashburn, Virginia
ASN AS14618 — Amazon.com Inc.
ISP Amazon Web Services
Registro completo del registrador incluyendo fecha de creación, expiración, información del registrante y servidores de nombres. Detecta dominios que expiran pronto y registros protegidos por privacidad.``` Registrar GoDaddy LLC Created 2010-03-14 Expires 2026-03-14 ← 337 days left Updated 2024-11-01 Status clientTransferProhibited Name servers ns1.corp.com · ns2.corp.com
### 🔒 SSL/TLS — Análisis de certificados
Inspecciona la cadena de certificados completa — emisor, caducidad, Subject Alternative Names, conjunto de cifrado y versión del protocolo. Señala certificados caducados, autofirmados o mal configurados.```
Subject corp.com
Issuer Let's Encrypt — R11
Valid from 2025-01-10
Expires 2025-04-10 ← 89 days left
SANs corp.com · www.corp.com · api.corp.com · mail.corp.com
Protocol TLSv1.3 ✓
Cipher TLS_AES_256_GCM_SHA384 ✓
Verifica cada cabecera de respuesta relevante para la seguridad y califica la configuración. Señala las cabeceras faltantes que dejan el sitio expuesto a XSS, clickjacking, MIME sniffing y divulgación de información.``` Grade C
✗ Content-Security-Policy missing — XSS risk ✗ X-Frame-Options missing — clickjacking risk ✓ X-Content-Type-Options nosniff ✗ Strict-Transport-Security missing — HSTS not enforced ✗ Permissions-Policy missing ✓ Referrer-Policy no-referrer-when-downgrade ℹ Server nginx/1.24.0 ← version exposed ℹ X-Powered-By PHP/8.1.2 ← stack disclosed
---
### 🧱 Detección de WAF
Identifica el WAF o CDN que se encuentra delante del objetivo utilizando más de 40 firmas: encabezados, cookies, banners de servidor y respuestas de sondeo activo. Si no se detecta nada, lo indica claramente.```
Source Python fingerprinter (40+ signatures)
✓ Probably no WAF/CDN detected
Based on header, cookie and active probe analysis.
Note: absence of WAF signatures does not guarantee no protection.
O cuando se detecte:``` [HIGH] Cloudflare cf-ray header · __cfduid cookie · CF-Cache-Status
[LOW] Akamai X-Check-Cacheable header
### 🚪 Escaneo de Puertos — más de 70 puertos + banners
Escanea más de 70 puertos comunes y obtiene los banners de servicio de cada uno que esté abierto. Enriquecido con datos de Shodan y Censys cuando están disponibles.```
PORT STATE SERVICE BANNER
22/tcp open SSH OpenSSH 8.9p1 Ubuntu
80/tcp open HTTP nginx/1.24.0
443/tcp open HTTPS nginx/1.24.0
3306/tcp open MySQL 5.7.42-log ← exposed to internet
6379/tcp open Redis PONG ← no auth required
8080/tcp open HTTP Apache Tomcat/9.0.80
Identifica el stack tecnológico completo — CMS, frameworks, librerías JavaScript, analítica, CDN, servidor y más. Ejecuta más de 80 comprobaciones de firmas sin enviar una sola petición intrusiva.``` CMS WordPress 6.4.3 Server nginx 1.24.0 PHP 8.1.2 Framework jQuery 3.6.0 Analytics Google Analytics · Hotjar CDN Cloudflare Fonts Google Fonts SSL Let's Encrypt
### 🤖 Robots / Seguridad — Reglas de rastreo + divulgación
Analiza `robots.txt` en busca de rutas permitidas y no permitidas, resalta las sensibles y comprueba si existe un contacto de divulgación de vulnerabilidades en `security.txt`. También descubre sitemaps.```
✓ robots.txt found (23 rules)
⚠ SENSITIVE DISALLOWED PATHS
/admin/
/wp-admin/
/config/
/backup/
/.git/
✓ ALLOWED PATHS
/api/public/
/sitemap.xml
/Darklord
✗ No security.txt — no vulnerability disclosure contact
Sondea más de 80 rutas que comúnmente quedan expuestas: paneles de administración, archivos de respaldo, archivos de configuración, interfaces de depuración, documentación de API, control de código fuente y archivos de infraestructura. Cada hallazgo se clasifica por severidad. Una respuesta 403 Forbidden igualmente confirma que la ruta existe y se degrada automáticamente un nivel de severidad.```
12 found / 80 probed CRITICAL: 2 HIGH: 4 MEDIUM: 5 LOW: 1
CRITICAL /.env 200 ← credentials exposed CRITICAL /WEB-INF/web.xml 200 ← Java config leak HIGH /wp-admin/ 200 HIGH /phpmyadmin/ 200 HIGH /docker-compose.yml 200 HIGH /.git/HEAD 200 MEDIUM /api/swagger.json 200 MEDIUM /actuator/env 200 MEDIUM /.git/config [403] 403 ← exists, access denied LOW /.htaccess [403] 403
---
### 🔓 Escáner de Vulnerabilidades — Más de 150 comprobaciones integradas
Python puro, sin herramientas externas. Más de 150 comprobaciones basadas en HTTP inspiradas en plantillas reales de Nuclei — cubriendo CVE conocidos, vulnerabilidades de CMS, paneles de administración expuestos, endpoints de metadatos en la nube, paneles de CI/CD, configuraciones incorrectas de CORS y más. Cada comprobación es **catch-all / consciente de WAF**: primero se fingerprinta una línea base, por lo que la página genérica 403/404 que un host devuelve para cada ruta nunca se reporta como un hallazgo. Las comprobaciones de archivos sin procesar (`.git`, `.env`, copias de seguridad) requieren el contenido *real* del archivo, y las respuestas 403 se degradan — nunca se reportan como "expuesto".```
CRITICAL: 2 HIGH: 5 MEDIUM: 7
CRITICAL Log4Shell RCE (CVE-2021-44228) 200 — Confirmed
CRITICAL Laravel .env Exposed 200 — Plaintext secrets
HIGH Git Repository Accessible 200
HIGH phpMyAdmin Public Access 200
HIGH Jenkins Dashboard (Unauthenticated) 200
HIGH AWS Keys in HTTP Response 200
MEDIUM Spring Boot Actuator /env 200
MEDIUM Grafana Default Credentials 200
Las comprobaciones incluyen: Log4Shell · Spring4Shell · Drupalgeddon2 · Confluence OGNL · Oracle WebLogic · 15 CVE de plugins de WordPress · mala configuración de CORS · inyección de encabezado Host · Clickjacking y muchas más.
Detección de CVE recientes (2024–2026) — un conjunto dedicado de plantillas solo de detección que identifica la exposición/versión de los CVE más recientes y explotados activamente (sin explotación, solo correlación):``` RECENT CVE cPanel / WHM Login Panel Exposed CVE-2026-41940 RECENT CVE Next.js Middleware Auth Bypass CVE-2025-29927 RECENT CVE SharePoint "ToolShell" RCE CVE-2025-53770 RECENT CVE SAP NetWeaver Visual Composer CVE-2025-31324 RECENT CVE Ivanti EPMM / Connect Secure CVE-2025-4427 RECENT CVE CrushFTP Auth Bypass CVE-2025-31161 ... 15 more (Fortinet · Palo Alto · Oracle EBS · Craft CMS · Vite · Langflow · Wazuh)
---
### 🔌 Fuzzer de Endpoints de API
Descubrimiento inteligente de API. Primero sondea una línea base aleatoria para detectar servidores catch-all, confirma que una ruta base de API realmente existe antes de hacer fuzzing, y luego descubre endpoints activos y verifica la **introspección de GraphQL**. Cada acierto muestra su estado HTTP y el **tamaño en bytes** de la respuesta.```
Base found /api/v1
GraphQL /graphql — introspection enabled [200] 1.2 KB
API ENDPOINTS
HIGH /api/v1/users 200 8.9 KB
HIGH /api/v1/admin 401 512 B
MEDIUM /api/v1/config 200 2.1 KB
MEDIUM /api/swagger.json 200 14 KB
Extrae y escanea JavaScript de origen propio en busca de secretos codificados directamente — claves de API, tokens, credenciales de la nube y claves privadas — con salida en texto claro y la línea de origen exacta para cada hallazgo.``` ⚠ Secrets Detected (clear text)
CRITICAL AWS Access Key AKIA................ app.min.js HIGH Google API Key AIza................ main.js HIGH Stripe Live Key sk_live_............. checkout.js MEDIUM JWT Token eyJhbGciOiJ......... auth.js
---
### 🧠 Inteligencia de Contenido — extracción JS/HTML
Extrae el HTML de la página de inicio, los scripts en línea y cada archivo JS de origen propio, y luego extrae la señal **valiosa** — no solo secretos. Endpoints, URLs internas/externas, rutas de API, **URIs de conexión a bases de datos**, almacenamiento en la nube (S3 / GCS / Azure / Firebase), correos electrónicos, hosts internos, JWTs, claves privadas, mapas de código fuente y comentarios de código riesgosos. Los recursos estáticos (`.css`, `.js`, imágenes, fuentes) y los dominios de documentación (MDN, W3C) se filtran; las URLs externas se reducen a hosts de terceros únicos.```
166 items extracted · 14 JS files · 3 inline
🗄️ DATABASE URIS
mongodb+srv://svc:****@cluster0.abcd.mongodb.net/prod
☁️ CLOUD STORAGE
[AWS S3] assets-prod.s3.amazonaws.com
🔌 API ENDPOINTS (12)
/api/v1/users · /api/internal/config · /graphql
🔐 SENSITIVE INFO (21)
[Credential-like assignment] api_key = 7f3c9a12de...
[JWT token] eyJhbGciOiJIUzI1NiIs...
[Risky code comment] // TODO: remove hardcoded admin creds
🌐 EXTERNAL SOURCES (19 unique hosts)
cdn.thirdparty.com · api.stripe.com · fonts.googleapis.com ...
Obtiene el favicon (primero el declarado en el HTML, luego rutas comunes en paralelo — acotado para que nunca se cuelgue), calcula el hash MMH3 utilizado por Shodan/Censys, y mapea hashes conocidos a tecnologías. Útil para identificar la huella del stack y pivotar a otros hosts que ejecutan el mismo favicon.``` Favicon https://corp.com/favicon.ico (33.2 KB) MMH3 hash -1319625119 Shodan http.favicon.hash:-1319625119 Match GitLab
### ☁️ Buckets de Almacenamiento en la Nube
Enumera nombres de buckets probables de **AWS S3 / GCP / Azure** derivados del dominio y verifica su exposición pública. Solo se reporta un **HTTP 200 confirmado (públicamente legible)** — las respuestas 403 poco fiables nunca se marcan como hallazgos.```
Checked 42 candidate buckets
PUBLIC corp-backups.s3.amazonaws.com 200 ← readable
PUBLIC corp-assets.storage.googleapis.com 200
Consulta Shodan InternetDB (gratuito, sin clave) para obtener puertos abiertos, CPEs, nombres de host y CVEs. Cada CVE se enriquece con la puntuación CVSS, la severidad, el indicador KEV y la descripción mediante la API gratuita CVEDB de Shodan.``` Source InternetDB (free, no key) Ports 22, 80, 443, 3306, 6379, 8080 CVEs 4
CVE-2021-44228 CVSS 10.0 CRITICAL [KEV] EPSS 0.9741 Remote code execution via JNDI lookup in Log4j 2.x
CVE-2022-26134 CVSS 9.8 CRITICAL [KEV] EPSS 0.9689 Confluence Server OGNL injection — unauthenticated RCE
CVE-2021-26084 CVSS 9.8 CRITICAL [KEV] Confluence Server pre-auth remote code execution
### 🔬 Censys — Hosts + certificados
Extrae datos de hosts e inteligencia de certificados desde Censys. Enriquecido con clave API opcional para obtener resultados completos.```
IPs 203.0.113.10 · 203.0.113.11
Certs 14 certificates found in CT logs
CERT corp.com (valid) → Let's Encrypt exp. 2025-04-10
CERT dev.corp.com (valid) → Let's Encrypt exp. 2025-03-22
CERT old.corp.com (expired)→ DigiCert exp. 2022-08-01 ⚠
Consulta crt.sh, HackerTarget, RapidDNS y AlienVault OTX simultáneamente, cruza referencias con los registros de Certificate Transparency, resuelve cada resultado, comprueba si está activo y marca cualquier cosa que parezca sensible.``` Total found 52 Alive 34 ⚠ Sensitive 8
SUBDOMAIN IP FLAG admin.corp.com 203.0.113.10 ⚠ SENSITIVE dev.corp.com 203.0.113.24 ⚠ SENSITIVE staging.corp.com 203.0.113.31 ⚠ SENSITIVE intranet.corp.com 203.0.113.45 ⚠ SENSITIVE vpn.corp.com 203.0.113.88 ⚠ SENSITIVE api.corp.com 203.0.113.55 mail.corp.com 203.0.113.12 shop.corp.com 203.0.113.78 cdn.corp.com 203.0.113.92 ...
---
### 🔨 Fuerza Bruta de Subdominios
Prueba miles de nombres de subdominios comunes mediante DNS con detección de comodines — elimina falsos positivos automáticamente. Encuentra subdominios que las fuentes pasivas pasan por alto por completo.```
Wordlist 5000 names
Threads 50
Wildcard ✓ detected and filtered
NEW (not in passive)
backup.corp.com 203.0.113.101 ⚠ SENSITIVE
jenkins.corp.com 203.0.113.102 ⚠ SENSITIVE
vault.corp.com 203.0.113.103 ⚠ SENSITIVE
Consulta la Wayback Machine en busca de instantáneas archivadas del objetivo — extrayendo endpoints antiguos, páginas de inicio de sesión olvidadas, archivos de configuración expuestos y rutas que ya no existen en el sitio activo pero que revelan el historial de la superficie de ataque.``` Snapshots 2,847 Date range 2011-03-14 → 2025-01-09
INTERESTING ARCHIVED PATHS /admin/old-login.php (2019-08-22) /config/database.yml (2021-03-10) /api/v1/debug/ (2022-06-18) /backup/db_export_2020.sql (2020-11-05) ← backup exposed /.env.backup (2023-01-14) ← secrets
---
### 💀 Inteligencia de Brechas y Credenciales — 5 fuentes
Agrega datos de **5 fuentes gratuitas** y ejecuta una verificación automática de stealer por correo electrónico contra la base de datos de Hudson Rock — mostrando qué máquinas de empleados fueron infectadas, qué malware se ejecutó, qué contraseñas fueron robadas y qué servicios fueron comprometidos.```
┌────────────────┬──────────────┬──────────────┬─────────────┐
│ 8024 │ 12 │ 183 │ 6 │
│ INFOSTEALER │ EMPLOYEES │ CLIENTS │ EMAILS │
└────────────────┴──────────────┴──────────────┴─────────────┘
⚠ CRITICAL FINDINGS
[hudsonrock] employees_infected_infostealer
3 employee machines infected — last: 2025-03-14
[hudsonrock] stealer_family_identified
Primary malware: RedLine (3100 infections)
[chiasmodon] employee_plaintext_password
[email protected] — pass: S3cr*** (2024-08-11)
[proxynova] comb_credentials_found
183 unique emails with plaintext passwords
HUDSON ROCK CAVALIER
Employees 3 · Clients 8017 · 3rd Parties 21 · Records 8041
Malware: RedLine: 3100 · Lumma: 1540 · Raccoon: 892 · StealC: 401
Last employee hit: 2025-03-14
CHIASMODON (pages 1+2)
EMAIL PASSWORD DATE
[email protected] S3c••••• 2024-08-11
[email protected] adm••••• 2024-11-02
[email protected] d3v••••• 2024-07-28
PROXYNOVA COMB (3.2B credentials)
Records 247 · Emails 38
[email protected] bil***** (len 11)
[email protected] inf**** (len 8)
HAVEIBEENPWNED
✓ No domain breaches found (972 indexed)
☠ STEALER CHECK (per-email · 9 infected / 20 checked)
[email protected] ☠ INFECTED
📅 2025-01-12 💻 JOHN-PC 🖥 Windows 10 Pro x64
🦠 C:\Users\john\AppData\Roaming\update\svc.exe
🔑 Passwords: S3cr***0 · c0rp***y · J0hn***!
🏢 4 corp services stolen · 👤 89 personal
Descubre direcciones de correo electrónico de empleados @domain en múltiples fuentes abiertas, y luego fusiona todos los correos electrónicos confirmados encontrados durante el escaneo de inteligencia de brechas.```
Confirmed 7 Patterns 20
Sources: crt.sh · web scraping · whois · DNS SOA · wayback
📧 CONFIRMED EMAILS [email protected] [email protected] [email protected] [email protected] [email protected]
💡 COMMON PATTERNS (may exist) [email protected] [email protected] [email protected] [email protected] ...
Fuentes: **Hunter.io** · registros de certificados **crt.sh** · scraping de páginas web (contacto / acerca de / equipo) · registro **DNS SOA** · contacto **WHOIS** · archivo **Wayback Machine** · prefijos empresariales comunes.
---
### 🔍 Google Dorks — 61 consultas
Genera 61 consultas de Google dork específicas preconstruidas para el dominio — un clic las abre en Google. Cubre archivos expuestos, páginas de inicio de sesión, directorios sensibles, subdominios, páginas en caché, repositorios de código y más.```
FILE EXPOSURE
site:corp.com filetype:pdf
site:corp.com filetype:xlsx OR filetype:csv
site:corp.com filetype:sql OR filetype:bak
site:corp.com ext:env OR ext:config OR ext:yaml
LOGIN & ADMIN
site:corp.com inurl:login OR inurl:admin OR inurl:dashboard
site:corp.com inurl:wp-admin
SENSITIVE CONTENT
site:corp.com intext:"password" OR intext:"api_key"
site:corp.com intext:"BEGIN RSA PRIVATE KEY"
SUBDOMAINS & INFRA
site:*.corp.com -www
site:corp.com inurl:dev OR inurl:staging OR inurl:test
... 51 more queries across 8 categories
Pregenera 26 enlaces de investigación para el objetivo en las plataformas OSINT más útiles — un clic y estás ahí.``` THREAT INTEL VirusTotal https://virustotal.com/gui/domain/corp.com URLhaus https://urlhaus.abuse.ch/browse/?search=corp.com Shodan https://shodan.io/search?query=hostname:corp.com
BREACH & LEAKS HaveIBeenPwned https://haveibeenpwned.com/DomainSearch ProxyNova COMB https://proxynova.com/tools/[email protected] IntelX https://intelx.io/?s=corp.com DeHashed https://dehashed.com/search?query=corp.com LeakRadar https://leakradar.io/search?q=corp.com HudsonRock https://cavalier.hudsonrock.com/...
RECON & MAPPING Shodan Maps https://maps.shodan.io/#corp.com Censys https://search.censys.io/search?q=corp.com Fofa https://en.fofa.info/result?qbase64=... ZoomEye https://zoomeye.org/searchResult?q=corp.com
... 13 more across threat intel, archive, and code search
---
## ⚙️ Claves API opcionales
Todo funciona sin ninguna clave. Estas desbloquean datos más completos:
| Variable | Desbloquea |
|----------|---------|
| `SHODAN_API_KEY` | Datos completos del host de Shodan — banners, servicios, historial completo |
| `CENSYS_API_ID` + `CENSYS_API_SECRET` | Búsqueda completa de hosts y certificados de Censys |
| `HIBP_API_KEY` | Búsqueda de HaveIBeenPwned por correo electrónico |
| `CHIASMODON_API_KEY` | Nivel pro de Chiasmodon — más resultados |
| `RANSOMWARE_LIVE_API_KEY` | Feed pro de Ransomware.live |
| `GOOGLE_CSE_KEY` + `GOOGLE_CSE_ID` | Ejecutar Google dorks en vivo |```bash
export SHODAN_API_KEY="your_key_here"
export HIBP_API_KEY="your_key_here"
# loaded at runtime — never hardcoded
python3 kumo.py target.com full scan python3 kumo.py target.com --fast skip slow modules python3 kumo.py target.com -m dns ssl ports specific modules only python3 kumo.py target.com -o report.json export to JSON python3 kumo.py --web web UI (port 8888) python3 kumo.py --web -p 9000 custom port python3 kumo.py target.com --no-color pipe-friendly output
fast mode skips: wayback · brute · subdomains · email_harvest
---
## 🌐 Ecosistema
| | Herramienta | Dominio |
|---|---|---|
| ☁️ | [**Kumo** 蜘蛛](https://github.com/karim852/KUMO-Domain-Recon-Tool) | OSINT de dominios y reconocimiento |
| 🌑 | [**Kage** 影](https://github.com/karim852/Kage-DFIR-toolkit) | triaje de host DFIR |
---
> ⚠️ **Solo para pruebas de seguridad autorizadas.**
> Escanea únicamente dominios que poseas o para los que tengas permiso escrito explícito de probar.
> Eres libre de usar, modificar y compartir este código con fines educativos y personales.
> Por favor, da el crédito adecuado cuando uses o referencies este trabajo.
> No se permite el uso comercial sin permiso explícito del autor.
<div align="center">
<br>
<sub>Construido para quienes se mueven rápido. 蜘蛛.</sub>
</div>