Certificate transparency e historico de DNS na recon

Todo certificado TLS que uma CA publica emite e gravado em logs publicos de certificate transparency, os logs de CT. Os nomes nesses certificados, incluindo subdominios de cara interna, sao pesquisaveis por qualquer um. Junte CT com historico de DNS, o registro do que um nome apontou ao longo do tempo, e voce mapeia a infraestrutura do alvo sem mandar uma requisicao. A chat da NotHoly ajuda a correlacionar as pecas: mesmo IP, mesmo certificado, mesmo padrao.

#Consulte os logs de CT com crt.sh

O crt.sh e uma interface web para os logs de CT, e tambem fala JSON, entao da para automatizar.

curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
  | jq -r '.[].name_value' | anew ct.txt

O %25 e um por cento codificado em URL, o curinga de SQL, entao isso devolve todo nome visto em um certificado sob example.com. Algumas linhas voltam como entradas curinga, com estrela e ponto no comeco; mantenha ou remova como preferir. O CT costuma revelar hosts que nunca aparecem em brute force de DNS ou em crawling, porque o certificado foi emitido antes de o host entrar no ar.

#Leia o que um certificado amarra

Um unico certificado pode listar muitos nomes no campo subject alternative name, o SAN. Quando um host de dev, um de staging e um de admin dividem um certificado, costumam dividir um deploy. Puxe o conjunto SAN de um host direto.

echo | openssl s_client -connect api.example.com:443 2>/dev/null \
  | openssl x509 -noout -text | grep -A1 'Subject Alternative Name'

Os nomes impressos ao lado do seu host sao pistas fortes. Eles estao no escopo so se ficam sob raizes que voce pode testar, entao confira cada um na sua planilha de escopo.

#Some o historico de DNS

O registro atual de um nome e um unico instantaneo. O historico de DNS mostra os IPs e servidores de e-mail que ele usou antes, o que pode expor uma origem atras de uma CDN ou um servidor antigo ainda rodando. Provedores de DNS passivo guardam esses dados e muitos tem camada gratis. Resolva os registros atuais voce mesmo com o dnsx.

dnsx -l ct.txt -a -resp -silent -o resolved.txt

Compare os IPs de hoje com o conjunto historico. Um IP que a CDN nao fronteia mais, mas que ainda responde, merece um olhar cuidadoso e dentro do escopo, porque pode ser a origem que a CDN deveria esconder.

#Correlacione com a chat

Cole os nomes de certificado, os IPs resolvidos e qualquer historico na chat da NotHoly.

Aqui estao hosts, seus IPs atuais e IPs historicos.
Agrupe por IP e certificado em comum, marque qualquer IP
de origem fora das faixas da CDN e liste os grupos de
infraestrutura que der para inferir. Anote o que e incerto.

O modelo agrupa os registros e nomeia a incerteza, o que te impede de ler demais uma coincidencia. Confirme cada grupo contra a sua propria resolucao antes de tratar como fato, porque dado historico pode estar velho.

#Escopo e privacidade

CT e historico de DNS sao publicos, mas os hosts que revelam nao sao todos seus para tocar. Um certificado pode nomear uma plataforma compartilhada ou um parceiro, entao mantenha so os nomes sob as raizes que voce pode testar. Achar um IP de origem nao amplia seu escopo; se esta fora, voce anota e para.

#Perguntas frequentes

#Da para achar subdominios que o brute force de DNS perde?

Da. O CT mostra nomes de certificados que foram emitidos mas talvez nunca tenham tido registro publico de DNS, ou que sairam do DNS depois. E uma das fontes passivas de maior rendimento, por isso fica cedo na recon.

#Consultar o crt.sh e passivo?

Consultar o crt.sh toca o crt.sh, nao o seu alvo, entao e passivo em relacao ao alvo. Resolver esses nomes com o dnsx manda consultas de DNS, entao trate esse passo como trabalho ativo leve e mantenha no escopo.

CT e DNS te dao infraestrutura; a proxima fonte e codigo. Siga para recon de GitHub e busca de codigo. Volte para crawling e coleta de URLs.