cero: extraindo hostnames de certificados TLS

cero · MIT

O cero conecta a hosts, lê o certificado TLS e imprime os nomes contidos nele. É a ferramenta inteira. É uma técnica de descoberta, não de inspeção: certificados nomeiam hostnames, e organizações colocam nomes internos em certificados públicos o tempo todo.

Instalação

go install github.com/glebarez/cero@latest

Comandos principais

# um único host
cero example.com

# um CIDR — raspa certificados de uma faixa inteira
cero 10.0.0.0/24

# portas fora do padrão
cero -p 443,8443,9443 example.com

# concorrência e timeout para varreduras maiores
cero -c 200 -t 4 -d example.com < targets.txt

O -d restringe a saída a nomes dentro do domínio dado, que é como você mantém os resultados no escopo.

Saída

Um hostname por linha, extraído dos campos CN e SAN do certificado:

example.com
www.example.com
internal-api.example.com
vpn-gw.example.com

Onde ele entra no Tandera

O cero roda em discovery no recon_web_lite e no recon_web_full, como o terceiro produtor passivo de subdomínio ao lado do subfinder e do findomain.

Ele contribui com algo que os outros dois estruturalmente não conseguem. subfinder e findomain consultam bancos de nomes que outras pessoas já coletaram. O cero lê o certificado apresentado pelo host à sua frente, agora — que é como ele acha nomes que nunca foram logados publicamente, nunca referenciados, e nunca resolvidos de fora.

Usando em um pentest

Aponte para faixas de IP, não só domínios. Varrer o netblock de um cliente com o cero revela a nomenclatura de tudo que termina TLS nele. Essa é frequentemente a etapa de descoberta de maior rendimento contra uma organização com espaço de endereços próprio.

Sempre use -d. Hospedagem compartilhada e load balancers apresentam certificados cobrindo muitos clientes. Sem um filtro de domínio você vai coletar hostnames pertencentes a empresas que não são seu cliente.

Nomes internos em certificados públicos valem reportar. Mesmo quando o host está inacessível, publicar vpn-gw.corp.internal num certificado público é, por si só, um finding de divulgação de informação.