Ооо да, охота на поддомены — это как искать тайные входы в замок злодея или генеральная уборка за предыдущим неряшливым админом. Вроде бы смотришь на солидный сайт, а у него там в поддоменах чего только нет и называется все как-то очень подозрительно и некликабельно, а порой и вовсе непонятно, что там за поддомены, потому что доступов к DNS нет и приходится инфраструктуру мигрировать на другое доменное имя (в предыдущие 3 года при разделении компаний очень часто приходилось подобное видеть).
Я собрал для тебя несколько способов, как найти поддомены — от простых до почти хакерских, которыми сам иногда пользуюсь.
1. Онлайн-сервисы
🔗 https://crt.sh
Просто зайди и введи адрес нужного домена.
Это сервис, который показывает все поддомены, найденные в SSL-сертификатах + историю сертификатов.
🕸️ https://securitytrails.com
- Огромная база данных DNS и поддоменов.
- Бесплатная часть показывает до ~50 поддоменов.
- Можно посмотреть дату появления, IP, и прочую вкусняшку.
🧙♂️ https://dnsdumpster.com
- Не только найдёт поддомены, но и покажет DNS-записи, IP-адреса, географию.
- Очень полезен, если тебе нужно ещё и карту инфраструктуры нарисовать.
2. Через терминал
Используем dig:
dig axfr example.com @ns1.example.com
❗ Работает ТОЛЬКО если у DNS открыт зон-трансфер (а это большая редкость и дыра безопасности). Но попробовать можно 😉
Используем sublist3r — бесплатный Python-сканер:
git clone https://github.com/aboul3la/Sublist3r.git
cd Sublist3r
pip install -r requirements.txt
python sublist3r.py -d example.com
Он соберёт инфу с десятков источников (Google, Yahoo, Bing, Netcraft и т.д.) — как настоящий информационный ниндзя, но в последнее время все чаще блокируется.
3. Через amass
Некоторые безопасники его используют в работе, но я бы сказал, что он на любителя:
sudo snap install amass
amass enum -d example.com
Amass бродит по сети, анализирует DNS, WHOIS, сертификаты и даже делает пассивную разведку.
4. GitHub-читинг
Иногда разработчики по неосторожности/неопытности публикуют в GitHub свои конфиги или тестовые поддомены. Поисковик GitHub тебе в помощь:
Ищи прямо так:
site:github.com "example.com"
Или в GitHub:
"example.com" in:path
Иногда можно найти dev.example.com или staging.example.com, про которые никто не должен был знать.
5. Через Google Dorks
Поиграй в шпионов, вдруг повезет:
site:*.example.com -www
И Google покажет тебе поддомены, которые он уже успел проиндексировать. Работает не всегда, но часто удивляет.