Subdosec

서브도메인 탈취 스캐너 및 정찰 도구.

Subdosec는 거짓 양성(false positive)이 없는 빠르고 정확한 서브도메인 탈취 스캐너입니다. 취약한 서브도메인의 공개 데이터베이스와 정찰을 위한 상세한 비취약 메타데이터(IP, CNAME, 제목, 상태 코드)를 제공합니다.

설치

subdosec 설치 또는 업그레이드

pipx install git+https://github.com/xcapri/subdosec.git

pipx upgrade subdosec

그런 다음 새 터미널 세션을 시작할 때마다 다음을 실행하세요 (서버가 성공적으로 시작될 때까지).

$ subdosec -ins

Starting Node.js server...
Node.js server started successfully.

subdosec 실행

[경고] test.txt에 있는 모든 서브도메인을 탈취하지 마세요. 모든 사람이 데모에 사용할 수 있도록 하세요.

[정보] 릴리스 섹션도 확인하세요. 흥미로운 정보를 찾을 수 있습니다.

$ subdosec -h

전체 도움말 플래그 펼치기

   _____       __        __
  / ___/__  __/ /_  ____/ /___  ________  _____
  \__ \/ / / / __ \/ __  / __ \/ ___/ _ \/ ___/
 ___/ / /_/ / /_/ / /_/ / /_/ (__  )  __/ /__
/____/\__,_/_.___/\__,_/\____/____/\___/\___/



usage: subdosec [-h] [-mode {private,public}] [-initkey INITKEY] [-vo] [-pe] [-ins] [-pf PF] [-subfng SUBFNG] [-lf LF] [-sfid] [-ks] [-o O] [-su] [-lu LU] [-lm] [-uf] [-unai UNAI] [-v] [-t THREADS]

Subdomain takeover scanner.

options:
  -h, --help            show this help message and exit
  -mode {private,public}
                        Mode of operation (private/public)
  -initkey INITKEY      Initialize the API key
  -vo                   VULN Only: Hide UNDETECT messages
  -pe                   Print Error: When there are problems detecting your target
  -ins                  Prepar node & start server
  -pf PF                Private Fingerprint: uses your local fingerprint. Example: -pf /path/to/tko.json
  -subfng SUBFNG        Submit fingerprint: submit local fingerprint to admin. Example: -subfng localfinger.json
  -lf LF                Fingerprint lock: to focus on one or multiple fingerprints. (-lf github.io,surge.sh) and leave this arg to scan all fingerprints
  -sfid                 To view all available fingerprint ids.
  -ks                   To shut down the server node if you want to not use subdosec for a long time.
  -o O                  Save result locally to the specified path. Example: -o /path/to/dir
  -su                   Skip undetect will not stored to server (https://subdosec.vulnshot.com/result/undetected)
  -lu LU                Undetec stored localy to the specified path. Example: -lu /path/to/dir
  -lm                   Local Mode: Save vuln and undetect to default inside tools directory (auto -su)
  -uf                   Update Fingerprint
  -unai UNAI            Analyze undetected subdomains using AI. Example: -unai /path/to/undetect.json
  -v, --verbose         Show progress count (e.g. [1/10])
  -t THREADS, --threads THREADS
                        Number of threads to use for scanning (default: 10)

기본 명령어

목록 준비

프로토콜 없이 지원

cat list 

https://careers.rotacloud.com
http://creators.thinkorion.com
https://docs.polygon-nightfall.technology
a.anchorsawaytpt.com
help.oceges.com

CMD 1

서버에 저장된 미감지 항목을 건너뛰고 로컬에 저장

cat test.txt | subdosec -lm

https://subdosec.vulnshot.com [UNDETECT]
http://feedback.bazoom.com [sleekplan.com] [VULN] [SAVED]
http://demodev.destinojet.co [meteor.com] [VULN] [SAVED]
http://creators.thinkorion.com [UNDETECT]
https://www.www.savillerow.status.lnt.cl [ohdear.app] [VULN] [SAVED]
https://careers.rotacloud.com [gohire.io] [VULN] [SAVED]
https://careers.rotacloud.com [gohire.io] [VULN] [SAVED]
https://ai.yooture.com [UNDETECT]
https://help.oceges.com [UNDETECT]
http://ftp.thiagolima.com [surge.sh] [VULN] [SAVED]


VULN DIRECTORY  : /home/alice/.subdosec/vulns
UNDETECT FILE   : /home/alice/.subdosec/undetect/undetect.json

출력 읽기

~$ ls /home/alice/.subdosec/vulns
gohire.io_tko.txt  meteor.com_tko.txt  ohdear.app_tko.txt  sleekplan.com_tko.txt  surge.sh_tko.txt
~$ cat /home/alice/.subdosec/vulns/gohire.io_tko.txt
careers.rotacloud.com

미감지 항목을 읽고 -unai로 자동 분석하여 새로운 잠재적 취약점 분석

cat /home/alice/.subdosec/undetect/undetect.json
[
    {
        "title": "No title found",
        "status_code": 404,
        "redirect_url": "No redirects",
        "cname_records": [
            "cname.redacted.com"
        ],
        "a_records": [
            "76.76.21.98",
            "76.76.21.241"
        ],
        "subdomain": "try.redacted.com",
        "rootdomain": "redacted.com"
    },
    {
        "title": "No title found",
        "status_code": 200,
        "redirect_url": "No redirects",
        "cname_records": [
            "cname.fermat.shop"
        ],
        "a_records": [
            "216.150.16.129",
            "216.150.1.129"
        ],
        "subdomain": "get.redacted.com",
        "rootdomain": "redacted.com"
    }
]

subdosec -unai /home/pd/.subdosec/undetect/undetect.json

[INFO] PURE UNDETECTED 0 | Subdomains are not detected as vulnerable even though they have passed the subdosec scan..

[INFO] Analyzing 8 items in 2 batches.

[INFO] Progress: 5/8 data analyzed.

NEW POTENTIAL :


Domain     : try.redacted.com
  CNAME    : cname.redacted-service.com
  A Record : 76.76.21.98, 76.76.21.241
  Takeover : NOT
  Reason   : The redacted-service custom domain setup guide explicitly states the requirement of adding a TXT record (e.g., 'redacted-service-verification=<your_site_id>') for domain ownership verification. The presence of a TXT record verification step makes it not vulnerable.
  Reference: https://www.redacted-service.com/blog/how-to-setup-custom-domain/
================================================================================
Domain     : get.redacted.com
  CNAME    : cname.fermat.shop
  A Record : 216.150.16.129, 216.150.1.129
  Takeover : POSSIBLE
  Reason   : The service uses a static CNAME (cname.fermat.shop) for custom domain setup. Publicly available documentation for Fermat's custom domain setup does not clearly specify a requirement for a TXT record or any dynamic verification method for domain ownership. Without such verification, a static CNAME makes the subdomain potentially vulnerable if the corresponding Fermat account is deleted or becomes unlinked.
  Reference: https://fermat.shop/
================================================================================

CMD 2

루트 도메인 사용 및 파이프라인 서브도메인 파인더 도구(subfinder, assetfinder, amass 등) 활용

cat list
example.com

cat list | subfinder -silent | subdosec -lm

https://subdosec.vulnshot.com [UNDETECT]
http://feedback.bazoom.com [sleekplan.com] [VULN] [SAVED]
http://demodev.destinojet.co [meteor.com] [VULN] [SAVED]
http://creators.thinkorion.com [UNDETECT]
https://www.www.savillerow.status.lnt.cl [ohdear.app] [VULN] [SAVED]
https://careers.rotacloud.com [gohire.io] [VULN] [SAVED]
https://careers.rotacloud.com [gohire.io] [VULN] [SAVED]
https://ai.yooture.com [UNDETECT]
https://help.oceges.com [UNDETECT]
http://ftp.thiagolima.com [surge.sh] [VULN] [SAVED]


VULN DIRECTORY  : /home/alice/.subdosec/vulns
UNDETECT FILE   : /home/alice/.subdosec/undetect/undetect.json

CMD 3

(결과를 notify로 전달)

cat list | subdosec -lm -vo | notify -silent 

https://careers.rotacloud.com [100.00%] [gohire.io] [VULN] [SAVED]

CMD 4

개인 지문 사용, 이 플래그는 공개 + 개인 지문을 자동으로 병합합니다.

전체 도움말 플래그 펼치기

cat priv8.json

{
  "fingerprints": [
    {
      "fid": 0,
      "name": "Subdomain takeover - Pagedeck",
      "rules": {
        "cname": "cname.pagedeck.com",
        "status_code": "404",
"in_body":"This page could not be found."
      },
      "status_fingerprint": 0,
      "reference": "https://docs.pagedeck.com/getting-started/connecting-a-subdomain",
      "service": "pagedeck.com",
      "logo_service": "https://i.ytimg.com/vi/DY76Tjf1m-8/maxresdefault.jpg"
    },
    add more
]}

 echo try.hugsleep.com | subdosec -pf privfinger.json  -o testpriv -lu okgaslu
   _____       __        __
  / ___/__  __/ /_  ____/ /___  ________  _____
  \__ \/ / / / __ \/ __  / __ \/ ___/ _ \/ ___/
 ___/ / /_/ / /_/ / /_/ / /_/ (__  )  __/ /__
/____/\__,_/_.___/\__,_/\____/____/\___/\___/



https://try.hugsleep.com [pagedeck.com] [VULN] [SAVED]


VULN DIRECTORY  : /home/pd/tko/testpriv
UNDETECT FILE   : /home/pd/tko/okgaslu/undetect.json

웹 기반

subdosec 웹의 기능을 알면, 여기서 https://subdosec.vulnshot.com/result/undetected 기능을 정찰 용도로 사용할 수 있습니다. IP, CNAME, TITLE, STATUS CODE 등을 추가 정보로 확인하거나 새로운 탈취 서브도메인을 찾는 데 활용할 수 있습니다.

undetect.json과 동일한 기능이지만, 다른 사람들과 공유한다는 점이 다릅니다.

예를 들어 subdosec가 취약하다고 감지하지 않은 사이트를 404 키워드로 검색한 경우, cname.gohire.io 및 GoHire 제목이라는 정보를 얻을 수 있습니다. Google에서 검색해 보면 gohire 서비스의 서브도메인 탈취에 대한 기사 정보가 없습니다.

미감지 샘플

기여

새로운 서브도메인 탈취를 수동 또는 자동(-unai 사용)으로 발견한 후, subdosec -subfng 명령어를 사용하여 데이터를 제출할 수 있습니다.

동적으로 규칙에 다음 요소를 사용할 수 있습니다:

title, cname, status_code, in_body, a_record, redirect

cat newvuln.json
{
  "name": "Subdomain takeover - GoHire",
  "rules": {
    "cname": "custom.gohire.io",
    "in_body": "Page not found",
    "status_code": "404"
  },
  "status_fingerprint": 0,
  "reference": "https://help.gohire.io/en/articles/3385288-setting-up-a-custom-domain",
  "service": "gohire.io",
  "logo_service": "https://gohire-website.s3.amazonaws.com/img/logos/gh-logo-main.gif"
}

subdosec -subfng newvuln.json

[Info] Submitting fingerprint ...

Imported fingerprint data successfully

온라인 스캔

보안 배경이 없는 사람, 예를 들어 웹 개발자/프로그래머이며 CLI 도구에 익숙하지 않은 경우, 웹 버전을 사용하여 최대 10개의 서브도메인을 스캔할 수 있습니다.

온라인 스캔

감사의 말

subdosec 도구 제작에 영감을 준 선행 도구들.

can-i-take-over-xyz
can-i-take-over-dns
SubOver
subjack
nuclei-templates/http/takeovers
영감과 피드백을 주신 버그 바운티 커뮤니티.

_{subdosec 는 MIT 라이선스 하에 배포됩니다.}

subdosec

인기

설치

subdosec 실행

기본 명령어

웹 기반

기여

온라인 스캔

감사의 말