Перечисление поддоменов: subfinder, amass и ИИ

Перечисление поддоменов находит имена хостов под корнем, который вам разрешено тестировать. Пассивные источники, логи сертификатов, пассивный DNS и поисковые данные, дают большинство из них без единого пакета к цели. Схема такая: один инструмент на источник, всё через anew, чтобы список только рос, затем httpx, чтобы увидеть, какие хосты отвечают. Чат NotHoly сортирует итог: группирует хосты, отмечает странные и набрасывает заметку.

#Один инструмент на источник

Ни один инструмент в одиночку не видит все поддомены, поэтому запускайте несколько и объединяйте. subfinder это самая быстрая пассивная отправная точка.

subfinder -d example.com -all -silent | anew subs.txt

amass в пассивном режиме достаёт больше источников и работает дольше.

amass enum -passive -d example.com -silent | anew subs.txt

findomain и, с ключом API, chaos добавляют ещё два пассивных канала.

findomain -t example.com -q | anew subs.txt
chaos -d example.com -silent | anew subs.txt

#anew держит список растущим

anew дописывает только строки, которых ещё нет в файле, и печатает только то, что добавил, так что вы видите новые хосты от прогона к прогону. Направьте все инструменты в один subs.txt и соберёте единый список без дублей, без упражнений с sort и uniq. Запустите команды снова через неделю, и anew покажет, что именно изменилось.

#Разрешайте и прощупывайте через httpx

Имя в списке это ещё не живой хост. httpx разрешает каждое имя и сообщает, какие отвечают, со статусом, заголовком и технологией.

httpx -l subs.txt -sc -title -td -silent -o live.txt

Ожидаемый вывод это одна строка на живой хост.

https://api.example.com [200] [API Gateway] [nginx]
https://dev.example.com [401] [Login] [Apache]

Сначала читайте префиксы dev, staging, api и admin. Только для разрешения dnsx это более лёгкий инструмент.

Держите контекст рядом с каждым хостом: источник, который его нашёл, дату, когда вы его видели, и ответил ли он при httpx. Сохраните subs.txt и live.txt рядом, положите их в репозиторий заметок, и следующий недельный прогон сравнится чисто, а не утопит вас в именах, которые вы уже разобрали.

#Отдайте список чату

Вставьте live.txt в чат NotHoly и попросите отделить сигнал от шума.

Вот мои разрешённые поддомены со статусом и заголовком.
Сгруппируй по вероятной роли, отметь всё, что похоже
на непродуктивный или забытый хост, и выпиши пять,
которые смотреть первыми. По строке на выбор.

У модели нет доступа к хостам; она рассуждает по вставленному тексту. Используйте её, чтобы превратить двести строк в короткий список с причинами, затем проверьте каждую сами в браузере или своими запросами.

#Область и приватность

Держите перечисление внутри корней из вашего листа области. Wildcard-сертификат или пассивный источник могут поднять хост другого владельца, так что отбросьте его. Пассивные источники касаются цели только когда прощупывает httpx, поэтому запускайте httpx последним и только по именам в области.

#Частые вопросы

#Пассивное или активное перечисление?

Начинайте с пассивного. Пассивные источники никогда не шлют трафик цели, поэтому их можно запускать ещё до мыслей о лимитах. Переходите к активному разрешению через httpx или dnsx, когда список в области и вы готовы слать запросы.

#Нужны ли ключи API?

Для начала нет. subfinder и amass работают без ключей и находят больше с ними. Добавляйте ключи для источников, которыми пользуетесь часто, и держите их в конфиге каждого инструмента, никогда в командной строке.

Имея список живых хостов, соберите URL и параметры на этих хостах в краулинге и сборе URL. Назад к процессу.