VHosts Sieve

Procurando por hosts virtuais entre domínios não resolvíveis.

Instalação

git clone https://github.com/dariusztytko/vhosts-sieve.git
pip3 install -r vhosts-sieve/requirements.txt

Uso

Obtenha uma lista de subdomínios (ex.: usando Amass)

$ amass enum -v -passive -o domains.txt -d example.com -d example-related.com

Use vhosts-sieve.py para encontrar hosts virtuais

$ python3 vhosts-sieve.py -d domains.txt -o vhosts.txt
Logs dir: None
Max domains to resolve: -1
Max IPs to scan: -1
Max vhost candidates to check: -1
Ports to scan: [80, 443, 8000, 8008, 8080, 8443]
SNI enabled: False
Threads number: 16
Timeout HTTP: 5.0s
Timeout TCP: 3.0s
Verbose: False
User agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:68.0) Gecko/20100101 Firefox/68.0

Resolving 12 domains...

Scanning 1 IPs...

Finding vhosts (active IPs: 1, vhost candidates: 7)...

Saved results (4 vhosts)

O arquivo de saída contém os hosts virtuais descobertos no seguinte formato

165.22.264.81 80 http False zxcv.example.com 301
165.22.264.81 443 https False zxcv.example.com 200 dev.example.com 200 admin.example.com 401

Cada linha contém as seguintes informações:

• Endereço IP
• Número da porta
• Protocolo detectado (HTTP ou HTTPS)
• Bandeira "Stopped" (veja Como funciona)
• Lista de hosts virtuais descobertos (com o código de status da resposta)

Logs

As respostas dos hosts virtuais descobertos podem ser registradas (opção -l, --logs-dir).

Como funciona

Para descobrir hosts virtuais, as seguintes etapas são executadas:

1. Os domínios do arquivo de entrada são resolvidos para endereços IP (IPv4)
2. Dependendo do resultado da resolução, os domínios são divididos em dois grupos:
   • Domínios resolvidos
   • Domínios não resolvidos (candidatos a host virtual)
3. Os endereços IP dos domínios resolvidos são escaneados nas portas web (padrão: 80, 443, 8000, 8008, 8080, 8443)
4. Os candidatos a host virtual são validados em cada porta aberta

Validação de candidatos a host virtual

A validação de candidatos a host virtual é realizada da seguinte forma:

1. Uma requisição com o host virtual aleatório (inválido) (cabeçalho Host) é enviada
2. A resposta é salva como referência
3. As respostas para candidatos a host virtual são comparadas com a resposta de referência
   • Se a resposta for "semelhante", o candidato a host virtual é ignorado
   • Caso contrário (a resposta não é "semelhante"), o candidato a host virtual é marcado como um host virtual válido
4. Para aumentar a chance de sucesso, os seguintes cabeçalhos extras são enviados:
   • X-Forwarded-For: 127.0.0.1
   • X-Originating-IP: [127.0.0.1]
   • X-Remote-IP: 127.0.0.1
   • X-Remote-Addr: 127.0.0.1
5. Adicionalmente, se muitos hosts virtuais válidos são descobertos (ex.: qualquer subdomínio é válido), a validação é interrompida e o resultado é marcado como "Stopped"

Observe que o código de status da resposta não é levado em consideração. A principal suposição é que tudo que não seja a resposta de referência vale a pena ser analisado em detalhes. Mesmo respostas 4xx e 5xx.

SNI

Para o protocolo HTTPS, pode ser útil enviar o nome do candidato a host virtual via cabeçalho Host e SNI (extensão TLS). Isso pode permitir passar por um proxy SNI mal configurado. Use a opção --enable-sni para ativar o modo SNI.

Otimização

Para redes grandes com milhares de subdomínios, pode levar muitas horas para verificar todos os candidatos a host virtual. As seguintes opções podem ser usadas para acelerar o processo:

• As portas escaneadas padrão 80, 443, 8000, 8008, 8080, 8443 podem ser limitadas, ex.: apenas 443 (-p, --ports-to-scan)
• O número de threads pode ser aumentado (-t, --threads-number)
• O número de domínios para resolver pode ser limitado (--max-domains)
• O número de endereços IP para escanear pode ser limitado (--max-ips)
• O número de candidatos a host virtual para verificar pode ser limitado (--max-vhost-candidates)
• Os timeouts podem ser reduzidos (--timeout-tcp, --timeout-http)

Adicionalmente, é recomendado usar a opção -v (verbosidade) para ver os resultados continuamente.

Alterações

Consulte o CHANGELOG