VHosts Sieve

名前解決できないドメインからバーチャルホストを検索します。

インストール

git clone https://github.com/dariusztytko/vhosts-sieve.git
pip3 install -r vhosts-sieve/requirements.txt

使用方法

サブドメインのリストを取得します（例：Amassを使用）

$ amass enum -v -passive -o domains.txt -d example.com -d example-related.com

vhosts-sieve.pyを使用してバーチャルホストを見つけます

$ python3 vhosts-sieve.py -d domains.txt -o vhosts.txt
Logs dir: None
Max domains to resolve: -1
Max IPs to scan: -1
Max vhost candidates to check: -1
Ports to scan: [80, 443, 8000, 8008, 8080, 8443]
SNI enabled: False
Threads number: 16
Timeout HTTP: 5.0s
Timeout TCP: 3.0s
Verbose: False
User agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:68.0) Gecko/20100101 Firefox/68.0

Resolving 12 domains...

Scanning 1 IPs...

Finding vhosts (active IPs: 1, vhost candidates: 7)...

Saved results (4 vhosts)

出力ファイルには、発見されたバーチャルホストが次の形式で含まれています。

165.22.264.81 80 http False zxcv.example.com 301
165.22.264.81 443 https False zxcv.example.com 200 dev.example.com 200 admin.example.com 401

各行には以下の情報が含まれています：

• IPアドレス
• ポート番号
• 検出されたプロトコル（HTTPまたはHTTPS）
• "Stopped"フラグ（動作の仕組みを参照）
• 発見されたバーチャルホストのリスト（応答ステータスコード付き）

ログ

発見されたバーチャルホストの応答をログに記録できます（-l, --logs-dir オプション）。

動作の仕組み

バーチャルホストを発見するために、以下の手順が実行されます：

1. 入力ファイルのドメインがIPアドレス（IPv4）に解決されます。
2. 解決結果に応じて、ドメインは2つのグループに分けられます：
   • 解決されたドメイン
   • 未解決のドメイン（バーチャルホスト候補）
3. 解決されたドメインのIPアドレスに対して、Webポート（デフォルト：80, 443, 8000, 8008, 8080, 8443）のスキャンが実行されます。
4. 各オープンポートでバーチャルホスト候補が検証されます。

バーチャルホスト候補の検証

バーチャルホスト候補の検証は以下のように実行されます：

1. ランダムな（無効な）バーチャルホスト（Hostヘッダ）を含むリクエストが送信されます。
2. 応答が参照として保存されます。
3. バーチャルホスト候補の応答が参照応答と比較されます。
   • 応答が「類似」している場合、バーチャルホスト候補はスキップされます。
   • それ以外（応答が「類似」していない場合）は、バーチャルホスト候補は有効なバーチャルホストとしてマークされます。
4. 成功率を高めるために、以下の追加ヘッダが送信されます：
   • X-Forwarded-For: 127.0.0.1
   • X-Originating-IP: [127.0.0.1]
   • X-Remote-IP: 127.0.0.1
   • X-Remote-Addr: 127.0.0.1
5. さらに、あまりにも多くの有効なバーチャルホストが発見された場合（例：任意のサブドメインが有効）、検証は停止され、結果は「Stopped」とマークされます。

応答ステータスコードは考慮されないことに注意してください。主な前提として、参照応答以外のすべては詳細に分析する価値があるとみなされます。4xxや5xxの応答であってもです。

SNI

HTTPSプロトコルの場合、HostヘッダとSNI（TLS拡張）を介してバーチャルホスト候補名を送信すると便利な場合があります。これにより、設定が不十分なSNIプロキシを通過できる可能性があります。SNIモードを有効にするには、--enable-sni オプションを使用してください。

最適化

数千のサブドメインを持つ大規模なネットワークでは、すべてのバーチャルホスト候補をチェックするのに何時間もかかる場合があります。以下のオプションを使用して処理を高速化できます：

• デフォルトのスキャンポート（80, 443, 8000, 8008, 8080, 8443）を制限できます。例：443のみ（-p, --ports-to-scan）
• スレッド数を増やすことができます（-t, --threads-number）
• 解決するドメイン数を制限できます（--max-domains）
• スキャンするIPアドレス数を制限できます（--max-ips）
• チェックするバーチャルホスト候補数を制限できます（--max-vhost-candidates）
• タイムアウトを短縮できます（--timeout-tcp, --timeout-http）

さらに、結果を継続的に確認するには、-v（詳細表示）オプションを使用することをお勧めします。

変更履歴

CHANGELOG を参照してください。