Находите похожие домены: punycode и Unicode, смешанные письменности и confusables по UTS #39.
Новый
Генератор похожих доменов
Сеть: DoHНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Генератор похожих доменов
Для чего это нужно
Введите домен, чтобы создать перестановки в стиле dnstwist прямо в браузере. Нажмите Check DNS, чтобы запросить записи NS и A для выбранных кандидатов через DNS-прокси PhishDestroy.
DNS-имена, которые вы ищете, отправляются на DNS-ретранслятор PhishDestroy (/api/dns-resolve.php), который запрашивает данные у Cloudflare или Google DNS по протоколу HTTPS.
Как использовать Генератор похожих доменов
- Введите домен. Введите домен, который хотите защитить или исследовать, или вставьте URL. Используется только имя хоста, а обезвреженные формы вроде hxxps:// и [.] принимаются.
- Создайте список. Нажмите Generate или Enter. Кандидаты создаются в вашем браузере, и на этом этапе ничего не отправляется.
- Сузьте выбор. Используйте Show fuzzer, чтобы посмотреть на одну технику, например homoglyph или tld-swap. Первые строки по очереди берутся из всех фаззеров, поэтому дают быстрый срез.
- Выберите имена для проверки. Укажите, сколько кандидатов выбрать (по умолчанию 60, максимум 300), и нажмите Select the first N shown или отметьте флажки вручную.
- Проверьте DNS. Нажмите Check DNS, чтобы запросить записи NS, а затем A для выбранных имён, примерно один запрос в секунду. Stop в любой момент завершает проверку.
- Экспортируйте совпадения. Отфильтруйте по Registered (any), затем используйте Copy registered, Download CSV, Download list (.txt) или Send to… для следующего шага.
Пример
Перестановки example.com
example.com329 candidates for example[.]com (label example under com) from 15 fuzzers, generated in your browser. Nothing has been sent.
Rows alternate between fuzzers, so the first rows sample every technique. Showing 329 rows.Выводит 329 кандидатов от 15 фаззеров, например exmaple.com (transposition), examle.com (omission), examp1e.com (homoglyph) и example-login.com (dictionary). Ничего не запрашивается, пока вы не нажмёте Check DNS.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Фаззер (Fuzzer) | Техника, которая создала имя: omission, transposition, repetition, replacement, insertion, homoglyph, vowel-swap, hyphenation, tld-swap, dictionary, addition, various, subdomain, bitsquatting или cyrillic. |
| Столбец Punycode | Имена с буквами с диакритикой или кириллическими буквами выводятся вместе с формой xn--. Регистраторы и DNS используют именно эту форму, поэтому ищите её в других инструментах. |
| Not registered (NXDOMAIN): не зарегистрирован | Имени нет в DNS. Его можно свободно зарегистрировать, поэтому оно ещё может появиться позже. |
| Registered, resolves (зарегистрирован, разрешается) | У имени есть DNS-серверы и запись A; показывается до трёх адресов. Просмотрите эту группу в первую очередь. |
| Registered, no A record (зарегистрирован, нет записи A) | Домен делегирован, но не указывает ни на какой адрес. Он может быть припаркован, зарезервирован на будущее или принадлежать самому бренду. |
| SERVFAIL | Домен, по-видимому, делегирован, но его DNS-серверы не отвечают. Инструмент считает его, скорее всего, зарегистрированным. |
| Существует без собственных DNS-серверов | Показывается как Exists (NOERROR, no NS/A) или Exists, resolves (no own NS). Так бывает, например, с кандидатами-поддоменами вроде e.xample.com, которые находятся под другим доменом. |
| DNS error или lookup failed | Пригодного ответа не пришло. Если прокси просит замедлиться, строка прогресса показывает время ожидания. Проверьте эти имена позже ещё раз. |
| Экспорт в CSV | Столбцы fuzzer, domain, punycode, dns_status, ns и a для каждого кандидата — готово для таблицы или списка наблюдения. |
Еще примеры
Обычный домен .net
example.net331 кандидат для example[.]net (метка example под net) от 15 фаззеров, созданы в вашем браузере. Ничего не отправлено. Первые строки — xample[.]net (omission), xeample[.]net (transposition) и eexample[.]net (repetition); строка cyrillic — ехамрӏе[.]net с punycode xn--80ajb1au1a38g[.]net.
Поддомен под двухчастным суффиксом
shop.example.co.uk332 кандидата для example[.]co[.]uk (метка example под co.uk, поддомен shop используется только в «various») от 15 фаззеров. Фаззер various добавляет имена вроде shopexample[.]co[.]uk, shop-example[.]co[.]uk и example-co-uk[.]uk.
IP-адрес вместо домена
192.0.2.1IP addresses have no lookalike domains; enter a domain name (у IP-адресов нет похожих доменов, введите доменное имя). Список не создаётся, и ничего не отправляется.
Часто задаваемые вопросы
Какие перестановки он создаёт?
Добавление, bitsquatting, гомоглифы (ASCII-замены вроде rn вместо m, 1 вместо l и 0 вместо o, а также IDN-буквы с диакритикой, перечисленные вместе с их punycode), полную кириллическую копию метки, расстановку дефисов, вставку, пропуск, повтор, замену соседней клавишей QWERTY, поддомен, перестановку, замену гласных, 13 словарных слов, список из 52 распространённых и часто используемых злоумышленниками TLD, а также шаблоны www- и -com из dnstwist. Недопустимые имена хостов и дубликаты отбрасываются, и выводится не более 2000 кандидатов.
Что означает статус DNS?
NXDOMAIN означает, что имени не существует: оно не зарегистрировано или удалено из зоны. Записи NS означают, что домен зарегистрирован и делегирован, а запись A — что он ещё и разрешается в адрес. Зарегистрированный похожий домен не доказывает злоупотребления, потому что бренды часто сами регистрируют опечатки своих имён.
Что отправляется по сети?
Формирование списка происходит в вашем браузере. Только после нажатия кнопки «Проверить DNS» выбранные варианты имен (до 300, примерно один запрос в секунду) отправляются на DNS-ретранслятор PhishDestroy, который обращается к DNS-серверам Cloudflare по протоколу HTTPS или к общедоступному DNS Google в случае сбоя запроса к Cloudflare; никакие другие данные не покидают страницу.
Как обрабатываются поддомены и национальные суффиксы?
Меняется только метка непосредственно перед суффиксом. Инструмент знает список двухчастных суффиксов вроде co.uk и com.au, поэтому shop.example.co.uk рассматривается как example под co.uk. Поддомен, отличный от www, используется только в шаблонах various, например shopexample.co.uk.
Почему сначала выбрано только 60 имён?
Для каждого имени нужен один или два DNS-запроса — NS, а затем A, если имя существует, — которые отправляются примерно раз в секунду. Прокси допускает 60 запросов в минуту, поэтому 60 имён занимают примерно от одной до двух с половиной минут. За один запуск можно выбрать до 300 имён.
Может ли инструмент следить за этими именами со временем?
Нет. Он не сохраняет результаты и не оповещает об изменениях. Скачайте CSV или список .txt, повторите проверку позже или загрузите список в собственную систему мониторинга.