Certificate transparency e storia DNS nella recon

Ogni certificato TLS che una CA pubblica emette viene scritto nei log pubblici di certificate transparency, i log CT. I nomi su quei certificati, inclusi sottodomini dall'aria interna, sono cercabili da chiunque. Unisci CT con la storia DNS, il registro di cosa un nome ha puntato nel tempo, e puoi mappare l'infrastruttura del bersaglio senza inviargli una richiesta. La chat di NotHoly aiuta a correlare i pezzi: stesso IP, stesso certificato, stesso schema.

#Interroga i log CT con crt.sh

crt.sh e una interfaccia web ai log CT, e parla anche JSON, cosi puoi scriptarlo.

curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
  | jq -r '.[].name_value' | anew ct.txt

Il %25 e un percento codificato in URL, il carattere jolly di SQL, quindi questo restituisce ogni nome visto in un certificato sotto example.com. Alcune righe tornano come voci jolly, con stella e punto all'inizio; tienile o toglile come preferisci. CT spesso rivela host che non compaiono affatto nel brute force DNS o nel crawling, perche il certificato e stato emesso prima che l'host andasse in rete.

#Leggi cosa lega un certificato

Un solo certificato puo elencare molti nomi nel campo subject alternative name, il SAN. Quando un host dev, uno staging e uno admin condividono un certificato, di solito condividono un deploy. Estrai l'insieme SAN di un host direttamente.

echo | openssl s_client -connect api.example.com:443 2>/dev/null \
  | openssl x509 -noout -text | grep -A1 'Subject Alternative Name'

I nomi stampati accanto al tuo host sono tracce forti. Sono in ambito solo se stanno sotto radici che puoi testare, quindi controlla ciascuno sul tuo foglio di ambito.

#Aggiungi la storia DNS

Il record attuale di un nome e una sola istantanea. La storia DNS mostra gli IP e i mail server che ha usato prima, il che puo esporre un origin dietro una CDN o un vecchio server ancora attivo. I provider di DNS passivo conservano questi dati e molti hanno un piano gratuito. Risolvi i record attuali tu stesso con dnsx.

dnsx -l ct.txt -a -resp -silent -o resolved.txt

Confronta gli IP di oggi con l'insieme storico. Un IP che la CDN non copre piu, ma che risponde ancora, merita uno sguardo attento e dentro l'ambito, perche puo essere l'origin che la CDN doveva nascondere.

#Correla con la chat

Incolla i nomi dei certificati, gli IP risolti e ogni storia nella chat di NotHoly.

Ecco host, i loro IP attuali e gli IP storici.
Raggruppali per IP e certificato in comune, segna ogni IP
di origine fuori dagli intervalli della CDN ed elenca i
gruppi di infrastruttura deducibili. Nota cio che e incerto.

Il modello raggruppa i record e nomina la sua incertezza, il che ti evita di leggere troppo in una coincidenza. Conferma ogni gruppo con la tua risoluzione prima di trattarlo come fatto, perche il dato storico puo essere vecchio.

#Ambito e privacy

CT e storia DNS sono pubblici, ma gli host che rivelano non sono tutti tuoi da toccare. Un certificato puo nominare una piattaforma condivisa o un partner, quindi tieni solo i nomi sotto le radici che puoi testare. Trovare un IP di origin non allarga il tuo ambito; se e fuori, lo annoti e ti fermi.

#Domande frequenti

#Posso trovare sottodomini che il brute force DNS perde?

Si. CT mostra nomi di certificati emessi che forse non hanno mai avuto un record DNS pubblico, o che sono stati tolti dal DNS in seguito. E una delle fonti passive piu redditizie, per questo sta presto nella recon.

#Interrogare crt.sh e passivo?

Interrogare crt.sh tocca crt.sh, non il tuo bersaglio, quindi e passivo rispetto al bersaglio. Risolvere quei nomi con dnsx invia query DNS, quindi tratta quel passo come lavoro attivo leggero e tienilo in ambito.

CT e DNS ti danno infrastruttura; la fonte successiva e il codice. Passa a recon su GitHub e ricerca di codice. Torna a crawling e raccolta di URL.