wtfis

Passive hostname, domain and IP lookup tool for non-robots

Che cos'è?

wtfis è uno strumento a riga di comando che raccoglie informazioni su un dominio, un FQDN o un indirizzo IP utilizzando vari servizi OSINT. A differenza di altri strumenti del suo genere, è costruito specificamente per il consumo umano, fornendo risultati gradevoli (il risultato può variare) e facili da leggere e comprendere.

Questo strumento presuppone che tu stia usando account di livello gratuito / community, e quindi effettua il minor numero possibile di chiamate API per ridurre al minimo il superamento di quote e limiti di frequenza.

Il nome del progetto è un gioco di parole su "whois".

Fonti dei dati

Servizio	Utilizzato per	Obbligatorio	Piano gratuito
Virustotal	Tutte	No	Sì
AbuseIPDB	Indirizzo IP	No	Sì
Greynoise	Indirizzo IP	No	Sì
IP2Location	Indirizzo IP	No	Sì
IP2Whois	Dominio/FQDN	No	Sì
IPinfo	Indirizzo IP	No	Sì (senza registrazione)
IPWhois	Indirizzo IP	No	Sì (senza registrazione)
Shodan	Indirizzo IP	No	No
URLhaus	Tutte	No	Sì

Virustotal

La fonte primaria di informazioni. Recupera:

• Hostname (FQDN), dominio o IP
  • Ultime statistiche di analisi con dettaglio dei vendor
  • Punteggio di reputazione (basato sui voti della community di VT)
  • Classifiche di popolarità (Alexa, Cisco Umbrella, ecc.) (solo FQDN e dominio)
  • Categorie (assegnate da diversi vendor)
• Risoluzioni (solo FQDN e dominio)
  • Ultimi n indirizzi IP (predefinito: 3, max: 10)
  • Ultime statistiche di analisi di ciascuno degli IP sopra elencati
• Whois
  • Solo fallback: se le credenziali IP2Whois non sono disponibili
  • Vari dati whois sul dominio stesso

AbuseIPDB

AbuseIPDB è un database collaborativo di indirizzi IP malevoli segnalati. Tramite la sua API wtfis mostra:

• Punteggio di confidenza dell'abuso (0-100)
• Numero di segnalazioni

IP2Location

Fonte alternativa per la geolocalizzazione e la ricerca ASN per gli indirizzi IP (il predefinito è IPWhois). Recupera:

• Geolocalizzazione
• ASN e Organizzazione
• Proxy (True o False)

IP2Whois e IP2Location sono funzionalità diverse dello stesso servizio, quindi devi registrarti una sola volta. La chiave API può poi essere utilizzata per entrambe le ricerche.

IP2Whois

Utilizzato opzionalmente se vengono fornite le credenziali. Recupera:

• Whois
  • Vari dati whois sul dominio stesso

IP2Whois è consigliato rispetto a Virustotal per i dati whois per un paio di motivi:

• Il formato dei dati whois di VT è meno coerente
• I dati whois di IP2Whois tendono ad essere di qualità migliore rispetto a quelli di VT. Inoltre, i dati del registrante di VT sono apparentemente anonimizzati.
• Puoi risparmiare una chiamata API VT delegando a IP2Whois.

IPinfo

Un'altra fonte alternativa per la geolocalizzazione e la ricerca ASN per gli indirizzi IP. Recupera:

• Geolocalizzazione
• ASN e Organizzazione
• Hostname
• Anycast (true o false)

IPWhois

Fonte predefinita per la geolocalizzazione e la ricerca ASN per gli indirizzi IP. Recupera:

• Geolocalizzazione
• ASN, Organizzazione e ISP
• Dominio

IPWhois non va confuso con IP2Whois, che fornisce dati whois per i domini.

Greynoise

Utilizzando la community API di Greynoise, wtfis mostrerà se un IP è presente in uno dei dataset di Greynoise:

• Noise: l'IP è stato visto scansionare regolarmente Internet
• RIOT: l'IP appartiene a una comune applicazione aziendale (es. Microsoft O365, Google Workspace, Slack)

Maggiori informazioni sui dataset qui.

Inoltre, l'API restituisce anche la classificazione di Greynoise per un IP (se disponibile). I valori possibili sono benign, malicious e unknown.

Shodan

Recupera dati dall'endpoint /shodan/host/{ip} (vedi documentazione). Per ogni IP, recupera:

• Elenco di porte aperte e servizi
• Sistema operativo (se disponibile)
• Tag (assegnati da Shodan)

URLhaus

URLhaus è un database collaborativo di URL malevoli segnalati. Questo arricchimento fornisce informazioni sul fatto che l'hostname o l'IP interrogato sia o sia stato utilizzato per la distribuzione di malware tramite HTTP o HTTPS. I dati forniti includono:

• Numero di URL malware attualmente online e totale
• Se l'hostname o l'IP è attualmente presente nelle blocklist pubbliche DNSBL e SURBL
• Tutti i tag assegnati all'URL nel corso della sua storia nel database di URLhaus

Installazione

$ pip install wtfis

Per installare tramite conda (da conda-forge), vedi wtfis-feedstock.

Per installare tramite brew:

brew install wtfis

Configurazione

wtfis utilizza queste variabili d'ambiente (tutte opzionali):

• VT_API_KEY - chiave API di Virustotal
• ABUSEIPDB_API_KEY - chiave API di AbuseIPDB
• IP2LOCATION_API_KEY - chiave API di IP2Location
• IP2WHOIS_API_KEY - chiave API di IP2Whois
• GREYNOISE_API_KEY - chiave API di Greynoise
• SHODAN_API_KEY - chiave API di Shodan
• URLHAUS_API_KEY - chiave API di URLhaus
• WTFIS_DEFAULTS - argomenti booleani predefiniti
• GEOLOCATION_SERVICE - servizio di geolocalizzazione / ricerca ASN da utilizzare

Impostale usando il tuo metodo preferito.

In alternativa, crea un file nella tua home directory ~/.env.wtfis con le opzioni sopra indicate. Vedi .env.wtfis.example per un modello. NOTA: non dimenticare di eseguire chmod 400 sul file!

Utilizzo

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP