Розвідка: пасивна й активна

Дві фази розвідки

Розвідка (recon) - це збір інформації про ціль перед атакою. Іде вона у дві фази: спершу тихо й здалеку (пасивно), тоді предметно й зблизька (активно). Що більше зібрав на першій, то точніше й непомітніше працюєш на другій.

Пасивна: без дотику

Пасивна розвідка (OSINT) - збір даних без жодного запиту до серверів цілі: ти береш те, що вже опубліковано деінде, тож ціль навіть не бачить інтересу до себе.

whois - власник домену, реєстратор, дати, іноді контакти
certificate transparency (напр. crt.sh) - публічний лог виданих TLS-сертифікатів, де світяться навіть піддомени, що ніде не лінкуються
DNS-записи - A, MX, TXT, NS розкривають інфраструктуру й суміжні сервіси
пошукові дорки - точні запити: site: (лише цей домен), filetype: (певний тип файлів) витягують забуті сторінки й документи
витоки даних - чи світилися пошта/паролі організації в злитих базах
метадані файлів - усередині документів і фото бувають імена, шляхи, назви й версії ПЗ

Активна: промацати ціль

Активна енумерація - крок після сканування: сервіси вже відомі, тепер промацуєш кожен зблизька. Тут ти звертаєшся до цілі напряму - отже, помітно.

перебір шляхів - імена на кшталт /admin, /backup, /api, щоб знайти сторінки поза меню (ідея ffuf / dirb)
енумерація користувачів - якщо застосунок по-різному відповідає на «юзера нема» і «пароль не той», за різницею збирають дійсні логіни
SMB-шари - які мережеві теки відкриті на хості й що в них лежить
banner grabbing - підключитися до сервісу й прочитати банер: назва, версія, конфіг

Мета - зачіпка

Активна фаза перетворює суху знахідку «порт відкритий» на конкретику: що саме тут крутиться, які приховані шляхи й акаунти є, і чи знайдеться зачіпка для входу - саме її ти й шукаєш. Сканер дає список, а сенс йому надаєш ти, перевіряючи руками.

На практиці