Розвідка: пасивна й активна

Дві фази розвідки

Розвідка (recon) - це збір інформації про ціль перед атакою. Іде вона у дві фази: спершу тихо й здалеку (пасивно), тоді предметно й зблизька (активно). Що більше зібрав на першій, то точніше й непомітніше працюєш на другій.

Пасивна: без дотику

Пасивна розвідка (OSINT) - збір даних без жодного запиту до серверів цілі: ти береш те, що вже опубліковано деінде, тож ціль навіть не бачить інтересу до себе.

• whois - власник домену, реєстратор, дати, іноді контакти
• certificate transparency (напр. crt.sh) - публічний лог виданих TLS-сертифікатів, де світяться навіть піддомени, що ніде не лінкуються
• DNS-записи - A, MX, TXT, NS розкривають інфраструктуру й суміжні сервіси
• пошукові дорки - точні запити: site: (лише цей домен), filetype: (певний тип файлів) витягують забуті сторінки й документи
• витоки даних - чи світилися пошта/паролі організації в злитих базах
• метадані файлів - усередині документів і фото бувають імена, шляхи, назви й версії ПЗ

Активна: промацати ціль

Активна енумерація - крок після сканування: сервіси вже відомі, тепер промацуєш кожен зблизька. Тут ти звертаєшся до цілі напряму - отже, помітно.

• перебір шляхів - імена на кшталт /admin, /backup, /api, щоб знайти сторінки поза меню (ідея ffuf / dirb)
• енумерація користувачів - якщо застосунок по-різному відповідає на «юзера нема» і «пароль не той», за різницею збирають дійсні логіни
• SMB-шари - які мережеві теки відкриті на хості й що в них лежить
• banner grabbing - підключитися до сервісу й прочитати банер: назва, версія, конфіг

Мета - зачіпка

Активна фаза перетворює суху знахідку «порт відкритий» на конкретику: що саме тут крутиться, які приховані шляхи й акаунти є, і чи знайдеться зачіпка для входу - саме її ти й шукаєш. Сканер дає список, а сенс йому надаєш ти, перевіряючи руками.

На практиці

Перш ніж сканувати - прогугли ціль через crt.sh і whois: часто половина піддоменів і суміжних систем знаходиться ще до першого запиту. Знайшов відкритий веб - не спиняйся на головній: профаззи шляхи, почитай банери, перевір різницю у відповідях на логін. Саме там зазвичай і ховається перша зачіпка.