NoWRecon

Una herramienta de enumeración de subdominios y reconocimiento para trabajo de red team. No se requieren claves API para las funciones principales; se ejecuta como una CLI de un solo uso o como una consola interactiva persistente al estilo de msfconsole.

Ejecuta esto únicamente contra dominios para los que tengas autorización para probar. Consulta "Legal" más abajo para más detalles.

Características

• Recolección pasiva: crt.sh, CertSpotter, Wayback Machine, OTX, HackerTarget, RapidDNS, Anubis, urlscan.io, BufferOver, ThreatMiner (10 fuentes, no se necesitan claves API).
• Recolección activa: fuerza bruta con listas de palabras, AXFR, mutaciones por permutación, deep-brute opcional (minería de patrones sobre nombres ya encontrados).
• Correlación profunda: TLS SAN, sondeo HTTP más crawling, barrido PTR (FCrDNS), sondeo de vhosts, SPF/DMARC/MX, cabeceras CSP, source maps de JS.
• Resolución DNS con reconocimiento de comodines, comprobada de forma independiente en cada nivel de zona, no solo en la raíz.
• Escaneo de puertos en 61 puertos: escaneo SYN en bruto (requiere root/setcap), con fallback automático a conexión TCP simple y una pasada de reintento para los puertos que no respondieron la primera vez.
• Descubrimiento de buckets de almacenamiento en la nube (S3, GCS, Azure Blob, DO Spaces, B2, Wasabi, Linode, Alibaba OSS, Scaleway): a partir de los propios registros CNAME del objetivo y, opcionalmente, a partir de la adivinación de nombres de marca.
• Grafo de organización: encuentra dominios hermanos de la misma organización mediante SPF/DMARC/MX, certificados TLS compartidos y enlaces de crawling repetidos, además de una puntuación ligera de similitud de contenido (sin ML, TF-IDF simple).
• Detección de NSEC/DNSSEC, identificación del proveedor de NS, búsqueda de código en GitHub con un token.
• Historial de escaneos en SQLite: la segunda ejecución y las posteriores muestran lo que es nuevo y lo que desapareció desde el último escaneo.
• Una barra de progreso continua para todo el escaneo, y puedes omitir la etapa actual en cualquier momento pulsando Enter.
• Consola interactiva (set, show options, run, setup) y una CLI de un solo uso basada en flags, ambas construidas sobre el mismo motor.

Instalación

git clone https://github.com/Rebellionxkid/NoWRecon
cd NoWRecon
pip install -r requirements.txt

Para un escaneo SYN real (sin él, la herramienta recurre a TCP connect):

sudo setcap cap_net_raw+ep $(readlink -f $(which python3))

Inicio rápido

Consola (recomendado para empezar):

python -m subscout.cli

Muestra el banner, te guía a través de una configuración guiada (elige un modo: pasivo / activo / profundo / personalizado), ofrece un preset predeterminado o la configuración manual de cada ajuste, y luego pasa a un prompt:

nowrecon (example.com) > show options
nowrecon (example.com) > set MODE deep
nowrecon (example.com) > set EXPAND_ORG true
nowrecon (example.com) > run
...
nowrecon (example.com) > set DOMAIN other-target.com
nowrecon (other-target.com) > run
nowrecon (other-target.com) > exit

La consola no se cierra después de un escaneo. Comandos:

• set OPTION VALUE: cambia una configuración, p. ej. set MODE deep.
• unset OPTION: restablece una configuración a su valor predeterminado.
• show options: tabla de cada configuración y su valor actual.
• show banner / banner: vuelve a mostrar el banner de inicio.
• setup: vuelve a ejecutar el flujo de configuración guiado.
• run (o scan): inicia un escaneo con la configuración actual.
• help: lista todos los comandos.

Durante un escaneo, pulsar Enter en cualquier momento omite la etapa actual y pasa a la siguiente.

Flags, ejecución única:

python -m subscout.cli example.com --mode deep --buckets --expand-org

Configuración

Opción CLI	Opción de consola	Descripción
--mode	MODE	passive / active / deep
--out-dir	OUT_DIR	dónde escribir json/csv/txt
--wordlist	WORDLIST	wordlist personalizada para fuerza bruta
--db	DB	ruta a la base de datos SQLite de historial/diff
--ptr-prefix	PTR_PREFIX	radio CIDR para barridos PTR en modo deep
--no-vhost	NO_VHOST	desactiva el sondeo de vhost en modo deep
--dns-rate	DNS_RATE	máximo de consultas DNS por segundo por resolver
--ip-rate	IP_RATE	máximo de peticiones HTTP por segundo contra una IP objetivo
--connect-timeout	CONNECT_TIMEOUT	tiempo de espera por intento en el escaneo de puertos por conexión TCP
--expand-org	EXPAND_ORG	también escanea dominios hermanos de la organización, no solo los lista
--expand-mode	EXPAND_MODE	modo usado para los sub-escaneos de dominios hermanos
--buckets	BUCKETS	adivina nombres de buckets de almacenamiento en la nube a partir de la marca
--deep-brute	DEEP_BRUTE	ronda extra de mutación de patrones sobre nombres ya encontrados
--github-token	GITHUB_TOKEN	token para el reconocimiento de búsqueda de código en GitHub
--nsec-walk	NSEC_WALK	intenta un recorrido completo de zona NSEC (solo NSEC simple)
--user-agent	USER_AGENT	User-Agent personalizado para cada petición
--random-user-agent	RANDOM_USER_AGENT	User-Agent aleatorio de navegador real para toda la ejecución
-v / --verbose	VERBOSE	muestra líneas de log por etapa
--debug	DEBUG	muestra qué fuente encontró cada nombre

Notas:

• Si un host que sabes que está activo devuelve DEAD, aumenta CONNECT_TIMEOUT (por defecto 3 segundos). Sin root/setcap el escaneo de puertos recurre a una conexión TCP simple, y un objetivo bajo carga, o esta misma máquina estando ocupada con un escaneo concurrente grande, puede hacer que un puerto realmente abierto pierda una ventana corta. Cada puerto ya recibe un reintento automático; aumentar el tiempo de espera simplemente da más tiempo a cada intento.
• Por defecto, cada host recibe una línea de salida consolidada con todo lo recopilado sobre él (IP, puertos, infraestructura, stack tecnológico) en cuanto está listo. --debug añade una línea anterior que muestra qué fuente encontró el nombre; desactivado por defecto para mantener la salida limpia.
• EXPAND_ORG solo lista dominios hermanos candidatos y no los escanea sin activarse explícitamente: la evidencia de propiedad común no es lo mismo que la autorización para escanearlo.

Cómo el modo deep evita arrastrar dominios no relacionados

Esta fue una restricción de diseño deliberada: