InfraHunter

Shodan 결과를 URLScan 데이터로 필터링하여 공격자 인프라를 능동적으로 사냥합니다.

요구 사항

• Shodan API 키
• URLScan API 키
• python3 -m pip install -r requirements.txt

사용 예시

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

내장 쿼리

-q에 이름을 지정하여 미리 만들어진 쿼리를 사용할 수 있습니다. 모든 내장 쿼리를 나열하려면 python .\hunter.py -l을 실행하세요.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

-d, --discord로 Discord 웹훅 URL을 제공할 수도 있습니다. 그러면 결과가 브라우저에서 열리는 대신 해당 웹훅으로 전송됩니다.

어떻게 동작하나요?

1. -q, --query로 제공된 쿼리로 Shodan을 검색합니다.
2. IP/포트/프로토콜 및 도메인/포트/프로토콜의 각 조합을 URLScan에 제출합니다.
   • 여러 개의 열린 포트가 있으면 모든 포트가 제출됩니다.
   • http 및 https URL을 제출합니다.
   • 모든 도메인에 대해 동일한 프로세스가 진행됩니다.
3. 각 URLScan에 대해:
   • 스캔된 페이지가 HTTP OK(200)를 반환했는지 확인합니다.
   • URLScan 결과에 웹 페이지 스크린샷이 있는지 확인합니다.
   • 이미지를 다운로드하고 SHA256을 계산한 다음 이미지를 삭제합니다.
   • SHA256을 제외할 해시 목록과 대조합니다. (이 목록은 제가 비악성으로 판단한 것들로, 추후 이 검사를 우회할 방법을 만들 계획입니다.) (제가 이 도구를 일정에 맞춰 사냥에 사용하기 때문에 이 목록이 존재합니다.)
   • 해시 검사에서 제외되지 않은 각각의 남은 결과를 반환합니다.

API 속도 제한

URLScan 제출 사이에 20초간 대기하도록 하드코딩되어 있어 부하를 줄입니다. 기본적으로 공개 스캔을 사용하며, --scan-type으로 변경할 수 있습니다.