Zoek op domeinen die op elkaar lijken: Punycode en Unicode, gemengde schriften en verwisselbare tekens uit UTS #39.
Nieuw
Generator voor gelijkende domeinnamen
Netwerk: DoHNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Generator voor gelijkende domeinnamen
Wat het doet
Voer een domeinnaam in om permutaties in de stijl van DNSTwist in je browser te genereren. Klik op ‘Check DNS’ om de NS- en A-records op te zoeken van de kandidaten die je selecteert via de DNS-relay van PhishDestroy.
DNS-namen die je opzoekt, worden doorgestuurd naar het PhishDestroy DNS-relay (/api/dns-resolve.php), dat via HTTPS een verzoek indient bij Cloudflare of Google DNS.
Hoe gebruik je Generator voor gelijkende domeinnamen
- Voer het domein in. Typ de domeinnaam in die je wilt beveiligen of onderzoeken, of plak een URL. Er wordt alleen de hostnaam gebruikt, en aangepaste vormen zoals hxxps:// en [.] worden geaccepteerd.
- De lijst genereren. Klik op ‘Genereren’ of druk op Enter. De kandidaten worden in je browser gegenereerd; er wordt op dit moment nog niets verzonden.
- Beperk de zoekresultaten. Gebruik ‘Show fuzzer’ om één techniek te bekijken, zoals ‘homoglyph’ of ‘tld-swap’. De eerste rijen tonen om de beurt alle fuzzers, zodat je snel een indruk krijgt.
- Kies namen om op te zoeken. Stel in hoeveel kandidaten je wilt selecteren (standaard 60, maximaal 300) en klik op ‘De eerste N weergeven’, of vink de vakjes zelf aan.
- Controleer DNS. Klik op ‘Check DNS’ om de NS- en vervolgens de A-records voor de geselecteerde namen op te zoeken, met een snelheid van ongeveer één query per seconde. Met ‘Stop’ kun je de uitvoering op elk moment beëindigen.
- De hits exporteren. Filter op ‘Geregistreerd’ (willekeurig) en gebruik vervolgens ‘Geregistreerde kopiëren’, ‘CSV downloaden’, ‘Lijst downloaden (.txt)’ of ‘Verzenden naar…’ voor de volgende stap.
Voorbeeld
Permutaties van example.com
example.com329 candidates for example[.]com (label example under com) from 15 fuzzers, generated in your browser. Nothing has been sent.
Rows alternate between fuzzers, so the first rows sample every technique. Showing 329 rows.Bevat een lijst met 329 kandidaten uit 15 fuzzers, zoals exmaple.com (omwisseling), examle.com (weglating), examp1e.com (homoglyf) en example-login.com (woordenboek). Er wordt pas iets opgezocht als je op ‘Check DNS’ drukt.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Fuzzer | De techniek waar de naam van is afgeleid: weglating, omwisseling, herhaling, vervanging, invoeging, homoglyf, klinkerwisseling, koppeltekengebruik, tld-wisseling, woordenboek, toevoeging, diverse, subdomein, bitsquatting of Cyrillisch. |
| Kolom ‘Punycode’ | Namen met accenten of Cyrillische letters worden weergegeven in hun xn---vorm. Registrars en DNS gebruiken die vorm, dus zoek ernaar in andere tools. |
| Niet geregistreerd (NXDOMAIN) | De naam komt niet voor in het DNS. De naam kan nog worden geregistreerd, dus het kan zijn dat hij later alsnog verschijnt. |
| Geregistreerd, besluit | De naam heeft naamservers en een A-record, en er worden maximaal drie adressen weergegeven. Bekijk deze groep eerst. |
| Geregistreerd, geen A-record | Het domein is gedelegeerd, maar verwijst niet naar een adres. Het kan geparkeerd zijn, gereserveerd voor later gebruik of eigendom zijn van het merk zelf. |
| SERVFAIL | Het domein lijkt gedelegeerd, maar de naamservers reageren niet. De tool beschouwt het als waarschijnlijk geregistreerd. |
| Bestaat zonder eigen naamservers | Wordt weergegeven als ‘Bestaat’ (NOERROR, geen NS/A) of ‘Bestaat, wordt omgezet’ (geen eigen NS). Dit gebeurt bijvoorbeeld bij kandidaten in de vorm van subdomeinen, zoals e.xample.com, die onder een ander domein vallen. |
| DNS-fout of opzoekactie mislukt | Er kwam geen bruikbaar antwoord terug. Als het relais je vraagt om even te wachten, geeft de voortgangsbalk aan dat je moet wachten. Controleer die namen later nog eens. |
| CSV-export | Columns: fuzzer, domein, punycode, dns_status, ns en een waarde voor elke kandidaat, klaar voor een spreadsheet of een watchlist. |
Nog meer voorbeelden
Een standaard .net-domein
example.net331 kandidaten voor example[.]net (label ‘example’ onder ‘net’) afkomstig van 15 fuzzers, gegenereerd in je browser. Er is niets verzonden. De eerste rijen zijn xample[.]net (weglating), xeample[.]net (omwisseling) en eexample[.]net (herhaling); de Cyrillische rij is ехамрӏе[.]net met punycode xn--80ajb1au1a38g[.]net.
Subdomein onder een uit twee delen bestaand achtervoegsel
shop.example.co.uk332 kandidaten voor example[.]co[.]uk (label ‘example’ onder co.uk, subdomein ‘shop’ alleen gebruikt in ‘various’) afkomstig van 15 fuzzers. De fuzzer ‘various’ voegt namen toe zoals shopexample[.]co[.]uk, shop-example[.]co[.]uk en example-co-uk[.]uk.
IP-adres in plaats van een domeinnaam
192.0.2.1IP-adressen hebben geen domeinnamen die erop lijken; voer een domeinnaam in. Er wordt geen lijst samengesteld en er wordt niets verzonden.
Veelgestelde vragen
Welke permutaties genereert het?
Toevoeging, bitsquatting, homoglyfen (ASCII-verwisselingen zoals rn voor m, 1 voor l en 0 voor o, plus IDN-letters met accenten vermeld met hun punycode), een volledige kopie van het label in het Cyrillisch, woordafbreking, invoeging, weglating, herhaling, QWERTY-vervanging, subdomein, transpositie, klinkerverwisseling, 13 woorden uit het woordenboek, een lijst met 52 veelvoorkomende en misbruikte TLD’s, en de www- en -com-patronen van dnstwist. Ongeldige hostnamen en duplicaten worden verwijderd en er worden maximaal 2.000 kandidaten weergegeven.
Wat betekent de DNS-status?
NXDOMAIN betekent dat de naam niet bestaat: deze is niet geregistreerd of is uit de zone verwijderd. NS-records geven aan dat het domein is geregistreerd en gedelegeerd, en een A-record betekent dat het ook naar een adres verwijst. Een geregistreerde lookalike is geen bewijs van misbruik, omdat merken vaak hun eigen typefouten registreren.
Wat wordt er via het netwerk verzonden?
Het genereren van de lijst gebeurt in je browser. Pas wanneer je op ‘Check DNS’ klikt, worden de geselecteerde kandidaatnamen (maximaal 300, ongeveer één query per seconde) naar het DNS-relay van PhishDestroy gestuurd, dat een verzoek indient bij Cloudflare DNS via HTTPS, of bij Google Public DNS wanneer een Cloudflare-query mislukt; verder verlaat er niets de pagina.
Hoe wordt er omgegaan met subdomeinen en landcode-achtervoegsels?
Alleen het label vlak voor het achtervoegsel wordt gewijzigd. De tool kent een lijst met tweedelige achtervoegsels, zoals co.uk en com.au, dus shop.example.co.uk wordt behandeld als example onder co.uk. Een ander subdomein dan www wordt alleen gebruikt in de verschillende patronen, zoals shopexample.co.uk.
Waarom worden er in eerste instantie slechts 60 namen geselecteerd?
Voor elke naam zijn één of twee DNS-verzoeken nodig: eerst een NS-verzoek en daarna een A-verzoek, tenzij de naam niet bestaat. Deze verzoeken worden ongeveer één keer per seconde verzonden. De relay staat 60 verzoeken per minuut toe, dus voor 60 namen duurt het ongeveer één tot tweeënhalve minuut. Je kunt er maximaal 300 per run selecteren.
Kan de tool deze namen in de loop van de tijd bijhouden?
Nee. Het slaat geen resultaten op en geeft geen melding bij wijzigingen. Download de CSV- of .txt-lijst, voer de controle later opnieuw uit of importeer de lijst in uw eigen monitoringomgeving.