تارگت از aws امازون VPS میگرفت و روش سایت میاورد بالا ولی من چجوری یه سرتیفیکت سرچ بهینه انجام دادم ؟
اول از همه یه بدیهاتی رو باید با هم طی کنیم تا برسیم سراغ بخش های مهم
فرض رو بر این بگیریم که ما یه کمپانی هستیم و به هر دلیلی نیاز داریم از امازون یا هر پرووایدری یه VPS بگیریم و بهمون یه IP بده و اون IP رو روی سایتمون ست کنیم.
پس اگه تو به عنوان یه کاربر یه dig از سایت بگیری، ممکنه متوجه بشی که این IP متعلق به EC2 امازونه.
خیلی مهمه که متوجه بشی اینجا Certificate Search همیشه کار خوبی نیست، چون عملاً داری روی بخش بزرگی از زیرساخت AWS سرچ میکنی و نویز زیادی میگیری تو نیاز داری که شاخ و برگ های اضافه رو بزنی
بریم سر مغز مطلب تارگت منو این در نظر بگیر (company.com)
اولین کاری که میکنم سادست .
روی سایت اصلی Subfinder ، GitHub Subdomains ، AbuseIPDB ، Assetfinder و crt.sh میزنم و خروجی رو مرتب داخل یه فایل ذخیره میکنم (allsubs.txt) و دقت میکنم که هر ساب فقط یک بار داخل فایل وجود داشته باشه.
دومین کار اینه من باید روی این ساب های عمل name resolution رو انجام بدم پس فایلمو به عنوان stdin به dnsx میدم تا اپی های رو بکشه بیرون (cat allsubs.txt | dnsx -resp-only | anew subs_ip)
دقت داشته باش که برای dnsx مهم نیست این IP متعلق به AWS باشه یا Cloudflare یا ArvanCloud؛ IPای که روی اون ساب ست شده رو تحویلت میده.
حالا من فایل رو دارم اگه بالا رو با دقت خوندی باشی میدونی که همه اپی ها برای من بدرد نمیخورن تا روشون سرتیفیکت سرچ کنم
من دنبال IPای هستم که احتمالاً به اسم زیرساخت خود شرکت نزدیک‌تر باشه تا بتونم ASN اون رو دربیارم و روی اون سرچ بزنم.
سومین کار رو با زدن این دستور شروع کردم (cat subs_ip | cutcdn) شاید ندونی cutcdn چیکار میکنه , کاری که میکنه اینه که اپی های cdn رو تا احد امکان میندازه دور و فقط به تو اپی هایی که به پشت cdn نیستن رو تحویل میده
بهت یه سری ریزالت میده خب ؟
ولی تو به ریزالتش اعتماد نمیکنی و باید دونه به دونه یه دستور whois روی اپی های خروجیش بزنی تا مطمعن بشی مالک اون Ip ها کیه (اصرف دیدن کلماتی مثل Cloud ، Ltd ، LLC و امثال اینا دلیل خوبی برای رد یا قبول کردن یه IP نیست؛ چیزی که اهمیت داره اینه که بفهمی IP متعلق به خود سازمانه یا متعلق به یه کلاده )
کمپانی دو جور میتونه اپی بخره یا تک آپی میخره یا یه بلاک آپی
من توی این کیس به یه نت‌بلاک نیاز داشتم تا یه سناریوی اضافی برای Asset Discovery پیاده کنم.
این دستور(cat subs_ip | cutcdn) به من یه اپی خوب داد زمانی این اپی رو توی (bgp.he.net) سرچ کردم یه as number به من داد که به اسم (company.com s.r.o. ) ثبت شده بود دقیقا همون چیزی که من دنبالش میگشتم
توجه کن ممکنه توی هر تارگتی کار نکنه و asn کمپانی رو پیدا نکنی چیزی که اهمیت داره اینه که توی هر تارگتی تستش کنی چون شخصا بهم نتایج جالبی داده
در جریانم که خیلی از شرکت‌ها کاملاً روی AWS، Azure یا GCP هستن.
اما این یکی از راه‌های پیدا کردن ASN یا زیرساخت مستقیمی هست که به خود سازمان تعلق داره.
باید بدونی که هر ASN یه سری IP Prefix یا نت‌بلاک داره رینجی که زیر دست من بود دقیقا همین نت بلاک رو داشت (1.1.1.1/22)
قدم بعدی میشه مرحله نهایی. این رنج رو میدم به mapcidr.
کاری که میکنه اینه که اپی ها رو پخش و مجزاشون میکنه فرضا 1.1.1.2 - 1.1.1.3 , خروجی این اپی ها رو میدم به httpx تا برام اپی هایی که سرویس http روشون فعاله بکشه بیرون
(echo 1.1.1.1/22 | mapcidr -silent | httpx - title -sc )
تمام !
همین چهار تا مرحله ساده بهم یه سرویس http داد که من اماده بودم برم روش هانت کنم ولی لقمه اماده در انتظارم بود و من ادمین پنل بودم !
فکری که با خودم کردم این بود که مهم ترین عامل خوردن این باگ اسکن مناسب توی یه زمان مناسب
توی پست های بعدی واست یه کامند ترکیب شده از تمام کارهایی که کردم میزارم بیشتر هدفم این بود که منطق پشت هم کامند رو هم بدونی تا وابسته به یه flow خاص نباشی و تغیر نسبت به شرایطی که جلوته تغیر بدی جهتتو
کامند ساده که برات میزارم رو میتونی روی هر تارگتی به ی بسم الله بزنی و ببینی روزیت چه خواهد بود :)
ولی همیشه قرار نیست مثل سناریو من بهت باگ بده
این فقط یدونه از باگ های ساده این کمپانی بود باگاهایی بعدی با همین کانسپت پیدا کردم ولی کمی نیازمند به فلو متفاوت داشت میشن تایتل پست های بعدی
ممنون از اینکه تا اینجا خوندی و امیدوارم برات مفید بوده باشه 🌷