VHosts Sieve

Ricerca di host virtuali tra domini non risolvibili.

Installazione

git clone https://github.com/dariusztytko/vhosts-sieve.git
pip3 install -r vhosts-sieve/requirements.txt

Utilizzo

Ottieni un elenco di sottodomini (ad es. usando Amass)

$ amass enum -v -passive -o domains.txt -d example.com -d example-related.com

Usa vhosts-sieve.py per trovare host virtuali

$ python3 vhosts-sieve.py -d domains.txt -o vhosts.txt
Logs dir: None
Max domains to resolve: -1
Max IPs to scan: -1
Max vhost candidates to check: -1
Ports to scan: [80, 443, 8000, 8008, 8080, 8443]
SNI enabled: False
Threads number: 16
Timeout HTTP: 5.0s
Timeout TCP: 3.0s
Verbose: False
User agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:68.0) Gecko/20100101 Firefox/68.0

Resolving 12 domains...

Scanning 1 IPs...

Finding vhosts (active IPs: 1, vhost candidates: 7)...

Saved results (4 vhosts)

Il file di output contiene gli host virtuali scoperti nel seguente formato

165.22.264.81 80 http False zxcv.example.com 301
165.22.264.81 443 https False zxcv.example.com 200 dev.example.com 200 admin.example.com 401

Ogni riga contiene le seguenti informazioni:

• Indirizzo IP
• Numero di porta
• Protocollo rilevato (HTTP o HTTPS)
• Flag "Stopped" (vedere Come funziona)
• Elenco degli host virtuali scoperti (con il codice di stato della risposta)

Log

Le risposte degli host virtuali scoperti possono essere registrate (opzione -l, --logs-dir).

Come funziona

Per scoprire host virtuali, vengono eseguiti i seguenti passaggi:

1. I domini dal file di input vengono risolti in indirizzi IP (IPv4)
2. In base al risultato della risoluzione, i domini vengono divisi in due gruppi:
   • Domini risolti
   • Domini non risolti (candidati host virtuali)
3. Gli indirizzi IP dei domini risolti vengono scansionati per le porte web (predefinite: 80, 443, 8000, 8008, 8080, 8443)
4. I candidati host virtuali vengono validati su ogni porta aperta

Validazione dei candidati host virtuali

La validazione dei candidati host virtuali viene eseguita come segue:

1. Viene inviata una richiesta con un host virtuale casuale (non valido) (intestazione Host)
2. La risposta viene salvata come riferimento
3. Le risposte per i candidati host virtuali vengono confrontate con la risposta di riferimento
   • Se la risposta è "simile", il candidato host virtuale viene saltato
   • Altrimenti (la risposta non è "simile"), il candidato host virtuale viene contrassegnato come host virtuale valido
4. Per aumentare le possibilità di successo, vengono inviate le seguenti intestazioni aggiuntive:
   • X-Forwarded-For: 127.0.0.1
   • X-Originating-IP: [127.0.0.1]
   • X-Remote-IP: 127.0.0.1
   • X-Remote-Addr: 127.0.0.1
5. Inoltre, se vengono scoperti troppi host virtuali validi (ad esempio, qualsiasi sottodominio è valido), la validazione viene interrotta e il risultato viene contrassegnato come "Stopped"

Si noti che il codice di stato della risposta non viene preso in considerazione. L'assunzione principale è che tutto ciò che è diverso dalla risposta di riferimento meriti un'analisi dettagliata. Anche le risposte 4xx e 5xx.

SNI

Per il protocollo HTTPS, può essere utile inviare il nome del candidato host virtuale tramite l'intestazione Host e SNI (estensione TLS). Ciò può consentire di superare proxy SNI mal configurati. Utilizzare l'opzione --enable-sni per abilitare la modalità SNI.

Ottimizzazione

Per reti di grandi dimensioni con migliaia di sottodomini, potrebbero essere necessarie molte ore per controllare tutti i candidati host virtuali. È possibile utilizzare le seguenti opzioni per accelerare il processo:

• Le porte scansionate predefinite 80, 443, 8000, 8008, 8080, 8443 possono essere limitate, ad esempio solo 443 (-p, --ports-to-scan)
• Il numero di thread può essere aumentato (-t, --threads-number)
• Il numero di domini da risolvere può essere limitato (--max-domains)
• Il numero di indirizzi IP da scansionare può essere limitato (--max-ips)
• Il numero di candidati host virtuali da controllare può essere limitato (--max-vhost-candidates)
• I timeout possono essere ridotti (--timeout-tcp, --timeout-http)

Inoltre, si consiglia di utilizzare l'opzione -v (verbosità) per vedere i risultati in modo continuo.

Modifiche

Si veda il CHANGELOG