Dış Recon Pipeline

recon difficulty: kolay-orta

Dış recon’un amacı doğrulanmış bir varlık listesi üretmektir. Önce keşfet, sonra canlı HTTP’yi süz, en sonda port/CVE tar — gürültüyü ve yanlış pozitifleri azaltır.

Ön koşullar

- Kök domain(ler) ve yazılı kapsam
- Resolver listesi, API anahtarları (opsiyonel: SecurityTrails, GitHub, Shodan)
- Araçlar: bbot, subfinder, httpx, katana, naabu, nuclei, puredns

Pipeline

1. Pasif toplama — CT, DNS, OSINT, kod/depo, e-posta, cloud bucket ipuçları.

2. Aktif doğrulama — çözümleme, wildcard eleme, httpx ile canlı kümeleme.

3. Yüzey genişletme — katana (JS/XHR), vhost, arşiv, takeover adayları.

4. Port & template — naabu + nuclei yalnızca doğrulanmış canlı sete.

5. Daralt & screenshot — ilginç hostlarda ikinci geçiş; bulguları triage et.

1) Toplu varlık keşfi

bbot -t hedef.com -p subdomain-enum cloud-enum code-enum email-enum spider -o ./bbot_out

subfinder -d hedef.com -all -o subs_subfinder.txt

amass enum -passive -d hedef.com -o subs_amass.txt

assetfinder --subs-only hedef.com | tee subs_af.txt

curl -s "https://crt.sh/?q=%25.hedef.com&output=json" | jq -r '.[].name_value' | sed 's/\*\.//g' | sort -u > subs_ct.txt

cat subs_*.txt | sort -u > subs_all.txt

GitHub / sızan secret ve geniş kaynak kod araması OSINT fazını tamamlar (anahtar kelime + org dork’ları). Veritabanı sızıntıları varsa kullanıcı/e-posta listesini spray için ayır.

2) Çözümleme ve brute

puredns resolve subs_all.txt -r resolvers.txt -w resolved.txt

puredns bruteforce dns_wordlist.txt hedef.com -r resolvers.txt -w brute_res.txt

dnsx -l resolved.txt -a -aaaa -cname -resp -o dnsx.txt

dig axfr @ns1.hedef.com hedef.com

3) Canlı HTTP doğrulama (httpx)

httpx -l resolved.txt -sc -title -td -favicon -jarm -asn -jsonl -o httpx.jsonl

httpx -l resolved.txt -silent -o live_hosts.txt

jq -r 'select(.status_code==200) | .url' httpx.jsonl | sort -u > interesting_urls.txt

Favicon/JARM/ASN ile kümeleme triage’ı hızlandırır; CDN’li edge’leri naabu’da --exclude-cdn ile ayır.

4) Crawl & endpoint (katana)

katana -list live_hosts.txt -jc -js-crawl -kf all -xhr -fx -jsonl -o katana.jsonl

katana -u https://app.hedef.com -d 3 -jc -o katana_app.txt

jq -r '.request.endpoint // .url // empty' katana.jsonl | sort -u > endpoints.txt

SPA’larda JS ve XHR çıkarımı klasik spider’dan daha değerlidir. Web dizin brute için ayrıca İçerik Keşfi.

5) Port tarama (naabu / nmap)

naabu -list live_hosts.txt -top-ports 1000 -exclude-cdn -json -o naabu.jsonl

naabu -list live_hosts.txt -p - -exclude-cdn -rate 2000 -json -o naabu_full.jsonl

nmap -sV -sC -iL live_ips.txt --top-ports 1000 -oA nmap_top

6) Template taraması (nuclei)

nuclei -list live_hosts.txt -as -jsonl -o nuclei.jsonl

nuclei -list live_hosts.txt -tags cve,misconfig,exposure -severity medium,high,critical -jsonl -o nuclei_prio.jsonl

nuclei -l interesting_urls.txt -t http/exposures/ -jsonl -o exposures.jsonl

7) Screenshot & takeover adayları

httpx -l interesting_hosts.txt -ss -jsonl -o httpx-screenshots.jsonl

subzy run --targets resolved.txt --hide_fails

nuclei -l resolved.txt -t http/takeovers/ -jsonl -o takeovers.jsonl

Detay: Subdomain Takeover.

Komut üreteci

⚡

bbot · subdomain-enum

embedded tool

DomainÇıktı dizini

Generated commandcopy

bbot -t hedef.com -p subdomain-enum cloud-enum code-enum email-enum spider -o ./bbot_out

bbot · subdomain-enum

JSONL disiplini

bbot → hosts
  → httpx.jsonl (canlı + tech)
  → katana.jsonl (endpoint)
  → naabu.jsonl + nuclei.jsonl
  → auth sonrası yeniden koş

Yeni credential veya session gelince yalnızca canlı + auth fazını tekrar koşmak, tüm DNS brute’unu yeniden yapmaktan ucuzdur.

Zincir örneği

CT + subfinder + bbot → puredns
  → httpx kümele → katana JS
  → naabu top-1000 → nuclei
  → takeover / exposed panel → Web veya phishing