InfraHunter

通过使用 URLScan 数据过滤 Shodan 结果，主动搜寻攻击者基础设施。

要求

• Shodan API 密钥
• URLScan API 密钥
• python3 -m pip install -r requirements.txt

使用示例

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

内置查询

你可以通过 -q 提供预构建查询的名称来使用它们。要列出所有内置查询，请运行 python .\hunter.py -l。

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

你也可以使用 -d, --discord 提供 Discord webhook 的 URL。这将把结果发送到该 webhook，而不是在浏览器中打开它们。

这个工具做了什么？

1. 使用 -q, --query 提供的查询搜索 Shodan
2. 对于每个 IP/端口/协议 和 域名/端口/协议 的组合，将其提交给 URLScan
   • 如果有多个开放端口，所有端口都会被提交
   • 提交 http 和 https URL
   • 对所有域名执行相同流程
3. 对于每个 URLScan 结果：
   • 检查扫描的页面是否返回 HTTP OK（200）
   • 检查 URLScan 结果中是否有网页截图
   • 下载图片并计算其 SHA256，然后删除图片
   • 将 SHA256 与要排除的哈希列表进行比对（此列表包含我判定为非恶意的内容，但我计划提供一种绕开此检查的方法）（该列表之所以存在，是因为我使用此工具按计划进行搜寻）
   • 对于每个未被哈希检查排除的剩余结果，返回该结果

API 速率限制

该工具被硬编码为在每次 URLScan 提交之间休眠 20 秒，以避免造成负担。默认情况下，它使用公共扫描，可以通过 --scan-type 更改。