InfraHunter

Caccia attivamente alle infrastrutture degli attaccanti filtrando i risultati di Shodan con i dati di URLScan.

Requisiti

• Chiave API di Shodan
• Chiave API di URLScan
• python3 -m pip install -r requirements.txt

Esempi di utilizzo

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Query predefinite

Puoi usare query predefinite fornendo il loro nome con -q. Per elencare tutte le query predefinite, esegui python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

Puoi anche fornire un URL di un webhook Discord con -d, --discord. Questo invierà i risultati a quel webhook invece di aprirli in un browser.

Cosa faccio?

1. Cerca in Shodan con la query fornita da -q, --query
2. Per ogni combinazione di IP/porta/protocollo e dominio/porta/protocollo, inviala a URLScan
   • Se ha più porte aperte, tutte le porte verranno inviate
   • Invia URL http e https
   • Stesso processo per tutti i domini
3. Per ogni URLScan
   • Controlla se la pagina scansionata ha restituito un HTTP OK (200)
   • Controlla se è presente uno screenshot della pagina web nei risultati URLScan
   • Scarica l'immagine, calcola il suo SHA256 ed elimina l'immagine
   • Controlla lo SHA256 rispetto a un elenco di hash da escludere (questo elenco contiene elementi che ho ritenuto non dannosi, ma ho intenzione di creare un modo per bypassare questo controllo) (l'elenco esiste perché uso questo strumento per cacciare in modo programmato)
   • Per ogni risultato rimanente non escluso dal controllo hash, restituisci il risultato

Limitazione della frequenza API

Lo strumento è configurato per attendere 20 secondi tra le sottomissioni a URLScan per essere gentile. Di default usa scansioni pubbliche, questo può essere modificato con --scan-type.