InfraHunter

Активно охотится за инфраструктурой злоумышленников, фильтруя результаты Shodan с помощью данных URLScan.

Требования

• Shodan API Key
• URLScan API Key
• python3 -m pip install -r requirements.txt

Примеры использования

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Встроенные запросы

Вы можете использовать готовые запросы, указав их имя с помощью -q. Чтобы вывести список всех встроенных запросов, выполните python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

Вы также можете указать URL вебхука Discord с помощью -d, --discord. В этом случае результаты будут отправлены в этот вебхук вместо открытия в браузере.

Что я делаю?

1. Поиск в Shodan по запросу, указанному через -q, --query
2. Для каждой комбинации IP/порт/протокол и домен/порт/протокол отправка её в URLScan
   • Если имеется несколько открытых портов, будут отправлены все порты
   • Отправляются URL http и https
   • Тот же процесс для всех доменов
3. Для каждого URLScan
   • Проверка, вернула ли просканированная страница HTTP OK (200)
   • Проверка, есть ли в результатах URLScan скриншот веб-страницы
   • Скачать изображение, вычислить его SHA256 и удалить изображение
   • Проверить SHA256 по списку исключённых хэшей (этот список содержит то, что я счёл невредоносным, но планирую сделать способ обходить эту проверку) (список существует, потому что я использую этот инструмент для охоты по расписанию)
   • Для каждого оставшегося результата, не исключённого проверкой хэша, вернуть результат

Ограничение частоты запросов API

Инструмент захардкожен на ожидание 20 секунд между отправками в URLScan, чтобы быть вежливым. По умолчанию используются публичные сканы, это можно изменить с помощью --scan-type.