Lookalike-Domains erkennen: Punycode und Unicode, gemischte Schriften und verwechselbare Zeichen nach UTS #39.
Neu
Lookalike-Domain-Generator
Netzwerk: DoHNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Lookalike-Domain-Generator verwenden
Was es bewirkt
Geben Sie eine Domain ein, um in Ihrem Browser Permutationen im Stil von dnstwist zu erzeugen. Drücken Sie Check DNS, um die NS- und A-Einträge der ausgewählten Kandidaten über das DNS-Relay von PhishDestroy abzufragen.
Die von Ihnen abgefragten DNS-Namen werden an den PhishDestroy-DNS-Relay (/api/dns-resolve.php) gesendet, der die Abfrage über HTTPS an Cloudflare oder Google DNS weiterleitet.
So verwenden Sie Lookalike-Domain-Generator
- Domain eingeben. Geben Sie die Domain ein, die Sie schützen oder untersuchen möchten, oder fügen Sie eine URL ein. Nur der Hostname wird verwendet, und entschärfte Formen wie hxxps:// und [.] werden akzeptiert.
- Liste erzeugen. Drücken Sie Generate oder die Eingabetaste. Die Kandidaten werden in Ihrem Browser erzeugt, und zu diesem Zeitpunkt wird nichts gesendet.
- Eingrenzen. Mit Show fuzzer sehen Sie sich eine einzelne Technik an, etwa homoglyph oder tld-swap. Die ersten Zeilen wechseln durch alle Fuzzer und geben so einen schnellen Querschnitt.
- Namen für die Abfrage wählen. Legen Sie fest, wie viele Kandidaten ausgewählt werden sollen (standardmäßig 60, höchstens 300), und drücken Sie Select the first N shown, oder haken Sie die Kästchen selbst an.
- DNS prüfen. Drücken Sie Check DNS, um für die ausgewählten Namen NS- und dann A-Einträge abzufragen, etwa eine Abfrage pro Sekunde. Stop beendet den Durchlauf jederzeit.
- Treffer exportieren. Filtern Sie nach Registered (any), und verwenden Sie dann Copy registered, Download CSV, Download list (.txt) oder Send to… für den nächsten Schritt.
Beispiel
Permutationen von example.com
example.com329 candidates for example[.]com (label example under com) from 15 fuzzers, generated in your browser. Nothing has been sent.
Rows alternate between fuzzers, so the first rows sample every technique. Showing 329 rows.Listet 329 Kandidaten aus 15 Fuzzern auf, etwa exmaple.com (transposition), examle.com (omission), examp1e.com (homoglyph) und example-login.com (dictionary). Nichts wird abgefragt, bevor Sie Check DNS drücken.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Fuzzer | Die Technik, die den Namen erzeugt hat: omission, transposition, repetition, replacement, insertion, homoglyph, vowel-swap, hyphenation, tld-swap, dictionary, addition, various, subdomain, bitsquatting oder cyrillic. |
| Spalte Punycode | Namen mit Akzent- oder kyrillischen Buchstaben werden mit ihrer xn--Form aufgeführt. Registrare und DNS verwenden diese Form; suchen Sie daher in anderen Tools danach. |
| Not registered (NXDOMAIN) | Der Name existiert im DNS nicht. Er ist frei registrierbar und kann daher später noch auftauchen. |
| Registered, resolves | Der Name hat Nameserver und einen A-Eintrag, und bis zu drei Adressen werden angezeigt. Prüfen Sie diese Gruppe zuerst. |
| Registered, no A record | Die Domain ist delegiert, verweist aber auf keine Adresse. Sie kann geparkt sein, für später vorgehalten werden oder der Marke selbst gehören. |
| SERVFAIL | Die Domain scheint delegiert zu sein, aber ihre Nameserver antworten nicht. Das Tool zählt sie als wahrscheinlich registriert. |
| Existiert ohne eigene Nameserver | Angezeigt als Exists (NOERROR, no NS/A) oder Exists, resolves (no own NS). Das kommt zum Beispiel bei Kandidaten im Subdomain-Stil wie e.xample.com vor, die unter einer anderen Domain liegen. |
| DNS-Fehler oder fehlgeschlagene Abfrage | Es kam keine verwertbare Antwort zurück. Bittet das Relay, langsamer zu werden, zeigt die Fortschrittszeile die Wartezeit. Prüfen Sie diese Namen später erneut. |
| CSV-Export | Spalten fuzzer, domain, punycode, dns_status, ns und a für jeden Kandidaten, bereit für eine Tabelle oder eine Beobachtungsliste. |
Weitere Beispiele
Eine einfache .net-Domain
example.net331 Kandidaten für example[.]net (Label example unter net) aus 15 Fuzzern, in Ihrem Browser erzeugt. Nichts wurde gesendet. Die ersten Zeilen sind xample[.]net (omission), xeample[.]net (transposition) und eexample[.]net (repetition); die cyrillic-Zeile ist ехамрӏе[.]net mit Punycode xn--80ajb1au1a38g[.]net.
Subdomain unter einem zweiteiligen Suffix
shop.example.co.uk332 Kandidaten für example[.]co[.]uk (Label example unter co.uk, Subdomain shop nur in „various“ verwendet) aus 15 Fuzzern. Der Fuzzer various ergänzt Namen wie shopexample[.]co[.]uk, shop-example[.]co[.]uk und example-co-uk[.]uk.
IP-Adresse statt einer Domain
192.0.2.1IP addresses have no lookalike domains; enter a domain name. Es wird keine Liste erstellt und nichts gesendet.
Häufig gestellte Fragen
Welche Permutationen erzeugt das Tool?
Addition, Bitsquatting, Homoglyphen (ASCII-Ersetzungen wie rn für m, 1 für l und 0 für o sowie IDN-Buchstaben mit Akzent, die mit ihrem Punycode aufgeführt werden), eine kyrillische Kopie des ganzen Labels, Bindestriche, Einfügung, Auslassung, Wiederholung, Ersetzung nach QWERTY-Tastatur, Subdomain, Vertauschung, Vokaltausch, 13 Wörterbuchwörter, eine Liste von 52 gängigen und missbrauchten TLDs sowie die www- und -com-Muster von dnstwist. Ungültige Hostnamen und Duplikate werden verworfen, und höchstens 2.000 Kandidaten werden aufgelistet.
Was bedeutet der DNS-Status?
NXDOMAIN bedeutet, dass der Name nicht existiert: Er ist nicht registriert oder wurde aus der Zone entfernt. NS-Einträge bedeuten, dass die Domain registriert und delegiert ist, und ein A-Eintrag bedeutet, dass sie auch auf eine Adresse aufgelöst wird. Eine registrierte Lookalike-Domain ist kein Beweis für Missbrauch, denn Marken registrieren oft ihre eigenen Tippfehler-Varianten.
Was wird über das Netzwerk gesendet?
Die Erstellung der Liste erfolgt in Ihrem Browser. Erst wenn Sie auf „DNS prüfen“ klicken, werden die ausgewählten Namen (bis zu 300, etwa eine Abfrage pro Sekunde) an das DNS-Relay von PhishDestroy gesendet, das eine Anfrage an Cloudflare DNS über HTTPS stellt – oder an Google Public DNS, falls die Cloudflare-Abfrage fehlschlägt; ansonsten verlassen keine weiteren Daten die Seite.
Wie werden Subdomains und Länder-Suffixe behandelt?
Nur das Label direkt vor dem Suffix wird verändert. Das Tool kennt eine Liste zweiteiliger Suffixe wie co.uk und com.au, daher wird shop.example.co.uk als example unter co.uk behandelt. Eine andere Subdomain als www wird nur in den various-Mustern verwendet, etwa shopexample.co.uk.
Warum werden zunächst nur 60 Namen ausgewählt?
Jeder Name braucht eine oder zwei DNS-Abfragen, NS und dann A, es sei denn, der Name existiert nicht, gesendet etwa einmal pro Sekunde. Das Relay erlaubt 60 Abfragen pro Minute, daher dauern 60 Namen etwa eine bis zweieinhalb Minuten. Pro Durchlauf können Sie bis zu 300 auswählen.
Kann das Tool diese Namen dauerhaft überwachen?
Nein. Es speichert keine Ergebnisse und benachrichtigt Sie nicht über Änderungen. Laden Sie die CSV oder die .txt-Liste herunter, führen Sie die Prüfung später erneut aus, oder laden Sie die Liste in Ihre eigene Überwachung.