Enumeracion de subdominios con subfinder, amass e IA

La enumeracion de subdominios halla los hostnames bajo una raiz que puedes probar. Las fuentes pasivas, logs de certificado, DNS pasivo y datos de busqueda, traen la mayoria sin mandar un paquete al objetivo. El patron es una herramienta por fuente, todo via anew para que la lista solo crezca, luego httpx para ver que hosts responden. La chat de NotHoly tria el resultado: agrupa hosts, marca los raros y borronea la nota.

#Una herramienta por fuente

Ninguna herramienta sola ve todos los subdominios, asi que corre varias y une. subfinder es el punto de partida pasivo mas rapido.

subfinder -d example.com -all -silent | anew subs.txt

amass en modo pasivo alcanza mas fuentes y tarda mas.

amass enum -passive -d example.com -silent | anew subs.txt

findomain y, con una clave de API, chaos suman dos canales pasivos mas.

findomain -t example.com -q | anew subs.txt
chaos -d example.com -silent | anew subs.txt

#anew mantiene la lista creciendo

anew agrega solo las lineas que aun no estan en el archivo e imprime solo lo que agrego, asi ves hosts nuevos llegar en cada corrida. Apunta cada herramienta al mismo subs.txt y armas una sola lista sin duplicados, sin gimnasia de sort y uniq. Vuelve a correr los comandos la semana que viene y anew te muestra exactamente que cambio.

#Resuelve y sondea con httpx

Un nombre en la lista no es un host vivo. httpx resuelve cada nombre e informa cuales responden, con estado, titulo y tecnologia.

httpx -l subs.txt -sc -title -td -silent -o live.txt

La salida esperada es una linea por host vivo.

https://api.example.com [200] [API Gateway] [nginx]
https://dev.example.com [401] [Login] [Apache]

Lee primero los prefijos dev, staging, api y admin. Solo para resolver, dnsx es la herramienta mas liviana.

Manten contexto junto a cada host: la fuente que lo hallo, la fecha en que lo viste y si httpx obtuvo respuesta. Guarda subs.txt y live.txt lado a lado, versionalos en un repo de notas, y la proxima corrida semanal compara limpio en vez de ahogarte en nombres que ya triaste.

#Entrega la lista a la chat

Pega live.txt en la chat de NotHoly y pidele que separe senal de ruido.

Aqui estan mis subdominios resueltos con estado y titulo.
Agrupalos por funcion probable, marca lo que parezca host
fuera de produccion u olvidado y lista los cinco para mirar
primero. Una linea por eleccion.

El modelo no tiene acceso a los hosts; razona desde el texto que pegaste. Usalo para volver doscientas lineas en una lista corta con motivos, luego verifica cada una tu mismo en el navegador o con tus propias peticiones.

#Alcance y privacidad

Manten la enumeracion dentro de las raices de tu hoja de alcance. Un certificado comodin o una fuente pasiva puede traer un host de otro dueno, asi que descartalo. Las fuentes pasivas solo tocan al objetivo cuando httpx sondea, asi que corre httpx al final y solo contra nombres dentro del alcance.

#Preguntas frecuentes

#Enumeracion pasiva o activa?

Empieza pasiva. Las fuentes pasivas nunca mandan trafico al objetivo, asi que se pueden correr antes de pensar en limites de tasa. Pasa a resolucion activa con httpx o dnsx cuando la lista este en alcance y estes listo para mandar peticiones.

#Necesito claves de API?

No para empezar. subfinder y amass funcionan sin claves y hallan mas con ellas. Agrega claves para las fuentes que usas seguido y guardalas en el archivo de config de cada herramienta, nunca en la linea de comandos.

Con la lista de hosts vivos en mano, cosecha las URL y parametros de esos hosts en crawling y recoleccion de URL. Vuelve a el flujo.