wtfis

Passive होस्टनाम, डोमेन और IP लुकअप टूल गैर-रोबोट के लिए

WTF क्या है?

wtfis एक कमांडलाइन टूल है जो विभिन्न OSINT सेवाओं का उपयोग करके किसी डोमेन, FQDN या IP पते के बारे में जानकारी एकत्र करता है। अपनी तरह के अन्य टूलों के विपरीत, यह विशेष रूप से मानव उपयोग के लिए बनाया गया है, और ऐसे परिणाम प्रदान करता है जो सुंदर (YMMV) और पढ़ने-समझने में आसान होते हैं।

यह टूल मानता है कि आप निःशुल्क स्तर / सामुदायिक स्तर के खातों का उपयोग कर रहे हैं, और इसलिए कोटा और दर सीमा को हिट करने से बचने के लिए जितना संभव हो उतनी कम API कॉल करता है।

प्रोजेक्ट का नाम "whois" पर एक श्लेष है।

डेटा स्रोत

Service	Used in lookup	Required	Free Tier
Virustotal	सभी	नहीं	हाँ
AbuseIPDB	IP पता	नहीं	हाँ
Greynoise	IP पता	नहीं	हाँ
IP2Location	IP पता	नहीं	हाँ
IP2Whois	डोमेन/FQDN	नहीं	हाँ
IPinfo	IP पता	नहीं	हाँ (साइनअप नहीं)
IPWhois	IP पता	नहीं	हाँ (साइनअप नहीं)
Shodan	IP पता	नहीं	नहीं
URLhaus	सभी	नहीं	हाँ

Virustotal

जानकारी का प्राथमिक स्रोत। प्राप्त करता है:

• होस्टनाम (FQDN), डोमेन या IP
  • विक्रेता विवरण के साथ नवीनतम विश्लेषण आँकड़े
  • प्रतिष्ठा स्कोर (VT समुदाय के वोटों पर आधारित)
  • लोकप्रियता रैंक (Alexa, Cisco Umbrella, आदि) (केवल FQDN और डोमेन)
  • श्रेणियाँ (विभिन्न विक्रेताओं द्वारा निर्दिष्ट)
• रिज़ॉल्यूशन (केवल FQDN और डोमेन)
  • अंतिम n IP पते (डिफ़ॉल्ट: 3, अधिकतम: 10)
  • उपरोक्त प्रत्येक IP के नवीनतम विश्लेषण आँकड़े
• Whois
  • केवल फ़ॉलबैक: यदि IP2Whois क्रेडेंशियल उपलब्ध नहीं हैं
  • डोमेन से संबंधित विभिन्न whois डेटा

AbuseIPDB

AbuseIPDB रिपोर्ट किए गए दुर्भावनापूर्ण IP पतों का क्राउड-सोर्स्ड डेटाबेस है। इसके API के माध्यम से wtfis दिखाता है:

• दुरुपयोग विश्वास स्कोर (0-100)
• रिपोर्टों की संख्या

IP2Location

IP पतों के लिए वैकल्पिक जियोलोकेशन और ASN लुकअप स्रोत (डिफ़ॉल्ट IPWhois है)। प्राप्त करता है:

• जियोलोकेशन
• ASN और Org
• प्रॉक्सी (सही या गलत)

IP2Whois और IP2Location एक ही सेवा की अलग-अलग सुविधाएँ हैं, इसलिए आपको केवल एक बार साइन अप करना होगा। API कुंजी का उपयोग तब दोनों लुकअप के लिए किया जा सकता है।

IP2Whois

वैकल्पिक रूप से उपयोग किया जाता है यदि क्रेडेंशियल प्रदान किए गए हैं। प्राप्त करता है:

• Whois
  • डोमेन के बारे में विभिन्न whois डेटा

IP2Whois को whois डेटा के लिए Virustotal से बेहतर सुझाया जाता है, कुछ कारणों से:

• VT whois डेटा प्रारूप कम सुसंगत है
• IP2Whois का whois डेटा VT की तुलना में बेहतर गुणवत्ता का होता है। साथ ही, VT का रजिस्ट्रेंट डेटा स्पष्ट रूप से अनामीकृत है।
• IP2Whois पर स्थानांतरित करके आप एक VT API कॉल बचा सकते हैं।

IPinfo

IP पतों के लिए एक और वैकल्पिक जियोलोकेशन और ASN लुकअप स्रोत। प्राप्त करता है:

• जियोलोकेशन
• ASN और Org
• होस्टनाम
• Anycast (सही या गलत)

IPWhois

IP पतों के लिए डिफ़ॉल्ट जियोलोकेशन और ASN लुकअप स्रोत। प्राप्त करता है:

• जियोलोकेशन
• ASN, Org और ISP
• डोमेन

IPWhois को IP2Whois के साथ भ्रमित नहीं किया जाना चाहिए, जो डोमेन Whois डेटा प्रदान करता है।

Greynoise

Greynoise के community API का उपयोग करके, wtfis दिखाएगा कि कोई IP Greynoise के किसी एक डेटासेट में है या नहीं:

• Noise: IP नियमित रूप से इंटरनेट को स्कैन करते हुए देखा गया है
• RIOT: IP किसी सामान्य व्यावसायिक एप्लिकेशन से संबंधित है (जैसे Microsoft O365, Google Workspace, Slack)

डेटासेट के बारे में अधिक जानकारी यहाँ।

इसके अलावा, API किसी IP का Greynoise वर्गीकरण भी लौटाता है (यदि उपलब्ध हो)। संभावित मान benign, malicious और unknown हैं।

Shodan

/shodan/host/{ip} एंडपॉइंट से डेटा GET करता है (देखें doc)। प्रत्येक IP के लिए, प्राप्त करता है:

• खुले पोर्ट और सेवाओं की सूची
• ऑपरेटिंग सिस्टम (यदि उपलब्ध हो)
• टैग (Shodan द्वारा निर्दिष्ट)

URLhaus

URLhaus रिपोर्ट किए गए दुर्भावनापूर्ण URL का क्राउड-सोर्स्ड डेटाबेस है। यह एनरिचमेंट जानकारी देता है कि क्वेरी किया गया होस्टनाम या IP HTTP या HTTPS के माध्यम से मैलवेयर वितरण के लिए उपयोग किया जा रहा है या किया गया था। प्रदान किया गया डेटा शामिल है:

• वर्तमान में ऑनलाइन और कुल मैलवेयर URL की संख्या
• होस्टनाम या IP वर्तमान में DNSBL और SURBL सार्वजनिक ब्लॉकलिस्ट में है या नहीं
• URLhaus डेटाबेस में अपने इतिहास के दौरान URL को सौंपे गए सभी टैग

इंस्टॉल

$ pip install wtfis

conda (conda-forge से) के माध्यम से इंस्टॉल करने के लिए, wtfis-feedstock देखें।

brew के माध्यम से इंस्टॉल करने के लिए:

brew install wtfis

सेटअप

wtfis इन पर्यावरण चरों का उपयोग करता है (सभी वैकल्पिक):

• VT_API_KEY - Virustotal API कुंजी
• ABUSEIPDB_API_KEY - AbuseIPDB API कुंजी
• IP2LOCATION_API_KEY - IP2Location API कुंजी
• IP2WHOIS_API_KEY - IP2Whois API कुंजी
• GREYNOISE_API_KEY - Greynoise API कुंजी
• SHODAN_API_KEY - Shodan API कुंजी
• URLHAUS_API_KEY - URLhaus API कुंजी
• WTFIS_DEFAULTS - डिफ़ॉल्ट बूलियन तर्क
• GEOLOCATION_SERVICE - उपयोग करने के लिए जियोलोकेशन / ASN लुकअप सेवा

इन्हें अपनी स्वयं की विधि से सेट करें।

वैकल्पिक रूप से, अपनी होम डायरेक्टरी ~/.env.wtfis में उपरोक्त विकल्पों के साथ एक फ़ाइल बनाएँ। टेम्पलेट के लिए .env.wtfis.example देखें। नोट: फ़ाइल को chmod 400 करना न भूलें!

उपयोग

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP

options:
  -h, --help            show this help message and exit
  -A, --all             Enable all possible enrichments
  -s, --use-shodan      Use Shodan to enrich IPs
  -g, --use-greynoise   Enable Greynoise for IPs
  -a, --use-abuseipdb   Enable AbuseIPDB for IPs
  -u, --use-urlhaus     Enable URLhaus for IPs and domains
  -m N, --max-resolutions N
                        Maximum number of resolutions to show (default: 3)
  -n, --no-color        Show output without colors
  -1, --one-column      Display results in one column
  -V, --version         Print version number
  --geolocation-service {ip2location,ipinfo,ipwhois}
                        Geolocation service to use (default: ipwhois)

मूल रूप से:

$ wtfis FQDN_OR_DOMAIN_OR_IP

और आपको पैनल द्वारा व्यवस्थित परिणाम मिलेंगे, जैसा कि ऊपर की छवि में है।

Defanged इनपुट स्वीकार किया जाता है (जैसे api[.]google[.]com)।

यदि टर्मिनल समर्थन करता है, तो कुछ फ़ील्ड और हेडिंग क्लिक करने योग्य हाइपरलिंक होते हैं जो संबंधित सेवाओं की वेबसाइटों पर इंगित करते हैं।

सभी एनरिचमेंट