ip-obfuscation

IP Obfuscator

Набор инструментов для тестирования безопасности, предназначенный для генерации обфусцированных IP-адресов и URL-адресов. Полезен для тестирования на проникновение, исследований в области безопасности, обучения распознаванию фишинга и тестирования парсеров/фильтров URL.

Обзор

Этот набор инструментов предоставляет два интерфейса:

• ip_obfuscator.html — веб-интерфейс для интерактивного использования
• ip_obfuscator.py — инструмент командной строки для написания скриптов и автоматизации

Оба инструмента генерируют одинаковые методы обфускации, включая:

• Форматы DWORD/целых чисел (десятичный, шестнадцатеричный, восьмеричный)
• Варианты точечной нотации (шестнадцатеричный, восьмеричный, смешанные основания)
• Адреса, отображённые на IPv6
• Трюки с авторитетной частью URL (поддельный домен с @)
• Сокращённая нотация Class B/C
• Методы переполнения
• Варианты URL-кодирования

Веб-интерфейс (ip_obfuscator.html)

Откройте ip_obfuscator.html в любом современном браузере. Сервер не требуется.

Возможности

• Переключатель HTTPS — переключение между протоколами HTTP и HTTPS
• Фильтр/Поиск — фильтрация результатов по ключевому слову в реальном времени
• Экспорт — скачивание результатов в формате JSON или CSV
• Тест в браузере — открытие любого сгенерированного URL в новой вкладке
• Сворачиваемые категории — нажмите на заголовки, чтобы развернуть/свернуть разделы
• Анализ зон безопасности — просмотр того, какие форматы активируют зону интрасети Windows

Рабочий процесс со скриншотами

1. Введите целевой IP-адрес (например, 192.168.1.100)
2. Задайте поддельный домен для трюка с @ (например, secure.bank.com)
3. Настройте путь и порт по необходимости
4. Переключите HTTPS при необходимости
5. Нажмите «Generate Obfuscations»
6. Используйте вкладки для переключения между URL, форматами IP и зонами безопасности
7. Нажмите на любой результат, чтобы скопировать его, или используйте «Test in Browser»

Инструмент командной строки (ip_obfuscator.py)

Требования

• Python 3.6+
• Внешние зависимости отсутствуют (используется только стандартная библиотека)

Базовое использование

# Show all obfuscation formats for an IP
python3 ip_obfuscator.py 192.168.1.100

# Generate obfuscated URLs
python3 ip_obfuscator.py 192.168.1.100 --url

# With fake domain and path
python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Параметры командной строки

Параметр	Сокращение	Описание
--url	-u	Генерировать полные URL вместо только форматов IP
--fake-domain	-f	Поддельный домен для трюка с @ (по умолчанию: google.com)
--fake-pass	-w	Поддельный пароль для формата user:pass@host
--path	-p	Путь URL (по умолчанию: /)
--port	-P	Номер порта
--https	-s	Использовать HTTPS вместо HTTP
--json	-j	Вывод в формате JSON
--filter	-F	Фильтрация результатов по ключевому слову
--list	-l	Компактный вывод списком (только значения)
--zones	-z	Анализ последствий для зон безопасности Windows
--decode	-d	Декодирование обфусцированного IP обратно в стандартную форму

Примеры

Генерация URL с поддельным доменом

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --path /login

Вывод:

================================================================================
OBFUSCATED URL GENERATOR
================================================================================
  Target IP:     192.168.1.100
  Fake Domain:   secure.bank.com
  Fake Password: (none)
  Port:          (default)
  Path:          /login
  Protocol:      HTTP
================================================================================

DWORD/INTEGER FORMATS
--------------------------------------------------------------------------------

  Standard (no obfuscation):
  http://192.168.1.100/login

  Decimal DWORD:
  http://3232235876/login

  Hex DWORD:
  http://0xC0A80164/login

  Octal DWORD:
  http://030052000544/login

...

Фильтрация результатов с выводом JSON

python3 ip_obfuscator.py 192.168.1.100 --url --fake-domain secure.bank.com --filter "fake auth" --json

Вывод:

{
  "Fake Auth + Decimal DWORD": "http://secure.bank.com@3232235876/",
  "Fake Auth + Hex DWORD": "http://secure.bank.com@0xc0a80164/",
  "Fake Auth + Octal DWORD": "http://secure.bank.com@030052000544/",
  "Fake Auth + Dotted Hex": "http://[email protected]/",
  "Fake Auth + Dotted Octal": "http://[email protected]/",
  "Fake Auth + IPv6 Mapped (hex)": "http://secure.bank.com@[::ffff:c0a8:164]/",
  "Fake Auth + IPv6 Mapped (decimal)": "http://secure.bank.com@[::ffff:192.168.1.100]/",
  "Fake Auth + IPv6 Mapped (full)": "http://secure.bank.com@[0000:0000:0000:0000:0000:ffff:c0a8:0164]/",
  "Fake Auth + Class B": "http://[email protected]/",
  "Fake Auth + Class C": "http://[email protected]/"
}

Генерация HTTPS URL

python3 ip_obfuscator.py 192.168.1.100 --url --https --filter ipv6

Вывод только форматов IPv6

python3 ip_obfuscator.py 192.168.1.100 --list --filter ipv6

Вывод:

All obfuscated forms of 192.168.1.100:

  ::ffff:192.168.1.100
  ::ffff:c0a8:164
  0000:0000:0000:0000:0000:ffff:c0a8:0164
  0:0:0:0:0:ffff:c0a8:164
  ::ffff:c0a80164
  ::192.168.1.100
  ::c0a8:164
  [::ffff:c0a8:164]
  [::ffff:192.168.1.100]
  [0000:0000:0000:0000:0000:ffff:c0a8:0164]

Декодирование обфусцированных URL

python3 ip_obfuscator.py --decode "http://secure.bank.com@3232235876/login"

Вывод:

Input:   http://secure.bank.com@3232235876/login
Decoded: 192.168.1.100

Анализ зон безопасности

python3 ip_obfuscator.py 192.168.1.100 --zones

Вывод:

================================================================================
MICROSOFT SECURITY ZONES ANALYSIS
================================================================================

The 'Dot Rule' (PlainHostName rule):
  • Hostname WITHOUT dots → Local Intranet Zone
  • Hostname WITH dots    → Internet Zone

⚠️  SECURITY IMPACT of Intranet Zone:
  • Automatic NTLM/Kerberos credential release (credential theft!)
  • Less restrictive ActiveX/script policies
  • May bypass security prompts and Mark-of-the-Web

================================================================================
Target IP: 192.168.1.100
================================================================================

🔴 DOTLESS → LOCAL INTRANET ZONE (HIGH RISK - credential leak)
--------------------------------------------------------------------------------
  Decimal DWORD
    URL: http://3232235876/
    Note: CONFIRMED: MS98-016 specifically documents this as Intranet Zone bypass

  Hex DWORD (0x prefix)
    URL: http://0xC0A80164/
    Note: CONFIRMED: Numeric hostname without dots → Intranet Zone

  Octal DWORD
    URL: http://030052000544/
    Note: Octal integer without dots → Intranet Zone

🟢 DOTTED → INTERNET ZONE (normal security)
--------------------------------------------------------------------------------
  Standard Dotted Decimal
    URL: http://192.168.1.100/

  Dotted Hex
    URL: http://0xC0.0xA8.0x1.0x64/
...

Справочник по методам обфускации