Recon: FOFA və Shodan ilə Dorking (Bölüm 3)

Bug bounty-də ən vacib mərhələlərdən biri recon — yəni hədəfinlə bağlı məlumat toplamaqdır. Bu mərhələdə FOFA və Shodan kimi kəşfiyyat alətləri ən güclü silahların olur. Amma sadəcə “axtarış etmək” deyil, düzgün dork yazmaq sənə böyük üstünlük gətirir.

gemini

FOFA və Shodan nədir, necə fərqlənir?

• FOFA əsasən daha genişdir və internetdəki xidmətləri, sistemləri, sertifikatları, header-ları, favicon və s. axtarmağa imkan verir.
• Shodan isə daha çox port, servislər, əməliyyat sistemi və boşluqlar üzərində fokuslanır.

Hər ikisi özünəməxsus axtarış sintaksisi və operatorları ilə işləyir.

FOFA-da dork yazmaq (fofa.info)

Məşhur olanlar:

• title="something" — səhifə başlığında olan söz
• body="text" — səhifə mətnində olan söz
• header="value" — HTTP header-də olan məlumat
• ssl.cert.subject.CN="domain.com" — SSL sertifikatında göstərilən Common Name
• app="Jenkins" — FOFA-nın məhsul identifikasiyası

Nümunə dorklar:

Jenkins serverlərini tapmaq

app="Jenkins

Hadoop interfeysi tapmaq

title="NameNode" || title="JobHistory" || body="dfshealth.jsp"

Microsoft sertifikatı olan, amma fərqli başlıqlı serverlər

domain="microsoft.com" && title!="Microsoft"

fofa.info

Bu, çox vaxt səhv konfiqurasiya edilmiş və içində həssas məlumatlar ola biləcək serverləri göstərir.

Shodan-da dork yazmaq (shodan.io)

Əsas operatorlar:

Bir şeyi axtarmamaq: -NOT (inkar)

Xüsusi port — Nümunə: port:22

Məhsul adı — Nümunə: product:"MongoDB"

HTTP səhifə başlığı — Nümunə: http.title:"Admin Login"

HTTP səhifə məzmunu — Nümunə: http.html:"CVE-2021-26084"

Ölkə kodu — Nümunə: country:"US"

Nümunə dorklar:

1. MongoDB portu açıq olan serverlər

port:27017 product:MongoDB

2. Jenkins Dashboard tapmaq

ssl.cert.subject.cn:.com http.title:"Dashboard [Jenkins]"

3. Admin login səhifəsi olan VPN cihazları

http.title:"VPN" http.body:"Login"

4. Atlassian Confluence boşluğu olan serverlər (CVE-2021–26084)

port:8090 product:"Atlassian Confluence" http.html:"CVE-2021-26084"

5. Favicon hash ilə axtarış

http.favicon.hash:12345678

Operatorların istifadəsində diqqət

• FOFA-da && ilə AND yazılır, || ilə OR, ! ilə NOT
• Shodan-da isə space AND funksiyası verir, OR vergül ilə (,) yazılır, NOT isə - işarəsi ilə.

Məsələn, FOFA:

app="Apache" && (country="US" || country="AZ" || country="KZ")

Shodan:

product:"Apache" country:"US","AZ","KZ"

Diqqət yetir

• Sadəcə məşhur açar sözlərlə yox, onların “kombinasiyası” ilə dərin nəticələr çıxır.
• Sertifikat məlumatları, header-lar, favicon hash-lər — bunlar gözlə görünməyən, amma çox güclü göstəricilərdir.
• Dorku nə üçün yazdığını başa düş.
• Aİ-dan kömək al lazım olsa.

Nəticə

Dorking sadə sözlərlə axtarmaq deyil, “axtarışın arxasındakı mənanı” başa düşmək, qeyri-adi yerlərə baxmaqdır. FOFA və Shodan sənə bu imkanı verir, əsas sənə düşür ki, onları necə doğru istifadə edəsən.

Təhlükəsiz qalın.
— Zeynalxan 👨🏻‍💻 (Linkedin)