Second Order

Analyse les applications web à la recherche de prises de contrôle de sous-domaines de second ordre en explorant l'application et en collectant les URL (et autres données) qui correspondent à certaines règles ou répondent d'une certaine manière.

Installation

Depuis le binaire

Téléchargez un binaire précompilé depuis la page des releases et décompressez-le.

Depuis les sources

La version 1.17 de Go est recommandée.

go install -v github.com/mhmdiaa/second-order@latest

Docker

docker pull mhmdiaa/second-order

Options de ligne de commande

  -target string
        URL cible
  -config string
        Fichier de configuration (par défaut "config.json")
  -depth int
        Profondeur d'exploration (par défaut 1)
  -header value
    	Nom et valeur de l'en-tête séparés par deux-points 'Nom: Valeur' (peut être utilisé plusieurs fois)
  -insecure
        Accepter les certificats SSL/TLS non fiables
  -output string
        Répertoire pour enregistrer les résultats (par défaut "output")
  -threads int
        Nombre de threads (par défaut 10)

Fichier de configuration

Les exemples de fichiers de configuration se trouvent dans config

• LogQueries : Une correspondance de requêtes balise-attribut qui seront recherchées dans les pages explorées. Par exemple, "a": "href" signifie enregistrer chaque attribut href de chaque balise a.
• LogNon200Queries : Une correspondance de requêtes balise-attribut qui seront recherchées dans les pages explorées, et enregistrées uniquement si elles contiennent une URL valide qui ne renvoie pas un code de statut 200.
• LogInline : Une liste de balises dont le contenu inline (entre les balises d'ouverture et de fermeture) sera enregistré, comme title et script

Sortie

Tous les résultats sont sauvegardés dans des fichiers JSON qui précisent quoi et où les données ont été trouvées

• Les résultats de LogQueries sont sauvegardés dans attributes.json

{
    "https://example.com/": {
        "input[name]": [
            "user",
            "id",
            "debug"
        ]
    }
}

• Les résultats de LogNon200Queries sont sauvegardés dans non-200-url-attributes.json

{
    "https://example.com/": {
        "script[src]": [
            "https://cdn.old_abandoned_domain.com/app.js",
        ]
    }
}

• Les résultats de LogInline sont sauvegardés dans inline.json

{
    "https://example.com/": {
        "title": [
            "Example - Home"
        ]
    },
      "https://example.com/login": {
        "title": [
            "Example - login"
        ]
    }
}

Idées d'utilisation

Ceci est une liste de conseils et d'idées (pas nécessairement liés à la prise de contrôle de sous-domaines de second ordre) sur ce pour quoi utiliser Second Order.

• Vérifier la prise de contrôle de sous-domaines de second ordre : takeover.json. (Évidemment !)
• Collecter le code JS inline et importé : javascript.json.
• Trouver où une cible héberge des fichiers statiques : cdn.json. (Des buckets S3, quelqu'un ?)
• Collecter les noms d'<input> pour construire une wordlist de bruteforce de paramètres sur mesure : parameters.json.
• N'hésitez pas à contribuer d'autres idées !

Références

https://shubs.io/high-frequency-security-bug-hunting-120-days-120-bugs/#secondorder

https://edoverflow.com/2017/broken-link-hijacking/