threatexpress/domainhunterControlla i domini scaduti per categorizzazione/reputazione e cronologia di Archive.org per determinare buoni candidati per domini di phishing e C2
Autori Joe Vest (@joevest) & Andrew Chiles (@andrewchiles)
La selezione del nome di dominio è un aspetto importante nella preparazione per test di penetrazione e, in particolare, per gli impegni Red Team. Comunemente, domini utilizzati in precedenza per scopi benigni e adeguatamente categorizzati possono essere acquistati per pochi dollari. Tali domini possono consentire a un team di bypassare i filtri web basati sulla reputazione e le restrizioni di uscita di rete per attività di phishing e C2.
Questo strumento basato su Python è stato scritto per interrogare rapidamente il motore di ricerca Expireddomains.net alla ricerca di domini scaduti/disponibili con una precedente cronologia di utilizzo. Successivamente, interroga opzionalmente la reputazione del dominio presso servizi come Symantec Site Review (BlueCoat), IBM X-Force e Cisco Talos. L'output principale dello strumento è un report in stile tabella HTML con timestamp.
Vedi CHANGELOG per la cronologia degli aggiornamenti e le note di rilascio!
Installa i requisiti Python
pip3 install -r requirements.txt
Opzionale - Installa dipendenze aggiuntive per il supporto OCR
Debian/Ubuntu: apt-get install tesseract-ocr python3-pil
MAC OSX: brew install tesseract
pipenv --python 3.7
pipenv install
Opzionale - Installa dipendenze aggiuntive per il supporto OCR
apt-get install tesseract-ocr python3-pilCostruisci l'immagine
docker build -t domainhunter .
Eseguila con i tuoi argomenti
docker run -it domainhunter [args]
usage: domainhunter.py [-h] [-a] [-k KEYWORD] [-c] [-f FILENAME] [--ocr]
[-r MAXRESULTS] [-s SINGLE] [-t {0,1,2,3,4,5}]
[-w MAXWIDTH] [-V]
Finds expired domains, domain categorization, and Archive.org history to determine good candidates for C2 and phishing domains
optional arguments:
-h, --help show this help message and exit
-a, --alexa Filter results to Alexa listings
-k KEYWORD, --keyword KEYWORD
Keyword used to refine search results
-c, --check Perform domain reputation checks
-f FILENAME, --filename FILENAME
Specify input file of line delimited domain names to
check
--ocr Perform OCR on CAPTCHAs when challenged
-r MAXRESULTS, --maxresults MAXRESULTS
Number of results to return when querying latest
expired/deleted domains
-s SINGLE, --single SINGLE
Performs detailed reputation checks against a single
domain name/IP.
-t {0,1,2,3,4,5}, --timing {0,1,2,3,4,5}
Modifies request timing to avoid CAPTCHAs. Slowest(0)
= 90-120 seconds, Default(3) = 10-20 seconds,
Fastest(5) = no delay
-w MAXWIDTH, --maxwidth MAXWIDTH
Width of text table
-V, --version show program's version number and exit
Examples:
./domainhunter.py -k apples -c --ocr -t5
./domainhunter.py --check --ocr -t3
./domainhunter.py --single mydomain.com
./domainhunter.py --keyword tech --check --ocr --timing 5 --alexa
./domaihunter.py --filename inputlist.txt --ocr --timing 5
Usa i valori predefiniti per controllare i 100 domini più recenti e verificare la reputazione
python3 ./domainhunter.py
Cerca i 1000 domini più recentemente scaduti/cancellati, ma non controllare la reputazione
python3 ./domainhunter.py -r 1000
Esegui tutti i controlli di reputazione per un singolo dominio
python3 ./domainhunter.py -s mydomain.com
[*] Downloading malware domain list from http://mirror1.malwaredomains.com/files/justdomains
[*] Fetching domain reputation for: mydomain.com
[*] BlueCoat: mydomain.com
[+] mydomain.com: Technology/Internet
[*] IBM xForce: mydomain.com
[+] mydomain.com: Communication Services, Software as a Service, Cloud, (Score: 1)
[*] Cisco Talos: mydomain.com
[+] mydomain.com: Web Hosting (Score: Neutral)
Esegui tutti i controlli di reputazione per un elenco di domini alla massima velocità con OCR dei CAPTCHA
python3 ./domainhunter.py -f <domainslist.txt> -t 5 --ocr
Cerca domini disponibili con il termine chiave "dog", massimo 25 risultati, e controlla la reputazione
python3 ./domainhunter.py -k dog -r 25 -c
____ ___ __ __ _ ___ _ _ _ _ _ _ _ _ _____ _____ ____
| _ \ / _ \| \/ | / \ |_ _| \ | | | | | | | | | \ | |_ _| ____| _ \
| | | | | | | |\/| | / _ \ | || \| | | |_| | | | | \| | | | | _| | |_) |
| |_| | |_| | | | |/ ___ \ | || |\ | | _ | |_| | |\ | | | | |___| _ <
|____/ \___/|_| |_/_/ \_\___|_| \_| |_| |_|\___/|_| \_| |_| |_____|_| \_\
Expired Domains Reputation Checker
Authors: @joevest and @andrewchiles
DISCLAIMER: This is for educational purposes only!
It is designed to promote education and the improvement of computer/cyber security.
The authors or employers are not liable for any illegal act or misuse performed by any user of this tool.
If you plan to use this content for illegal purpose, don't. Have a nice day :)
[*] Downloading malware domain list from http://mirror1.malwaredomains.com/files/justdomains
[*] Fetching expired or deleted domains containing "dog"
[*] https://www.expireddomains.net/domain-name-search/?q=dog
[*] Performing domain reputation checks for 8 domains.
[*] BlueCoat: doginmysuitcase.com
[+] doginmysuitcase.com: Travel
[*] IBM xForce: doginmysuitcase.com
[+] doginmysuitcase.com: Not found.
[*] Cisco Talos: doginmysuitcase.com
[+] doginmysuitcase.com: Uncategorized