DNS, sous-domaines et certificats

Par où commencer

On commence par un domaine dont on est responsable, et par crt.sh : les journaux de Certificate Transparency listent tous les certificats émis pour ce nom, donc une bonne part des sous-domaines, sans qu’aucune requête n’atteigne la cible. On complète avec ViewDNS.info, qui garde l’historique des enregistrements et des adresses. En une demi-heure la surface visible d’une organisation apparaît, machines de recette et interfaces d’administration comprises — celles que personne n’avait l’intention d’exposer.

Progression

1. 1Découverte

   Lire les registres publics

   crt.sh dresse une première carte sans rien envoyer à la cible : les journaux de Certificate Transparency listent les certificats émis pour le nom, dont une bonne part des sous-domaines. ViewDNS.info y ajoute la profondeur historique, et c’est souvent l’enregistrement retiré l’an dernier qui renseigne le plus sur l’organisation.

   • crt.sh
   • ViewDNS.info

2. 2Pratique

   Énumérer, puis vérifier ce qui répond

   subfinder agrège une cinquantaine de sources passives et sort une liste de noms dont une bonne part ne résout plus : le tri se refait soi-même, en ouvrant ce qui répond. WhatWeb indique alors quel serveur et quel CMS tournent derrière, et urlscan.io rejoue la page dans un navigateur isolé pour lister tout ce qu’elle contacte.

   • subfinder
   • WhatWeb
   • urlscan.io

3. 3Approfondissement

   Tenir la surface dans le temps, et surveiller les sosies

   OWASP Amass tient la cartographie dans une base que l’on rejoue d’une campagne à l’autre pour voir bouger le périmètre. dnstwist sert l’envers du décor : les variantes typographiques du domaine déjà enregistrées par d’autres, celles qui attendent un hameçonnage. Information Laundromat rattache enfin le site à d’autres propriétés par leurs identifiants analytics, certificats ou adresses partagés — c’est ainsi qu’on relie deux vitrines qui ne se ressemblent pas.

   • OWASP Amass
   • dnstwist
   • Information Laundromat

Ce qu’on apprend à ses dépens

L’infrastructure paraît objective alors qu’elle est massivement mutualisée : une recherche inversée sur ViewDNS.info ou un certificat couvrant des dizaines de clients d’un hébergeur rassemblent des sites qui ne partagent qu’un prestataire, et un identifiant d’analytics commun repéré par Information Laundromat ne relie deux domaines que s’il appartient en propre à leur exploitant et non à l’agence qui les a construits. L’autre moitié du piège est la trace : crt.sh et subfinder se lisent chez des tiers, tandis que WhatWeb et le rejeu de page d’urlscan.io frappent la cible et figurent dans ses journaux, avec l’adresse d’où part la recherche. Enfin, un WHOIS historique exhumé sur ViewDNS.info contient souvent le nom et l’adresse personnels du titulaire d’avant 2018 : la donnée est restée accessible, elle n’en demeure pas moins une donnée personnelle.

Se combine avec

• Personnes

  Redescendre vers la personne : chaque adresse relevée se relance en recherche de comptes.

Catégories qui se recoupent avec Domaines & infrastructure.