InfraHunter

Chassez activement les infrastructures d'attaquants en filtrant les résultats Shodan avec les données URLScan.

Prérequis

• Clé API Shodan
• Clé API URLScan
• python3 -m pip install -r requirements.txt

Exemples d'utilisation

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Requêtes intégrées

Vous pouvez utiliser des requêtes prédéfinies en fournissant leur nom avec -q. Pour lister toutes les requêtes intégrées, exécutez python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

Vous pouvez également fournir une URL vers un webhook Discord avec -d, --discord. Cela enverra les résultats à ce webhook au lieu de les ouvrir dans un navigateur.

Que fait l'outil ?

1. Rechercher sur Shodan avec la requête fournie par -q, --query
2. Pour chaque combinaison IP/port/protocole et domaine/port/protocole, soumettre celle-ci à URLScan
   • Si plusieurs ports sont ouverts, tous les ports seront soumis.
   • Soumettre les URLs http et https.
   • Même processus pour tous les domaines.
3. Pour chaque analyse URLScan
   • Vérifier si la page analysée a renvoyé un HTTP OK (200).
   • Vérifier si une capture d'écran de la page web est présente dans les résultats URLScan.
   • Télécharger l'image, calculer son SHA256 puis supprimer l'image.
   • Vérifier le SHA256 par rapport à une liste de hachages à exclure (cette liste contient des éléments que j'ai jugés non malveillants, mais je prévois de créer un moyen de contourner cette vérification) (la liste existe car j'utilise cet outil pour chasser selon un planning).
   • Pour chaque résultat restant non exclu par la vérification de hachage, renvoyer le résultat.

Limitation de débit de l'API

L'outil est codé en dur pour attendre 20 secondes entre chaque soumission à URLScan par courtoisie. Par défaut, il utilise des scans publics ; cela peut être modifié avec --scan-type.