Para hacer un buen pentest es necesario realizar una buena recolección de información del objetivo o lo que viene a ser una buena fase de information gathering, por ello en este artículo vamos a ver como instalar y utilizar una herramienta OSINT automatizada que nos va a permitir recopilar mucha información que será necesaria para empezar a atacar a nuestro objetivo.
Esta herramienta se llama spiderfoot, la podemos encontrar tanto en version web online accediendo a https://www.spiderfoot.net/ o de manera local que sera lo que enseñaremos en este artículo.
Para empezar nos vamos a nuestra máquina de kali linux y en una terminal con usuario root tecleamos el siguiente comando:
- git clone https://github.com/smicallef/spiderfoot.git
En caso de que no tengamos instalada la herramienta git procederemos a instalarla con el siguiente comando:
- apt-get install git
Una vez clonada la aplicación lo siguiente que haremos es entrar dentro de ella con el siguiente comando:
- cd spiderfoot/
Cuando estemos dentro de la carpeta vamos a proceder a instalar los requirements necesarios para que la herramienta funcione correctamente, lo haremos con el siguiente comando:
- pip3 install -r requirements.txt
En caso de que no tengamos la herramienta pip3 instalada, teclearemos el siguiente comando para instalarla:
- apt-get install pip
Ya tenemos la aplicación clonada y los requirements instalados vamos a arrancar la aplicación para ello tenemos dos comandos posibles:
- ./sf.py -l 127.0.0.1:5001
- python3 sf.py -l 127.0.0.1:5001
Ahora que ya tenemos el programa funcionando, debemos abrir el navegador y en la url ponemos lo siguiente:
- 127.0.0.1:5001
En la imagen anterior podemos observar la interfaz gráfica que tiene la herramienta y las distintas opciones que nos ofrece, veámoslas un poco más en detalle.
Para empezar tenemos el apartado “New Scan”, aquí tendremos que darle un nombre a nuestro proyecto y la url del objetivo.
Más abajo observamos que dependiendo de los usos, los módulos o los datos requeridos tendremos distintas opciones que influirán en el resultado que obtendremos más adelante.
- Busqueda por datos requeridos
Estas son algunas de las opciones que nos ofrece spiderfoot podemos seleccionar y quitar las que nos interesen, por defecto aparecen todas seleccionadas pues es la mejor configuración.
En este apartado spiderfoot recurre a páginas web, buscadores o decodificadores que nos ayudarán a obtener muchos más resultados que si no hacemos uso de ellos, los módulos que aparecen con un candado quiere decir que requieren API Key, para obtenerlas nos debemos de registrar en el sitio web que la solicita cabe destacar que algunas apis son gratuitas y otras de pago, aquí ya entra la elección de cada uno.
La siguiente opción que tiene nuestra herramienta se llama “scans” y como bien su nombre indica es donde se almacenaran nuestros escaneos.
Si observamos la imagen podemos observar que tenemos un filtro de búsqueda para encontrar más rapido nuestros proyectos, tenemos una opción para parar y borrar escaneos y por último también podemos descargar nuestros escaneos una vez estos finalizen.
El ultimo apartado que nos ofrece spiderfoot es Settings, en la configuración es donde podremos añadir las API Key anteriormente mencionadas, veamos cómo se hace.
De primeras nos sale la configuración por defecto de spiderfoot y los distintos modulos que utiliza, para añadir una API Key seleccionamos cualquier opción que contenga el candado y una vez nos hallamos registrado y obtenido la API Key la pegamos en la opcion API Key. Despues damos a “save settings” y en el proximo escaneo que hagamos utilizará la API Key que le hemos dado.
Conclusión
En resumen, spiderfoot es una herramienta de OSINT automatizada que nos ayuda a recolectar información de una manera más ordenada y rápida, de esta manera conseguiremos obtener mejores resultados en nuestras auditorías.
-Mouad Tenbihi-
