Пассивная разведка

21.07.2026 19:24

Всем привет! Решил поделиться с вами методами (и воркфлоу), которые юзаю для первоначального знакомства с таргетом без взаимодействия.

Определение корневых доменов

На этом этапе мы определяем наш скоуп для дальнешей работы. Указываем в файле все известные нам домены, которые могут быть связаны с таргетом.

Bash:

vi rootdomains.txt

Code:

#rootdomains.txt

example.com
example.de

Поиск сабдоменов

Сбор сабдоменов является важнейшим этапом для первоначальной разведки. На данном этапе мы знакомимся со внешним периметром цели, собираем информацию об используемом ПО, СЗИ, и. т. д (в дальнейшем когда перейдем к активной разведке).

1. SubFinder - одна из лучших утилит для поиска сабдоменов. Для того, чтобы утилита собирала больше поддоменов, рекомендую использовать API-ключи - разница просто колоссальна.

Установка:

Bash:

go install -v github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest

Пример команды:

Bash:

subfinder -dL rootdomains.txt -all -o subfinder.txt

2. AssetFinder - отличная утилита, дополняющая SubFinder.

Установка:

Bash:

go get -u github.com/tomnomnom/assetfinder

Примеры команд:

Bash:

cat rootdomains.txt | assetfinder | anew assetfinder.txt

Bash:

echo 'example.com' | assetfinder --subs-only | anew assetfinder2.txt

Bash:

cat rootdomains.txt | while read domain; do assetfinder domain | grep -E "domain|$(echo $domain | awk -F '.' '{print (NF-1)"."NF}')"; done | anew assetfinder3.txt

3. PureDns - утилита для брутфорса сабдоменов. Для данного метода рекомендую использовать VPS (домашний роутер может не вывезти, плюс если вы черношляпник к DNS-запросам будут вопросы). Отличный способ найти вкусные сабдоменчики, скрытые из публичных источников (VirusTotal, crt.sh, и. т. п).

Установка: более детально описана в официальном репозитории (https://github.com/d3mondev/puredns)

ВАЖНО: при использовании утилиты рекомендую устанавливать лимит на запросы (я использую не более 10000), так как хостер может возмутиться и локнуть наш сервер (флаг -l).

Bash:

scp rootdomains.txt my_vps:/home/username

#Предварительно загружаем словари для брута (как пример: https://github.com/sharsi1/sublazerwlst), а также список DNS-резолверов (можно составить самим, либо использовать https://github.com/trickest/resolvers).
#Запуск с лимитом в 10000 запросов
puredns bruteforce ~/sublazerwlst/axfRU/Sublazer_axfRu_filtered_10000.lst -d rootdomains.txt -l 10000 -t 25 --resolvers ~/resolvers/resolvers-trusted.txt | anew puredns.txt

#Копируем результат на свою тачку с VPS
scp my_vps:/home/username/puredns.txt ~/

4. Использование Shodan (https://www.shodan.io/) и Censys (https://platform.censys.io/).

Используя данные сервисы (с бесплатной подпиской) можно поверхностно выполнить поиск по сертификатам, доменным именам, ip-адресам без риска быть обнаруженным в логах на таргете. Можно использовать API и консольные утилиты указанных сервисов для составления результатов поиска.

Bash:

vi shodan.txt
vi censys.txt

5. Поиск информации о сабдоменах, IP-адресах в открытых источниках.

Для этих целей очень полезными будут такие сервисы как: VirusTotal (https://www.virustotal.com/gui/home/upload), Crt.Sh (https://crt.sh/), также не стоит забывать об использовании Google Dorks.

Bash:

vi virustotal.txt
vi crtsh.txt

Примеры дорков (для более детального покрытия рекомендую погуглить более специфические дорки, подходящие к вашей цели):

Code:

inurl: "example.com"
inurl: "example"

Также можно использовать утилиту dorker (https://github.com/RevoltSecurities/GoogleDorker).

Установка:

Bash:

pipx install git+https://github.com/RevoltSecurities/GoogleDorker

Использование:

Bash:

dorker -q "inurl: example.com" -o dorker.txt

6. Сопоставление результатов поиска.

На данном этапе, мы имеем неплохой скоуп для дальнешего взаимодействия с целью. Сопоставим результаты, отсеем дубликаты и разобьем все по отдельным файлам:

Bash:

#Извлекаем сабдомены
cat subfinder* assetfinder* puredns* shodan.txt censys.txt virustotal.txt crtsh.txt | sort -u | anew subdomains.txt

#Извлекаем IP-адреса
cat shodan.txt censys.txt virustotal.txt | grep -Eo '([0-9]{1,3}\.){3}[0-9]{1,3}' | sort -u | anew ips.txt

Таким образом, мы собрали неплохой скоуп для дальнейшего взаимодействия с целью (определения живых доменов, сканирования портов, определения фремворков и ПО, используемого на таргете). Надеюсь данная информация была полезна.

👍42 ❤️11 😢9 💯9