wtfis

Outil passif de recherche de noms d'hôte, de domaines et d'adresses IP pour les non-robots

C'est quoi ?

wtfis est un outil en ligne de commande qui recueille des informations sur un domaine, un FQDN ou une adresse IP à l'aide de divers services OSINT. Contrairement à d'autres outils de ce type, il est conçu spécifiquement pour une lecture humaine, fournissant des résultats plaisants (YMMV) et faciles à lire et à comprendre.

Cet outil suppose que vous utilisez des comptes de niveau gratuit / communautaire, et fait donc le moins d'appels API possible afin d'éviter au maximum les quotas et les limites de débit.

Le nom du projet est un jeu de mots avec « whois ».

Sources de données

Service	Utilisé pour la recherche	Requis	Offre gratuite
Virustotal	Toutes	Non	Oui
AbuseIPDB	Adresse IP	Non	Oui
Greynoise	Adresse IP	Non	Oui
IP2Location	Adresse IP	Non	Oui
IP2Whois	Domaine/FQDN	Non	Oui
IPinfo	Adresse IP	Non	Oui (sans inscription)
IPWhois	Adresse IP	Non	Oui (sans inscription)
Shodan	Adresse IP	Non	Non
URLhaus	Toutes	Non	Oui

Virustotal

La source principale d'informations. Récupère :

• Nom d'hôte (FQDN), domaine ou IP
  • Statistiques de la dernière analyse avec le détail par éditeur
  • Score de réputation (basé sur les votes de la communauté VT)
  • Rangs de popularité (Alexa, Cisco Umbrella, etc.) (FQDN et domaine uniquement)
  • Catégories (attribuées par différents éditeurs)
• Résolutions (FQDN et domaine uniquement)
  • Les n dernières adresses IP (défaut : 3, max : 10)
  • Statistiques de la dernière analyse de chaque IP ci-dessus
• Whois
  • Uniquement en secours : si les identifiants IP2Whois ne sont pas disponibles
  • Diverses données whois sur le domaine lui-même

AbuseIPDB

AbuseIPDB est une base de données participative d'adresses IP malveillantes signalées. Via son API, wtfis affiche :

• Score de confiance d'abus (0-100)
• Nombre de signalements

IP2Location

Source alternative de géolocalisation et de recherche ASN pour les adresses IP (par défaut : IPWhois). Récupère :

• Géolocalisation
• ASN et Org
• Proxy (True ou False)

IP2Whois et IP2Location sont des fonctionnalités différentes du même service, vous n'avez donc besoin de vous inscrire qu'une seule fois. La clé API peut ensuite être utilisée pour les deux types de recherche.

IP2Whois

Utilisé en option si des identifiants sont fournis. Récupère :

• Whois
  • Diverses données whois sur le domaine lui-même

IP2Whois est recommandé par rapport à Virustotal pour les données whois pour plusieurs raisons :

• Le format des données whois de VT est moins cohérent
• Les données whois d'IP2Whois ont tendance à être de meilleure qualité que celles de VT. De plus, les données du titulaire (registrant) de VT sont apparemment anonymisées.
• Vous pouvez économiser un appel API VT en déléguant cette tâche à IP2Whois.

IPinfo

Une autre source alternative de géolocalisation et de recherche ASN pour les adresses IP. Récupère :

• Géolocalisation
• ASN et Org
• Nom d'hôte
• Anycast (true ou false)

IPWhois

Source par défaut de géolocalisation et de recherche ASN pour les adresses IP. Récupère :

• Géolocalisation
• ASN, Org et ISP
• Domaine

IPWhois ne doit pas être confondu avec IP2Whois, qui fournit les données Whois de domaine.

Greynoise

Grâce à l'API communautaire de Greynoise, wtfis indique si une IP figure dans l'un des jeux de données de Greynoise :

• Noise : l'IP a été observée en train de scanner régulièrement Internet
• RIOT : l'IP appartient à une application métier courante (par ex. Microsoft O365, Google Workspace, Slack)

Plus d'informations sur les jeux de données ici.

De plus, l'API renvoie également la classification de l'IP par Greynoise (si disponible). Les valeurs possibles sont benign, malicious et unknown.

Shodan

Récupère des données depuis l'endpoint /shodan/host/{ip} (voir doc). Pour chaque IP, il récupère :

• Liste des ports et services ouverts
• Système d'exploitation (si disponible)
• Tags (attribués par Shodan)

URLhaus

URLhaus est une base de données participative d'URL malveillantes signalées. Cet enrichissement indique si le nom d'hôte ou l'IP interrogé est ou a été utilisé pour distribuer des logiciels malveillants via HTTP ou HTTPS. Les données fournies incluent :

• Le nombre d'URL de malwares actuellement en ligne et le nombre total
• La présence actuelle du nom d'hôte ou de l'IP dans les listes noires publiques DNSBL et SURBL
• Tous les tags attribués à l'URL au cours de son historique dans la base de données URLhaus

Installation

$ pip install wtfis

Pour installer via conda (depuis conda-forge), voir wtfis-feedstock.

Pour installer via brew:

brew install wtfis

Configuration

wtfis utilise ces variables d'environnement (toutes facultatives) :

• VT_API_KEY - Clé API Virustotal
• ABUSEIPDB_API_KEY - Clé API AbuseIPDB
• IP2LOCATION_API_KEY - Clé API IP2Location
• IP2WHOIS_API_KEY - Clé API IP2Whois
• GREYNOISE_API_KEY - Clé API Greynoise
• SHODAN_API_KEY - Clé API Shodan
• URLHAUS_API_KEY - Clé API URLhaus
• WTFIS_DEFAULTS - Arguments booléens par défaut
• GEOLOCATION_SERVICE - Service de géolocalisation / recherche ASN à utiliser

Définissez-les selon votre propre méthode.

Vous pouvez également créer un fichier ~/.env.wtfis dans votre répertoire personnel avec les options ci-dessus. Voir .env.wtfis.example pour un modèle. REMARQUE : n'oubliez pas d'exécuter chmod 400 sur le fichier !

Utilisation

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP