امنیت

آموزش Amass برای کشف Subdomain

آموزش Amass برای کشف Subdomain

مقدمه

در بسیاری از سازمان‌ها، فقط دامنه اصلی مانند:

example.com

وجود ندارد.

ممکن است در طول زمان Subdomainهای مختلفی برای سرویس‌های گوناگون ایجاد شده باشند:

mail.example.com
vpn.example.com
panel.example.com
api.example.com
dev.example.com
staging.example.com

بعضی از این Subdomainها ممکن است توسط تیم‌های مختلف ایجاد شده باشند و حتی بعد از پایان یک پروژه همچنان در DNS باقی مانده باشند.

به همین دلیل، کشف و مستندسازی Subdomainها یکی از مراحل مهم در:

  • Asset Management
  • Attack Surface Management
  • DNS Inventory
  • Security Assessment
  • Migration Planning
  • Infrastructure Documentation

است.

یکی از ابزارهای شناخته‌شده برای این کار OWASP Amass است.

Amass یک ابزار متن‌باز برای شناسایی دارایی‌های خارجی، DNS Enumeration و ترسیم Attack Surface سازمان است و از منابع مختلف اطلاعاتی برای پیدا کردن Domain و Subdomain استفاده می‌کند.

در این مقاله نحوه نصب Amass و استفاده از آن برای کشف Subdomainهای دامنه‌ای که مدیریت آن را در اختیار دارید بررسی می‌کنیم.

Amass را فقط برای دامنه‌ها، شبکه‌ها و زیرساخت‌هایی استفاده کنید که مالک آنها هستید یا برای بررسی آنها مجوز صریح دارید.

Amass چیست؟

Amass یکی از پروژه‌های OWASP در حوزه:

Attack Surface Mapping و Asset Discovery

است.

این ابزار می‌تواند اطلاعات مربوط به Domainها، Subdomainها، DNS Recordها و بخشی از زیرساخت اینترنتی یک سازمان را جمع‌آوری و ارتباط میان آنها را تحلیل کند.

برای مثال ممکن است دامنه زیر را داشته باشیم:

example.com

و Amass بتواند Subdomainهایی مانند:

www.example.com
mail.example.com
api.example.com
vpn.example.com
support.example.com

را شناسایی کند.

Subdomain Enumeration چیست؟

به فرآیند پیدا کردن Subdomainهای مربوط به یک Domain:

Subdomain Enumeration

گفته می‌شود.

برای مثال Domain اصلی:

example.com

است و موارد زیر Subdomain هستند:

mail.example.com
shop.example.com
api.example.com
portal.example.com

هدف Subdomain Enumeration این است که تا حد امکان Assetهای مرتبط با Domain شناسایی و مستندسازی شوند.

چرا کشف Subdomainها مهم است؟

فرض کنید تیم IT فقط این سرویس‌ها را مستند کرده است:

www.example.com
mail.example.com

اما در DNS هنوز موارد زیر وجود دارند:

old-panel.example.com
dev.example.com
test-api.example.com
backup.example.com

اگر این Assetها فراموش شده باشند، ممکن است:

  • نرم‌افزار قدیمی داشته باشند.
  • Patch نشده باشند.
  • دیگر توسط تیم IT مانیتور نشوند.
  • Certificate منقضی داشته باشند.
  • DNS Record غیرضروری داشته باشند.
  • به سرویس حذف‌شده یا Third-party قدیمی اشاره کنند.

بنابراین Subdomain Discovery فقط برای تست نفوذ نیست و در مدیریت زیرساخت نیز کاربرد مهمی دارد.

روش‌های کشف Subdomain در Amass

Amass می‌تواند از روش‌ها و Data Sourceهای مختلف برای پیدا کردن نام‌های مرتبط با Domain استفاده کند.

این اطلاعات ممکن است از منابعی مانند:

  • Certificate Transparency
  • Search Engineها
  • DNS Data
  • Public APIها
  • Passive DNS
  • Threat Intelligence Sourceها
  • Datasetهای عمومی

جمع‌آوری شوند.

دو حالت مهم استفاده از Amass عبارت‌اند از:

Passive Enumeration
Active Enumeration

در بیشتر بررسی‌های اولیه بهتر است ابتدا از حالت Passive شروع شود.

Passive Enumeration چیست؟

در Passive Enumeration، ابزار تا حد امکان از منابع اطلاعاتی موجود استفاده می‌کند و تماس مستقیم کمتری با زیرساخت هدف دارد.

دستور:

amass enum -passive -d example.com

نمونه خروجی:

www.example.com
mail.example.com
api.example.com
support.example.com

Passive Enumeration برای تهیه Inventory اولیه بسیار مناسب است.

مزیت Passive Enumeration

Passive Enumeration معمولاً:

  • سریع‌تر است.
  • Request مستقیم کمتری ایجاد می‌کند.
  • برای Asset Discovery اولیه مناسب است.
  • برای بررسی تعداد زیادی Domain کاربرد دارد.
  • از منابع عمومی برای کشف Assetها استفاده می‌کند.

اما باید توجه داشت که نتایج Passive Scan لزوماً به این معنی نیست که تمام Subdomainهای پیدا شده در لحظه اسکن Resolve می‌شوند.

نصب Amass در Kali Linux

در Kali Linux ابتدا Repository را به‌روزرسانی کنید:

sudo apt update

سپس:

sudo apt install amass

بعد از نصب:

amass -version

را اجرا کنید.

برای مشاهده Help نیز:

amass -help

یا بسته به نسخه:

amass enum -h

قابل استفاده است.

بررسی نسخه نصب‌شده

برای مشاهده نسخه:

amass -version

بهتر است قبل از استفاده از آموزش‌های اینترنتی، نسخه Amass را بررسی کنید؛ زیرا Syntax بعضی گزینه‌ها بین نسخه‌های مختلف تغییر کرده است.

اولین اسکن Subdomain

برای شروع:

amass enum -d example.com

گزینه:

enum

برای Enumeration استفاده می‌شود.

و:

-d

Domain هدف را مشخص می‌کند.

نمونه:

amass enum -d example.com

خروجی ممکن است شامل:

www.example.com
mail.example.com
panel.example.com
api.example.com

باشد.

اجرای Passive Scan

برای اجرای Passive Enumeration:

amass enum -passive -d example.com

این دستور یکی از بهترین نقاط شروع برای Asset Discovery است.

نمایش منبع کشف هر Subdomain

گاهی مهم است بدانیم هر Subdomain از چه Data Sourceای پیدا شده است.

در نسخه‌هایی که این Option را پشتیبانی می‌کنند:

amass enum -src -d example.com

می‌تواند Source مربوط به نتیجه را نیز نمایش دهد.

این قابلیت برای بررسی کیفیت نتایج و شناخت Data Sourceهای مؤثر مفید است.

مشاهده Data Sourceهای Amass

برای مشاهده Sourceهای موجود، بسته به نسخه Amass می‌توانید Help را بررسی کنید:

amass enum -h

بعضی Data Sourceها بدون API Key کار می‌کنند، اما برخی دیگر برای نتیجه بهتر نیازمند Credential هستند.

ذخیره نتایج در فایل

برای ذخیره خروجی:

amass enum -passive -d example.com -o subdomains.txt

سپس:

cat subdomains.txt

را اجرا کنید.

ذخیره خروجی اهمیت زیادی دارد، زیرا می‌توانید نتایج را در اسکن‌های بعدی با یکدیگر مقایسه کنید.

ذخیره خروجی JSON

برای Automation یا پردازش داده‌ها، خروجی JSON مناسب‌تر است.

در نسخه‌هایی که این گزینه را ارائه می‌کنند:

amass enum -d example.com -json results.json

خروجی JSON را می‌توان در:

  • SIEM
  • Dashboard
  • Asset Inventory
  • Data Pipeline
  • Scriptهای مدیریتی

استفاده کرد.

بررسی چند Domain

اگر سازمان چند Domain دارد می‌توان چند Target تعریف کرد.

برای مثال:

amass enum -passive \
-d example.com \
-d example.net

این روش برای سازمان‌هایی که چند Brand یا Domain دارند مناسب است.

تعیین DNS Resolver

در بعضی سناریوها می‌توانید Resolverهای DNS را مشخص کنید.

برای مثال:

amass enum -d example.com -r 1.1.1.1,8.8.8.8

همچنین می‌توان Resolverها را از فایل خواند:

amass enum -d example.com -rf resolvers.txt

این قابلیت به‌خصوص در Enumerationهای بزرگ‌تر کاربرد دارد.

Active Enumeration چیست؟

Active Enumeration می‌تواند تعامل مستقیم بیشتری با DNS و Infrastructure هدف داشته باشد.

برای مثال:

amass enum -active -d example.com

Active Enumeration نسبت به Passive Mode می‌تواند اطلاعات بیشتری تولید کند، اما طبیعتاً درخواست‌های بیشتری نیز ایجاد می‌کند.

به همین دلیل فقط روی زیرساختی استفاده شود که مجوز بررسی آن را دارید.

تفاوت Passive و Active Enumeration

به‌صورت ساده:

Passive

بیشتر بر Data Sourceهای عمومی و اطلاعات موجود تکیه می‌کند.

در مقابل:

Active

تعامل مستقیم بیشتری با Infrastructure و DNS Target دارد.

برای Asset Inventory اولیه معمولاً بهتر است کار را با:

amass enum -passive -d example.com

شروع کنید.

Brute Force در Amass

Amass قابلیت DNS Brute Force نیز دارد.

در نسخه‌هایی که این قابلیت از طریق enum ارائه می‌شود:

amass enum -brute -d example.com

در این روش نام‌های احتمالی Subdomain امتحان می‌شوند.

برای مثال:

mail
vpn
api
panel
dev
test
stage
backup
monitor

ممکن است برای Domain هدف بررسی شوند.

Brute Force تعداد DNS Query بیشتری ایجاد می‌کند و باید فقط در Scope مجاز استفاده شود.

استفاده از Wordlist

می‌توان Wordlist مشخصی برای نام‌های احتمالی Subdomain استفاده کرد.

برای مثال:

amass enum -brute -w subdomains.txt -d example.com

فایل Wordlist ممکن است شامل:

mail
vpn
panel
api
dev
staging
backup
monitor
status

باشد.

برای سازمان‌ها بهتر است Wordlist با نام‌های واقعی سرویس‌های مورد استفاده خود سازمان ساخته شود.

محدود کردن زمان Enumeration

برای جلوگیری از طولانی شدن عملیات می‌توان Timeout مشخص کرد.

برای مثال:

amass enum -passive -d example.com -timeout 10

در نسخه‌هایی که این Option را پشتیبانی می‌کنند، مقدار Timeout مدت اجرای Enumeration را محدود می‌کند.

استفاده از Configuration File

در استفاده حرفه‌ای‌تر بهتر است تنظیمات Amass داخل Configuration File نگهداری شوند.

Configuration می‌تواند شامل مواردی مانند:

  • Scope
  • Domainها
  • DNS Resolverها
  • Data Sourceها
  • API Keyها
  • Brute Force Settings
  • Blacklist

باشد.

مسیر Configuration در نسخه‌ها و روش‌های نصب مختلف ممکن است متفاوت باشد، بنابراین قبل از تنظیم بهتر است مستندات همان نسخه را بررسی کنید.

استفاده از API Key

برخی Data Sourceها برای ارائه نتیجه کامل‌تر به API Key نیاز دارند.

بهتر است API Keyها:

  • داخل Command Line قرار نگیرند.
  • در Script عمومی Hardcode نشوند.
  • داخل Git Repository عمومی قرار نگیرند.
  • در Configuration امن یا Secret Management نگهداری شوند.

افزودن API Key مناسب می‌تواند کیفیت Enumeration را به شکل قابل توجهی افزایش دهد.

حذف نتایج تکراری

بعد از اجرای چند روش مختلف، ممکن است Subdomainهای تکراری داشته باشید.

برای حذف آنها:

sort -u subdomains.txt

همچنین اگر چند فایل دارید:

cat amass.txt other-source.txt | sort -u > all-subdomains.txt

این دستور نتایج را ادغام و موارد تکراری را حذف می‌کند.

شمارش Subdomainهای پیدا شده

برای شمارش نتایج:

wc -l subdomains.txt

مثلاً:

86 subdomains.txt

یعنی فایل شامل 86 Entry است.

بررسی DNS یک Subdomain

بعد از کشف Subdomain بهتر است بررسی کنید آیا DNS آن Resolve می‌شود.

برای مثال:

dig api.example.com

برای نمایش خروجی خلاصه:

dig +short api.example.com

یا:

nslookup api.example.com

بررسی Web Service

اگر Subdomain متعلق به سازمان خودتان است، می‌توانید بررسی کنید آیا Web Service روی آن فعال است:

curl -I https://api.example.com

یا:

curl -I http://api.example.com

این کار کمک می‌کند مشخص شود Subdomain صرفاً یک DNS Record است یا سرویس فعال نیز پشت آن وجود دارد.

بررسی یک Subdomain فقط با پیدا شدن نام تمام نمی‌شود

فرض کنید Amass مورد زیر را پیدا کند:

old-panel.example.com

باید مشخص شود:

  • DNS آن به چه IPای اشاره می‌کند؟
  • آیا سرویس فعال است؟
  • Owner این Asset چه کسی است؟
  • مربوط به Production است یا Test؟
  • آیا هنوز مورد نیاز است؟
  • آیا تحت Monitoring است؟
  • Certificate معتبر دارد؟
  • در Inventory سازمان ثبت شده است؟

هدف واقعی Asset Discovery فقط تولید لیست نام‌ها نیست.

یک Workflow ساده برای کشف Subdomain

برای یک Domain متعلق به سازمان خودتان می‌توانید از این روند استفاده کنید.

مرحله اول: Passive Enumeration

amass enum -passive -d example.com -o passive.txt

مرحله دوم: حذف موارد تکراری

sort -u passive.txt > subdomains.txt

مرحله سوم: شمارش نتایج

wc -l subdomains.txt

مرحله چهارم: بررسی DNS

برای Assetهای مهم:

dig +short api.example.com

مرحله پنجم: بررسی سرویس

curl -I https://api.example.com

مرحله ششم: مستندسازی

برای هر Asset موارد زیر را ثبت کنید:

Subdomain
IP
Owner
Service
Environment
Status
Last Review

مرحله هفتم: مقایسه با Inventory

نتایج Amass را با:

  • DNS Provider
  • CMDB
  • Cloud Inventory
  • Reverse Proxy
  • Load Balancer
  • Monitoring System

مقایسه کنید.

استفاده از Amass در Attack Surface Management

یکی از بهترین کاربردهای Amass اجرای دوره‌ای Discovery است.

فرض کنید در ماه اول:

120 Subdomain

دارید.

یک ماه بعد:

127 Subdomain

مشاهده می‌شود.

این هفت Asset جدید باید بررسی شوند.

ممکن است:

  • سرویس جدید باشند.
  • محیط Test باشند.
  • Asset بدون مستندات باشند.
  • DNS Record فراموش‌شده باشند.
  • Third-party جدیدی باشند.

بنابراین Amass می‌تواند بخشی از فرآیند مستمر:

External Attack Surface Management

باشد.

آیا Amass همه Subdomainها را پیدا می‌کند؟

خیر.

هیچ ابزار OSINT یا Subdomain Enumeration نمی‌تواند تضمین کند تمام Subdomainهای یک سازمان را پیدا خواهد کرد.

دلایل مختلفی وجود دارد:

  • Subdomain در منابع عمومی ثبت نشده است.
  • DNS فقط داخل شبکه داخلی قابل مشاهده است.
  • Split DNS استفاده می‌شود.
  • Data Sourceها محدودیت دارند.
  • API Key تنظیم نشده است.
  • Asset جدید است.
  • رکورد فقط در Private DNS وجود دارد.

به همین دلیل Amass باید در کنار منابع داخلی استفاده شود.

منابعی که باید با Amass مقایسه شوند

برای ایجاد Inventory دقیق، نتیجه Amass را با موارد زیر مقایسه کنید:

  • DNS Zone
  • Cloud DNS
  • CMDB
  • Load Balancer
  • Reverse Proxy
  • Certificate Inventory
  • Kubernetes Ingress
  • CDN
  • Infrastructure as Code
  • Monitoring Platform

این مقایسه می‌تواند Assetهایی را مشخص کند که بیرون از فرآیند رسمی سازمان ایجاد شده‌اند.

Amass جایگزین DNS Inventory نیست

Amass یک ابزار Discovery است.

اگر مدیر Domain هستید، Source of Truth باید سیستم رسمی مدیریت زیرساخت شما باشد.

برای مثال:

DNS Provider
CMDB
Cloud Inventory
Infrastructure as Code

Amass بیشتر برای پیدا کردن اختلاف میان:

What we think exists

و:

What is actually visible

ارزش دارد.

اشتباهات رایج

برخی اشتباهات متداول هنگام استفاده از Amass عبارت‌اند از:

  • اجرای Active Enumeration بدون مجوز
  • شروع مستقیم با Brute Force
  • اعتماد کامل به خروجی یک ابزار
  • تصور اینکه هر Subdomain کشف‌شده فعال است
  • تنظیم نکردن Data Sourceها
  • ذخیره نکردن نتایج
  • مقایسه نکردن خروجی با Inventory رسمی
  • بررسی نکردن Assetهای قدیمی
  • ذخیره API Key داخل Script عمومی
  • تصور اینکه پیدا نشدن Subdomain به معنی وجود نداشتن آن است

بهترین روش‌ها

برای استفاده صحیح از Amass:

  • ابتدا Passive Enumeration را اجرا کنید.
  • Scope را دقیق مشخص کنید.
  • نتایج را ذخیره کنید.
  • خروجی را Deduplicate کنید.
  • DNS نتایج مهم را Validate کنید.
  • Data Sourceها را بررسی کنید.
  • API Keyها را امن نگه دارید.
  • Assetهای جدید را با Inventory مقایسه کنید.
  • Active Enumeration را فقط در Scope مجاز انجام دهید.
  • Discovery را به فرآیندی دوره‌ای تبدیل کنید.

چک‌لیست

بعد از اجرای Amass موارد زیر را بررسی کنید:

  • Domain صحیح وارد شده است.
  • Passive Enumeration انجام شده است.
  • خروجی ذخیره شده است.
  • موارد تکراری حذف شده‌اند.
  • DNS Subdomainهای مهم بررسی شده است.
  • Assetهای جدید مشخص شده‌اند.
  • Owner هر Asset مشخص شده است.
  • Environment هر Asset مشخص شده است.
  • Subdomainهای قدیمی بررسی شده‌اند.
  • نتایج با Inventory رسمی مقایسه شده‌اند.
  • API Keyها امن نگهداری می‌شوند.
  • Active Enumeration فقط در Scope مجاز انجام شده است.

مطالعات بیشتر

برای مطالعه بیشتر درباره OWASP Amass می‌توانید منابع زیر را بررسی کنید:

به دلیل تغییر بعضی Commandها در نسخه‌های مختلف Amass، قبل از اجرای دستورات پیشرفته بهتر است Help همان نسخه نصب‌شده را نیز بررسی کنید:

amass enum -h

جمع‌بندی

OWASP Amass یکی از ابزارهای کاربردی برای کشف Subdomain، DNS Enumeration و شناسایی External Assetهای یک سازمان است.

برای شروع معمولاً می‌توان از:

amass enum -passive -d example.com

استفاده کرد.

این دستور می‌تواند یک Inventory اولیه از Subdomainهایی که از طریق منابع مختلف قابل شناسایی هستند ایجاد کند.

برای ذخیره نتیجه نیز:

amass enum -passive -d example.com -o subdomains.txt

قابل استفاده است.

اما ارزش واقعی Amass زمانی مشخص می‌شود که خروجی آن فقط یک لیست Subdomain باقی نماند.

هر Asset کشف‌شده باید از نظر:

  • DNS
  • IP
  • Owner
  • Environment
  • Service
  • Monitoring
  • Business Purpose
  • وضعیت فعال یا منسوخ بودن

بررسی شود.

اگر Amass Subdomainی را پیدا کند که در Inventory رسمی سازمان وجود ندارد، آن Asset باید بررسی شود تا مشخص شود چرا ایجاد شده، چه کسی آن را مدیریت می‌کند و آیا هنوز باید فعال باشد یا خیر.

به همین دلیل Amass را بهتر است نه فقط یک ابزار Reconnaissance، بلکه بخشی از فرآیند Asset Discovery و Attack Surface Management در نظر گرفت.

کیان پور

مطالب اخیراً بازدیدشده

نظرات خود را بنویسید...

اشتراک گذاری این مقاله

آموزش Amass برای کشف Subdomain

کپی کردن لینک

سلام