Second Order

Examina aplicações web em busca de takeover de subdomínio de segunda ordem ao rastrear a aplicação e coletar URLs (e outros dados) que correspondem a certas regras, ou respondem de uma certa forma.

Instalação

A partir do binário

Baixe um binário pré-compilado da página de releases e descompacte-o.

A partir do código-fonte

Recomenda-se a versão 1.17 do Go.

go install -v github.com/mhmdiaa/second-order@latest

Docker

docker pull mhmdiaa/second-order

Opções de linha de comando

  -target string
        Target URL
  -config string
        Configuration file (default "config.json")
  -depth int
        Depth to crawl (default 1)
  -header value
    	Header name and value separated by a colon 'Name: Value' (can be used more than once)
  -insecure
        Accept untrusted SSL/TLS certificates
  -output string
        Directory to save results in (default "output")
  -threads int
        Number of threads (default 10)

Arquivo de Configuração

Arquivos de configuração de exemplo estão em config

• LogQueries: Um mapa de consultas de tag-atributo que serão pesquisadas nas páginas rastreadas. Por exemplo, "a": "href" significa registrar cada atributo href de cada tag a.
• LogNon200Queries: Um mapa de consultas de tag-atributo que serão pesquisadas nas páginas rastreadas, e registradas apenas se contiverem uma URL válida que não retorne um código de status 200.
• LogInline: Uma lista de tags cujo conteúdo inline (entre as tags de abertura e fechamento) será registrado, como title e script

Saída

Todos os resultados são salvos em arquivos JSON que especificam o que e onde os dados foram encontrados

• Os resultados de LogQueries são salvos em attributes.json

{
    "https://example.com/": {
        "input[name]": [
            "user",
            "id",
            "debug"
        ]
    }
}

• Os resultados de LogNon200Queries são salvos em non-200-url-attributes.json

{
    "https://example.com/": {
        "script[src]": [
            "https://cdn.old_abandoned_domain.com/app.js",
        ]
    }
}

• Os resultados de LogInline são salvos em inline.json

{
    "https://example.com/": {
        "title": [
            "Example - Home"
        ]
    },
      "https://example.com/login": {
        "title": [
            "Example - login"
        ]
    }
}

Ideias de Uso

Esta é uma lista de dicas e ideias (não necessariamente relacionadas a takeover de subdomínio de segunda ordem) sobre para que usar o Second Order.

• Verificar takeover de subdomínio de segunda ordem: takeover.json. (Óbvio!)
• Coletar código JS inline e importado: javascript.json.
• Encontrar onde um alvo hospeda arquivos estáticos: cdn.json. (Buckets S3, alguém?)
• Coletar nomes de <input> para construir uma wordlist de brute force de parâmetros personalizada: parameters.json.
• Sinta-se à vontade para contribuir com mais ideias!

Referências

https://shubs.io/high-frequency-security-bug-hunting-120-days-120-bugs/#secondorder

https://edoverflow.com/2017/broken-link-hijacking/