CTFR – это инструмент на основе Python для злоупотребления журналами прозрачности сертификатов для получения субдоменов с веб-сайта HTTPS за несколько секунд.
Вы упустили технику AXFR, не так ли? (Открыть DNS зону передачи), так как это работает?
CTFR не использует атаки с использованием словаря или брутфорса,он просто помогает вам злоупотреблять журналами прозрачности сертификатов.
Что такое прозрачность сертификата?
Проект прозрачности сертификата Google устраняет ряд структурных недостатков в системе сертификатов SSL, которая является основной криптографической системой, которая лежит в основе всех соединений HTTPS. Эти недостатки ослабляют надежность и эффективность зашифрованных интернет-соединений и могут нарушать критические механизмы TLS / SSL, включая проверку домена, сквозное шифрование и цепи доверия, установленные органами сертификации. Если их не остановить, эти недостатки могут облегчить широкий спектр атак безопасности, таких как веб-спуфинг, исполнение роли сервера и атаки типа «человек посередине».
Использование журналов прозрачности сертификатов CTFR
1
2
3
|
$ python3 ctfr.py —help
–d —domain [target_domain] (required)
–o —output [output_file] (optional)
|
Пример:
1
|
$ python3 ctfr.py –d facebook.com –o /home/shei/subdomains_fb.txt
|
Вы можете скачать CTFR здесь:
¯\_(ツ)_/¯
Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.