子域名扫描工具它起到的主要核心作用, 就是通过像公开数据源这样的渠道, 通过DNS查询这种方式, 再通过主动探测那样的方法, 去批量地发现有目标域在下面存在的子域名资产。
如果对于企业的安全团队, 还有渗透测试人员这一些人群来说的话, 选择对了相应的工具, 会直接决定资产方面的覆盖率情况, 以及扫描方面的效率表现。
目前市面上, 那些被广泛使用的工具, 主要都集中在以下几种, 具体包括subfinder、assetfinder、one-for-all、Sublist3r以及Gobuster这一些, 每一种工具的功能侧重点都是不一样的。
主流工具对比
assetfinder: 这个工具的侧重点同样是被动采集, 它内部内置了多个用于数据接口的API, 支持按域进行搜索以及支持按组织维度来进行搜索, 它适合那些需要去进行多组织批量扫描的场景。
one-for-all, 它是把所有的事情都整合在一起的, 它把主动去扫描还有那个被动的去采集信息这两个部分都给包含进来了, 并且还内置了用于爆破的字典, 你可以去配置多种关于HTTP或者是SSL的探测方式, 因为它的功能是最完整的, 所以在运行的时候会比较全面覆盖一些, 但是相对应的它的运行时长也就相对会变得更长一些。
Sublist3r 是一个轻量级的脚本, 适合快速验证单个域名的子域名覆盖情况, 它是利用公开的渠道来进行爬取的。
Gobuster 这个工具,它是那种用传统字典来搞爆破的类型。它会通过分析 HTTP 响应码来判断子域名到底存不存在。这种方式的精准度龙南市就业服务平台, 得看那个字典质量好不好才行。所以它比较适合拿去对那种有特定命名规律的东西做定向爆破。
你可以在安全工具聚合平台 gz88.cn 的子域名扫描这个专区, 来获取上面这些工具的下载以及配置文档。你在那里能拿到完整的资源包, 同时也能看到相关的更新日志。
选型核心指标
在挑选子域名扫描工具的时候, 大家可以把目光聚焦在这四个重要的方面上。
数据源覆盖度这个情况是, 被动工具拥有的数据来源数量它会直接决定发现的最高限度是多少, 所以给大家一个建议, 就是要去优先选择那些已经接入了超过10个公开来源的平台或者工具。
关于主动模式和被动模式的情况, 在对生产环境的资产进行排查的工作建议中, 应该以被动的方式作为主要手段, 同时把主动的方式作为辅助的手段, 以此来减小对目标服务所产生的冲击力。
输出格式和集成能力方面, 用户会关心系统是不是能够提供JSON这种结构化的数据输出, 还有这个系统能不能跟SIEM或者是资产管理平台进行连接。
需要关注的是更新频率以及维护状态这两个方面。因为这些工具背后的数据源接口经常会发生变动, 所以在持续进行维护的过程中,工具的使用可靠性会得到提升子域名扫描工具, 也就是可用性更高。
实操注意事项
1. 在进行扫描操作之前, 要先去确认一下目标域名的授权范围到底是什么情况, 这样才能避免进行超越边界或者说不在授权范围内的测试活动。
2. 主动进行爆破操作的时候, 需要严格控制并发数量。这里有一个建议值是每秒请求数要小于或者等于50。这么做是为了防止触达目标系统里配置好的WAF防护机制。同时也要避免导致服务内容出现异常状况。
3. 结果做去重处理并且验证, 扫描以后还应该通过解析DNS来进行二次确认, 这样子域名是不是存活就被知道了, 那些已经失效的记录也要排除掉。
4. 定期进行重新扫描, 针对子域名资产存在的动态变化情况, 建议大家至少每个季度实施一次全面范围的检查动作, 而对于增量式的检查行为是可以考虑将频率缩短到每一个月执行一次。
5. 在利用证书透明度日志数据来进行补充发现这件事上, 可以发现大概百分之十五到百分之二十的、此前并没有公开过信息的子域名,因此能够起到额外的覆盖作用。
从整体方面来做个总结吧子域名扫描工具, 大家在进行日常的资产巡检工作的时候, 推荐把 subfinder 还有证书透明度日志这两个东西给组合起来用, 等到要进入深度的渗透测试阶段的时候, 再叠加 up-for-all 或者是 Gobuster 来做那种主动式的爆破攻击。
在选择具体要用什么工具的这个问题上, 并没有说哪一个就是绝对的最优解, 只要把自己所处的实际场景情况以及相关的合规性要求都给考虑进去、匹配上了, 那就完全可以了。
