InfraHunter

URLScan のデータで Shodan の結果をフィルタリングして、攻撃者のインフラストラクチャを能動的にハントします。

必要条件

• Shodan API キー
• URLScan API キー
• python3 -m pip install -r requirements.txt

使用例

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

組み込みクエリ

-q に名前を指定することで、あらかじめ構築されたクエリを使用できます。組み込みクエリの一覧を表示するには、python .\hunter.py -l を実行してください。

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

-d, --discord で Discord ウェブフックの URL を指定することもできます。これにより、結果をブラウザで開く代わりに、そのウェブフックに送信します。

何をするのか?

1. -q, --query で指定したクエリを使用して Shodan を検索する
2. IP/ポート/プロトコルとドメイン/ポート/プロトコルの各組み合わせを URLScan に提出する
   • 複数のポートが開いている場合は、すべてのポートが提出されます
   • http および https の URL を提出します
   • すべてのドメインに対して同じ処理を行います
3. 各 URLScan について
   • スキャンされたページが HTTP OK (200) を返したかどうかを確認する
   • URLScan の結果に Web ページのスクリーンショットがあるかどうかを確認する
   • 画像をダウンロードし、その SHA256 を計算して、画像を削除する
   • SHA256 を除外するハッシュのリストと照合する (このリストは、私が非悪性と判断したものですが、いずれこのチェックを回避する方法を作る予定です) (このリストは、このツールをスケジュールに従ってハンティングに使用しているため存在します)
   • ハッシュチェックで除外されなかった残りの各結果を返す

API レート制限

このツールは、URLScan への提出の間に20秒間スリープするようにハードコードされています。デフォルトではパブリックスキャンを使用しますが、これは --scan-type で変更できます。