BigBountyRecon

La herramienta BigBountyRecon utiliza 58 técnicas diferentes mediante varios dorks de Google y herramientas de código abierto para acelerar el proceso de reconocimiento inicial sobre la organización objetivo. El reconocimiento es el paso más importante en cualquier prueba de penetración o proceso de caza de bugs. Proporciona a un atacante conocimientos preliminares sobre la organización objetivo. Además, será útil para obtener información sobre los controles existentes, así como estimaciones aproximadas del nivel de madurez de seguridad de la organización objetivo.

Esta herramienta se puede utilizar además de tu enfoque habitual para la caza de bugs. La idea es verificar y recopilar rápidamente información sobre tu organización objetivo sin invertir tiempo ni recordar estas sintaxis. Además, puede ayudarte a definir un enfoque para encontrar algunos resultados rápidos en el objetivo.

Cualquier sugerencia o idea para esta herramienta es bienvenida; solo envíame un tweet a @ManiarViral

ANYRUN:

• https://app.any.run/tasks/b31a5e6a-7ead-470e-b5e8-02fffd55f255/

Técnicas

1. Listado de directorios: Encontrar directorios abiertos usando Google Dork en tu organización objetivo ayuda a comprender la estructura de directorios en el servidor web. Puede revelar información sensible o llevar a una divulgación de información.

2. Archivos de configuración: A menudo, los archivos de configuración contienen información sensible como contraseñas codificadas, ubicaciones de unidades sensibles o tokens de API que pueden ayudarte a obtener acceso privilegiado a los recursos internos.

3. Archivos de base de datos: Los archivos de base de datos son archivos de datos que se utilizan para almacenar el contenido de la base de datos en un formato estructurado en un archivo en tablas y campos separados. Dependiendo de la naturaleza de la aplicación web, estos archivos podrían proporcionar acceso a información sensible.

4. WordPress: WordPress es un CMS de código abierto escrito en PHP. WordPress tiene miles de complementos para construir, personalizar y mejorar los sitios web. Existen numerosas vulnerabilidades en estos complementos. Encontrar archivos relacionados con WordPress.

5. Archivos de registro: Los archivos de registro a veces proporcionan información detallada de las actividades de los usuarios en una aplicación particular. Estos archivos son buenos para revisar cookies de sesión u otros tipos de tokens.

6. Archivos de respaldo y antiguos: Los archivos de respaldo son copias originales de los sistemas críticos. Estos proporcionan acceso a información de identificación personal (PII) o acceso a registros sensibles.

7. Páginas de inicio de sesión: Es extremadamente importante identificar las páginas de inicio de sesión de tu organización objetivo para realizar intentos de fuerza bruta o probar credenciales predeterminadas para obtener más acceso a los recursos de la organización.

8. Errores SQL: Los errores SQL filtran información sensible sobre los sistemas backend. Esto puede ayudar a realizar enumeración sobre los tipos de base de datos y ver si la aplicación es vulnerable a ataques relacionados con la validación de entrada, como la inyección SQL.

9. Archivos de configuración de Apache: El servidor HTTP Apache se configura colocando directivas en archivos de configuración de texto plano. El archivo de configuración principal generalmente se llama httpd.conf. Además, se pueden agregar otros archivos de configuración mediante la directiva Include, y se pueden usar comodines para incluir muchos archivos de configuración. Cualquier directiva puede colocarse en cualquiera de estos archivos de configuración. Dependiendo de las entradas en estos archivos de configuración, puede revelar cadenas de conexión de base de datos, nombres de usuario y contraseñas, el funcionamiento interno, las bibliotecas utilizadas y referenciadas y la lógica empresarial de la aplicación.

10. Archivo robots.txt: El archivo robots.txt indica a los robots web cómo rastrear páginas en su sitio web. Dependiendo del contenido del archivo, un atacante podría descubrir directorios y archivos ocultos.

11. DomainEye: DomainEye es una herramienta de investigación de dominios/host que posee las bases de datos de dominios más grandes. Proporcionan servicios como Whois inverso, búsqueda inversa de IP, así como NS y MX inversos.

12. Documentos expuestos públicamente: Dichos documentos se pueden usar para extraer información de metadatos.

13. phpinfo(): Exponer phpinfo() por sí solo no es necesariamente un riesgo, pero en combinación con otras vulnerabilidades podría comprometer tu sitio. Además, las versiones de los módulos podrían facilitar la vida a los atacantes cuando atacan aplicaciones usando exploits recién descubiertos.

14. Encontrar backdoors: Esto puede ayudar a identificar desfiguraciones de sitios web o problemas relacionados con el secuestro de servidores. Al explotar la vulnerabilidad de redirección abierta en la aplicación web confiable, el atacante puede redirigir a las víctimas a una página de phishing.

15. Archivos de instalación/configuración: Dichos archivos permiten a un atacante realizar enumeración en la organización objetivo. La información recopilada usando estos archivos puede ayudar a descubrir detalles de versiones que luego se pueden usar para realizar el exploit dirigido.

16. Redirecciones abiertas: Con esto, observamos varios parámetros conocidos vulnerables a problemas de redirección abierta.

17. Apache Struts RCE: Explotar con éxito una vulnerabilidad RCE podría permitir al atacante ejecutar programas arbitrarios. Aquí, buscamos archivos con extensiones ".action" o ".do".

18. Exposición de terceros: Aquí buscamos exposición de información en sitios de terceros como Codebeautify, Codeshare y Codepen.

19. Verificar encabezados de seguridad: Identificar rápidamente si el sitio objetivo utiliza encabezados relacionados con la seguridad en la respuesta del servidor.

20. GitLab: Buscar rápidamente información sensible en GitLab.

21. Encontrar entradas en Pastebin: Muestra los resultados relacionados con la organización objetivo en el sitio Pastebin. Esto podría ser contraseñas o cualquier otra información sensible relacionada con la organización objetivo.

22. Empleados en LINKEDIN: Identificar nombres de empleados en LinkedIn puede ayudarte a construir una lista de nombres de usuario cuando se trata de un ataque de rociado de contraseñas.

23. .HTACCESS / Archivos sensibles: Buscar exposición de archivos sensibles. Esto puede indicar una mala configuración del servidor.

24. Encontrar subdominios: Los subdominios ayudan a expandir la superficie de ataque de la organización objetivo. Existen numerosas herramientas disponibles para automatizar el proceso de enumeración de subdominios.

25. Encontrar sub-subdominios: Identificar sub-subdominios en la organización objetivo usando Google Dork.

26. Encontrar exposición relacionada con WordPress: La exposición relacionada con WordPress ayuda a obtener acceso a archivos y carpetas sensibles.

27. BitBucket y Atlassian: Filtración de código fuente, credenciales codificadas y acceso a infraestructura en la nube.

28. PassiveTotal: PassiveTotal es una excelente herramienta para realizar investigaciones de amenazas. Usando BigBountyRecon, utilizaremos PassiveTotal para identificar subdominios en la información objetivo.

29. Stackoverflow: Exposición de código fuente o cualquier pregunta específica de tecnología mencionada en Stackoverflow.

30. Encontrar exposición relacionada con WordPress usando Wayback Machine: Buscar archivos de WordPress archivados usando WaybackMachine.

31. GitHub: Buscar rápidamente información sensible en GitHub.

32. OpenBugBounty: Buscar problemas de seguridad expuestos públicamente en el sitio web de OpenBugBounty.

33. Reddit: Información sobre la organización particular en la plataforma Reddit.

34. Crossdomain.xml: Buscar archivos crossdomain.xml mal configurados en la organización objetivo.

35. ThreatCrowd: Motor de búsqueda de amenazas, sin embargo, lo usaremos para identificar subdominios adicionales.

36. Carpeta .git: Exposición de código fuente. Es posible descargar todo el contenido del repositorio si es accesible.

37. YouTube: Buscar noticias recientes en Youtube.

38. Digitalocean Spaces: Spaces es un servicio de almacenamiento de objetos compatible con S3 que permite almacenar y servir grandes cantidades de datos. Buscaremos cualquier exposición de datos.

39. Archivo .SWF (Google): Flash está muerto. Usaremos Google Dorks para buscar versiones antiguas de flash .swf que contengan vulnerabilidades.

40. Archivo .SWF (Yandex): Flash está muerto. Usaremos Yandex para buscar versiones antiguas de flash .swf que contengan vulnerabilidades.

41. Archivo .SWF (Wayback Machine): Flash está muerto. Usaremos WaybackMachine para buscar versiones antiguas de flash .swf que contengan vulnerabilidades.

42. Wayback Machine: Buscar archivos archivados para acceder a archivos antiguos.

43. Búsqueda inversa de IP: La búsqueda inversa de IP permite descubrir todos los nombres de dominio alojados en una dirección IP determinada. Esto te ayudará a explorar la superficie de ataque de una organización objetivo.

44. Traefik: Buscar un Edge Router de código abierto para una interfaz no autenticada que exponga servicios internos.

45. Almacenamiento en la nube y buckets: Google CSE para varios almacenamientos en la nube: aws, digitalocean, backblaze, wasabi, rackspace, dropbox, ibm, azure, dreamhost, linode, gcp, box, mailru.

46. Buckets s3: Buckets s3 abiertos.

47. PublicWWW: Motor de búsqueda de código fuente que indexa el contenido de más de 200 millones de sitios web y proporciona una interfaz de consulta que permite al usuario encontrar cualquier fragmento alfanumérico, firma o palabra clave en el código ‘HTML’, ‘JavaScript’ y ‘CSS’ de las páginas web.

48. Censys (IPv4, Dominios y Certificados): Motor de búsqueda para encontrar dispositivos de Internet. Usaremos esto para buscar subdominios adicionales utilizando varios endpoints en Censys.

49. Shodan: Motor de búsqueda de dispositivos conectados a Internet.

50. SharePoint RCE: Buscar el endpoint relacionado con CVE-2020-0646 SharePoint RCE.

51. Endpoints de API: Encontrar archivos WSDL.

52. Búsquedas en Gist: Buscar rápidamente información sensible en los pastes de Gist.

53. Registros CT: Certificate Transparency (CT) es un estándar de seguridad de Internet y un marco de código abierto para monitorear y auditar certificados digitales. Lo usaremos para buscar subdominios adicionales para una organización objetivo.

54. Filtración de contraseñas: Buscar contraseñas en texto plano de empleados internos expuestas en diversas filtraciones.

55. What CMS: Identificar la versión y el tipo de CMS utilizado por una organización objetivo para enumeración dirigida e investigación de exploits.

Capturas de pantalla

Búsqueda de contraseñas en texto plano para una organización objetivo:

Búsqueda de subdominios y otra información interesante sobre la organización objetivo:

Encontrar activos relacionados con Apache Struts:

Verificar si la URL contiene la extensión ".do":

¿Cómo usar esta herramienta?

Paso 1: Descargar el archivo de la sección Release: https://github.com/Viralmaniar/BigBountyRecon/releases/download/v0.1/BigBountyRecon.exe

Paso 2: Ejecutar el archivo EXE

Paso 3: Ingresar el dominio objetivo

Paso 4: Hacer clic en los diferentes botones de la herramienta para encontrar información

Paso 5: En caso de Google Captcha, simplemente haz clic en el rompecabezas y continúa

¿Preguntas?

Twitter: https://twitter.com/maniarviral
LinkedIn: https://au.linkedin.com/in/viralmaniar

Operadores de dorking en Google, DuckDuckGo, Yahoo y Bing

Tabla obtenida de: https://exposingtheinvisible.org/guides/google-dorking/

Aquí hay una tabla con posibles dorks para varios motores de búsqueda.

Contribución y Licencia

Esta obra está bajo una Licencia Internacional Creative Commons Atribución 4.0.
¿Quieres contribuir? Por favor, haz un fork y envía un pull request.

Cualquier sugerencia o idea para esta herramienta es bienvenida; solo envíame un tweet a @ManiarViral