Intelijen dengan geo2ip dan reverse-whois

Pengintaian sumber daya jaringan perusahaan terutama terdiri dari subdomain brute force dengan resolusi berikutnya dari blok jaringan yang ditemukan. Kemudian domain level 2 baru dapat ditemukan dan prosedur diulangi lagi. Ini memungkinkan alamat IP baru ditemukan di setiap iterasi.

Metode ini mungkin yang paling efektif. Namun, ada situasi di mana seluruh / 24 subnet tidak ditemukan.

Saat ini, alat canggih lainnya telah muncul - dns pasif, yang memungkinkan Anda melakukan hal yang sama seperti resolusi DNS klasik, tetapi menggunakan API khusus. Ini bisa berupa, misalnya, "virustotal" atau "passive-total". Layanan ini merekam permintaan dan respons DNS yang dikumpulkan dari server DNS populer. Keuntungan dari pendekatan ini adalah kita tidak membutuhkan kekerasan. Kami hanya memasukkan alamat IP dan mendapatkan semua catatan DNS yang diketahui. Atau, sebaliknya, dengan menentukan DNS, kami mendapatkan semua alamat IP yang terkait dengan nama ini. Pendekatan ini memiliki keuntungan yang tidak dapat disangkal - kami dapat menemukan server situs lama yang telah diselesaikan sebelumnya. Lagi pula, situs lama lebih cenderung mengandung kerentanan.

Terlepas dari teknik yang dijelaskan di atas, masih ada beberapa yang kurang populer, tetapi masih memberikan hasil. Pada artikel ini, kita akan melihat dua teknik intelijen lagi - mencari alamat IP berdasarkan data geografis (geo2ip) dan menemukan alamat IP berdasarkan nama perusahaan (reverse-whois).

Geo2ip

Saya rasa banyak dari kita tahu apa itu geoip. Ini cukup sering digunakan oleh pengembang dan administrator. Namun, geoip terutama digunakan dalam arah ip -> geo. Dalam kasus kami, ini tidak begitu menarik. Ini lucu, tetapi sebelum mengembangkan solusi Anda sendiri, tidak ada satu perpustakaan pun yang ditemukan yang memungkinkan Anda membuat permintaan ke arah yang berlawanan geo → ip. Oleh karena itu, diputuskan untuk menulis alat kami sendiri, apalagi, tidak terlalu sulit untuk mengimplementasikannya.

, python2.

:

1. geoip — ip → geo, city → ip, country → ip, lat:long → ip ..;

   
   
   
   
   

2. rwhois — whois ( ).

   
   
   
   
   

, geoip-:

, 2020 , geoip . .

geoip , . , , , . «%» (SQL-).

, IP-, , :

geoip , , - :

() . :

.

geoip- shodan:

, .

apache, , :

dns-:

. – mongo :

– memcached :

Reverse whois

Whois , 43/tcp . – IP-. . 5 , 5 :

• (RIPE);

  
  
  
  
  

• (APNIC);

  
  
  
  
  

• (AFRINIC);

  
  
  
  
  

• (ARIN);

  
  
  
  
  

• (LACNIC).

  
  
  
  
  

whois :

whois 8.8.8.8

, telnet:

telnet whois.ripe.net 43

1.2.3.4

IP-. :

whois -h whois.ripe.net -T person admin@somecompany.com

whois -h whois.ripe.net -- '-i mnt-by RIPE-NCC-MNT'

, RIPE :

• as-set;

  
  
  
  
  

• aut-num;

  
  
  
  
  

• domain;

  
  
  
  
  

• inetnum;

  
  
  
  
  

• organisation;

  
  
  
  
  

• person;

  
  
  
  
  

• role;

  
  
  
  
  

• route.

  
  
  
  
  

, - «netname» «descr», . . , «-T person *@somecompany.com».

web-, , https://apps.db.ripe.net/db-web-ui/#/fulltextsearch. RIPE .

whois- :

RIPE: ftp://ftp.ripe.net/ripe/dbase/ripe.db.gz

APNIC: https://ftp.apnic.net/apnic/whois/apnic.db.inetnum.gz

AFRINIC: https://ftp.afrinic.net/dbase/afrinic.db.gz

LACNIC: https://ftp.lacnic.net/lacnic/dbase/lacnic.db.gz

ARIN: https://ftp.arin.net/pub/rr/arin.db.gz

, grep:

grep netname: *company* ripe.db

ripe.db () 5 GB. . , CIDR (, 77.77.0.0/16), grep .

– rwhois, geoip.

, :

5 . IP- :

:

-. IP- :

«descr»:

, :

CIDR-:

geo2ip + reverse whois

geoip rwhois .

, «telecom»:

— , :

, RECON . , - , . .

pip2 install georipe

Penulis: Spesialis dari Pusat Sistem Keamanan Ural