ip-obfuscation

IP Obfuscator

Un toolkit per il security testing finalizzato alla generazione di indirizzi IP e URL offuscati. Utile per penetration testing, security research, formazione sulla consapevolezza del phishing e test di parser/filtri URL.

Panoramica

Questo toolkit fornisce due interfacce:

• ip_obfuscator.html - GUI basata sul web per un utilizzo interattivo
• ip_obfuscator.py - Strumento da riga di comando per scripting e automazione

Entrambi gli strumenti generano le stesse tecniche di offuscamento, tra cui:

• Formati DWORD/Integer (decimale, esadecimale, ottale)
• Varianti della notazione puntata (esadecimale, ottale, basi miste)
• Indirizzi mappati IPv6
• Trucchi sull'authority dell'URL (dominio falso con @)
• Notazione abbreviata Classe B/C
• Tecniche di overflow
• Varianti di codifica URL

Interfaccia Web (ip_obfuscator.html)

Apri ip_obfuscator.html in qualsiasi browser moderno. Non è richiesto alcun server.

Funzionalità

• Toggle HTTPS - Passa tra i protocolli HTTP e HTTPS
• Filtro/Ricerca - Filtraggio dei risultati in tempo reale per parola chiave
• Esportazione - Scarica i risultati in formato JSON o CSV
• Test nel Browser - Apri qualsiasi URL generato in una nuova scheda
• Categorie comprimibili - Clicca sulle intestazioni per espandere/comprimere le sezioni
• Analisi delle Security Zone - Visualizza quali formati attivano la Windows Intranet Zone

Flusso di lavoro con screenshot

1. Inserisci l'indirizzo IP di destinazione (es. 192.168.1.100)
2. Imposta il dominio falso per il trucco @ (es. secure.bank.com)
3. Configura il percorso e la porta secondo necessità
4. Attiva HTTPS se necessario
5. Clicca su "Generate Obfuscations"
6. Usa le schede per passare tra URL, Formati IP e Security Zone
7. Clicca su qualsiasi risultato per copiarlo, oppure usa "Test in Browser"

Strumento da Riga di Comando (ip_obfuscator.py)

Requisiti

• Python 3.6+
• Nessuna dipendenza esterna (utilizza solo la libreria standard)

Utilizzo di base

# Show all obfuscation formats for an IP
python3 ip_obfuscator.py 192.168.1.100

# Generate obfuscated URLs
python3 ip_obfuscator.py 192.168.1.100 --url

# With fake domain and path
python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Opzioni della riga di comando

Opzione	Abbreviazione	Descrizione
--url	-u	Genera URL completi invece dei soli formati IP
--fake-domain	-f	Dominio falso per il trucco @ (predefinito: google.com)
--fake-pass	-w	Password fittizia per il formato user:pass@host
--path	-p	Percorso URL (predefinito: /)
--port	-P	Numero di porta
--https	-s	Usa HTTPS invece di HTTP
--json	-j	Output in formato JSON
--filter	-F	Filtra i risultati per parola chiave
--list	-l	Output in elenco compatto (solo valori)
--zones	-z	Analizza le implicazioni per le Windows security zone
--decode	-d	Decodifica un IP offuscato riportandolo alla forma standard

Esempi

Generare URL con dominio falso

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Output:

================================================================================
OBFUSCATED URL GENERATOR
================================================================================
  Target IP:     192.168.1.100
  Fake Domain:   secure.bank.com
  Fake Password: (none)
  Port:          (default)
  Path:          /login
  Protocol:      HTTP
================================================================================

DWORD/INTEGER FORMATS
--------------------------------------------------------------------------------

  Standard (no obfuscation):
  http://192.168.1.100/login

  Decimal DWORD:
  http://3232235876/login

  Hex DWORD:
  http://0xC0A80164/login

  Octal DWORD:
  http://030052000544/login

...

Filtrare i risultati con output JSON

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --filter "fake auth" --json

Output:

{
  "Fake Auth + Decimal DWORD": "http://secure.bank.com@3232235876/",
  "Fake Auth + Hex DWORD": "http://secure.bank.com@0xc0a80164/",
  "Fake Auth + Octal DWORD": "http://secure.bank.com@030052000544/",
  "Fake Auth + Dotted Hex": "http://[email protected]/",
  "Fake Auth + Dotted Octal": "http://[email protected]/",
  "Fake Auth + IPv6 Mapped (hex)": "http://secure.bank.com@[::ffff:c0a8:164]/",
  "Fake Auth + IPv6 Mapped (decimal)": "http://secure.bank.com@[::ffff:192.168.1.100]/",
  "Fake Auth + IPv6 Mapped (full)": "http://secure.bank.com@[0000:0000:0000:0000:0000:ffff:c0a8:0164]/",
  "Fake Auth + Class B": "http://[email protected]/",
  "Fake Auth + Class C": "http://[email protected]/"
}

Generare URL HTTPS

python3 ip_obfuscator.py 192.168.1.100 --url --https --filter ipv6

Elencare solo i formati IPv6

python3 ip_obfuscator.py 192.168.1.100 --list --filter ipv6

Output:

All obfuscated forms of 192.168.1.100:

  ::ffff:192.168.1.100
  ::ffff:c0a8:164
  0000:0000:0000:0000:0000:ffff:c0a8:0164
  0:0:0:0:0:ffff:c0a8:164
  ::ffff:c0a80164
  ::192.168.1.100
  ::c0a8:164
  [::ffff:c0a8:164]
  [::ffff:192.168.1.100]
  [0000:0000:0000:0000:0000:ffff:c0a8:0164]

Decodificare URL offuscati

python3 ip_obfuscator.py --decode "http://secure.bank.com@3232235876/login"

Output:

Input:   http://secure.bank.com@3232235876/login
Decoded: 192.168.1.100

Analisi delle Security Zone

python3 ip_obfuscator.py 192.168.1.100 --zones

Output:

================================================================================
MICROSOFT SECURITY ZONES ANALYSIS
================================================================================

The 'Dot Rule' (PlainHostName rule):
  • Hostname WITHOUT dots → Local Intranet Zone
  • Hostname WITH dots    → Internet Zone

⚠️  SECURITY IMPACT of Intranet Zone:
  • Automatic NTLM/Kerberos credential release (credential theft!)
  • Less restrictive ActiveX/script policies
  • May bypass security prompts and Mark-of-the-Web

================================================================================
Target IP: 192.168.1.100
================================================================================

🔴 DOTLESS → LOCAL INTRANET ZONE (HIGH RISK - credential leak)
--------------------------------------------------------------------------------
  Decimal DWORD
    URL: http://3232235876/
    Note: CONFIRMED: MS98-016 specifically documents this as Intranet Zone bypass

  Hex DWORD (0x prefix)
    URL: http://0xC0A80164/
    Note: CONFIRMED: Numeric hostname without dots → Intranet Zone

  Octal DWORD
    URL: http://030052000544/
    Note: Octal integer without dots → Intranet Zone

🟢 DOTTED → INTERNET ZONE (normal security)
--------------------------------------------------------------------------------
  Standard Dotted Decimal
    URL: http://192.168.1.100/

  Dotted Hex
    URL: http://0xC0.0xA8.0x1.0x64/
...

Riferimento sulle tecniche di offuscamento