Clever Geek Handbook

Inteligência com geo2ip e reverse-whois

O reconhecimento dos recursos de rede da empresa consiste principalmente em subdomínios de força bruta com a posterior resolução dos blocos de rede encontrados. Em seguida, novos domínios de nível 2 podem ser encontrados e o procedimento é repetido novamente. Isso permite que novos endereços IP sejam encontrados a cada iteração.





Este método é talvez o mais eficaz. No entanto, houve situações em que toda a sub-rede / 24 não foi encontrada.





Hoje em dia, apareceu outra ferramenta poderosa - dns passivo, que permite fazer o mesmo que uma resolução DNS clássica, mas usando uma API especial. Pode ser, por exemplo, "virustotal" ou "passivo-total". Esses serviços registram solicitações e respostas DNS coletadas de servidores DNS populares. A vantagem dessa abordagem é que não precisamos de força bruta. Apenas inserimos o endereço IP e obtemos todos os registros DNS conhecidos. Ou, ao contrário, ao especificar DNS, obtemos todos os endereços IP associados a esse nome. Essa abordagem tem uma vantagem inegável - podemos encontrar servidores de sites antigos que foram resolvidos anteriormente. Afinal, os sites mais antigos são mais propensos a conter vulnerabilidades.





Apesar das técnicas descritas acima, ainda existem várias um pouco menos populares, mas ainda dando resultados. Neste artigo, veremos mais duas técnicas de inteligência - pesquisar endereços IP por dados geográficos (geo2ip) e localizar endereços IP por nome da empresa (reverse-whois).





Geo2ip

Acho que muitos de nós sabemos o que é geoip. Ele é usado com frequência por desenvolvedores e administradores. No entanto, geoip é usado principalmente na direção ip -> geo. No nosso caso, não é tão interessante. É engraçado, mas antes de desenvolver sua própria solução, não foi encontrada nenhuma biblioteca que permitisse fazer requisições na direção oposta geo → ip. Portanto, optou-se por escrever nossa própria ferramenta, além disso, não é tão difícil de implementar.





Figura 1. Instalação
Figura 1. Instalação

, python2.





:





  1. geoip — ip → geo, city → ip, country → ip, lat:long → ip ..;





  2. rwhois — whois ( ).





, geoip-:





Figura 2. Atualizando o banco de dados geoip e visualizando o número de blocos de rede nele
2. geoip-

, 2020 , geoip . .





geoip , . , , , . «%» (SQL-).





, IP-, , :





Figura 3. Pesquisa de redes por CIDR e cidade
3. CIDR

geoip , , - :





Figura 4. Obtendo todas as redes de qualquer país
4. -
Figura 5. Visualização da localização das redes no mapa
5.

() . :





Figura 6. Pesquisa de todas as redes por coordenadas geográficas
6.
Figura 7. Visualização usando Google Earth
7. Google Earth

.





geoip- shodan:





Figura 8. Usando geoip com shodan
8. geoip shodan

, .





apache, , :





Figura 9. Analisando logs do Apache com geoip
9. Apache geoip

dns-:





Figura 10. Analisando logs de ligação usando geoip
10. bind- geoip

. – mongo :





Figura 11. Digitalizando uma cidade usando geoip
11. - geoip

– memcached :





Figura 12. Digitalizando um país inteiro com geoip
12. geoip

Reverse whois

Whois , 43/tcp . – IP-. . 5 , 5 :





  • (RIPE);





  • (APNIC);





  • (AFRINIC);





  • (ARIN);





  • (LACNIC).





whois :





whois 8.8.8.8





, telnet:





telnet whois.ripe.net 43

1.2.3.4





IP-. :





whois -h whois.ripe.net -T person admin@somecompany.com









whois -h whois.ripe.net -- '-i mnt-by RIPE-NCC-MNT'





, RIPE :





  • as-set;





  • aut-num;





  • domain;





  • inetnum;





  • organisation;





  • person;





  • role;





  • route.





, - «netname» «descr», . . , «-T person *@somecompany.com».





web-, , https://apps.db.ripe.net/db-web-ui/#/fulltextsearch. RIPE .





whois- :





RIPE: ftp://ftp.ripe.net/ripe/dbase/ripe.db.gz

APNIC: https://ftp.apnic.net/apnic/whois/apnic.db.inetnum.gz

AFRINIC: https://ftp.afrinic.net/dbase/afrinic.db.gz

LACNIC: https://ftp.lacnic.net/lacnic/dbase/lacnic.db.gz

ARIN: https://ftp.arin.net/pub/rr/arin.db.gz





, grep:





grep netname: *company* ripe.db





ripe.db () 5 GB. . , CIDR (, 77.77.0.0/16), grep .





– rwhois, geoip.





, :





Figura 13. Atualizando bancos de dados whois
13. whois-

5 . IP- :





Figura 14. Número de endereços IP por bancos de dados de registradores
14. IP-

:





Figura 15. Atualizando o banco de dados whois apenas para a Europa
15. whois-

-. IP- :





Figura 16. Pesquisa de blocos de endereços IP por nome de rede
16. IP-

«descr»:





Figura 17. Pesquisa de endereços IP pelo campo de descrição da rede e, ao mesmo tempo, por país
17. IP-

, :





Figura 18. Redes em um único país
18.

CIDR-:





Figura 19. Procurando redes por CIDR
19. CIDR

geo2ip + reverse whois

geoip rwhois .





, «telecom»:





Figura 20. Procurando redes de telecomunicações em um determinado segmento geográfico
20. telecom-

— , :





Figura 21. Pesquisa de redes no mapa por nome
21.
Figura 22. Visualização de redes encontradas por nome no mapa
22. ,

, RECON . , - , . .





pip2 install georipe





Autor: Especialista do Ural Center for Security Systems







More articles:


All Articles