Auteur Sujet: Trouver l'hebergeur d'un site web (Lu 5124 fois)

Chris_Carcaud · « **le:** 30 janvier 2020 à 17:36:26 »

Bonjour,

je cherche à déterminer l'hébergeur d'un nom de domaine. Par exemple, l'hébergeur du forum est Adeli.

Méthode actuelle:
1. DNS A ou AAAA sur le nom de domaine pour obtenir l'ip
2. Parser le Whois de l'ip pour en extraire le LIR / l'organisation

La méthode marche bien, sauf pour les sites utilisant Cloudflare pour distribuer le contenu. Cloudflare modifie les entrées DNS, et donc c'est rapé

J'ai testé, la résolution d'un sous-domaine voire même d'une page qui n'existe pas, c'est toujours l'ip de Cloudfare qui est mise en avant.

Avez-vous une idée comment trouver l'hebergeur derrière le CDN Cloudfare ?

Merci pour vos idées

PS: comme je sais qu'il y a des experts réseaux sur le forum, je me suis permet de poser la question dans cette rubrique.

Marin · « **Réponse #1 le:** 30 janvier 2020 à 18:07:21 »

Salut,

L'idée de Cloudflare c'est de fournir un pare-feu devant le site qui va bloquer les attaques. Si tu trouves la « vraie » adresse du site, tu contournes le pare-feu donc ça ne marche plus (sauf si le site est vraiment configuré en amont sur le réseau pour ne répondre QU'À Cloudflare, le plus souvent ce n'est pas le cas). Cacher la vraie adresse du site, et ainsi son hébergeur, fait donc partie du concept de Cloudflare.

Néanmoins, il y a bien souvent des manières de trouver la vraie adresse d'un site derrière un site, plus ou moins compliquées :

Une méthode qui fonctionnera parfois : utiliser un système de DNS passif (un service qui te permet de consulter un historique des résolutions DNS passées pour un nom de domaine, et cela de différentes manières), dans le cas où le site n'était par le passé pas sous Cloudflare (et que le service en question avait pu l'enregistrer). Je te conseille celui de VirusTotal (filiale de Google) qui est gratuit. Par exemple, l'historique des résolutions DNS pour La Fibre.info : https://www.virustotal.com/gui/domain/lafibre.info/relations
Une méthode qui fonctionnera parfois aussi : énumérer les sous-domaines d'un site (tu peux encore une fois utiliser un système de DNS passif comme VirusTotal, ou encore un système d'archivage des certificats TLS comme https://crt.sh/) pour voir si certains ne sont pas sous Cloudflare.
Faire un scan sur une portion plus ou moins large d'Internet (« /0 ») avec un outil spécialisé de type zmap/zgrab, avec l'en-tête Host: du site concerné, jusqu'à trouver un site qui te réponde avec le contenu correct sur le port 80. Ça aura de grandes chances de fonctionner (vu que la plupart des sites ne refuseront pas forcément les adresses autres que Cloudflare), mais te demandera potentiellement des ressources importantes et d'écrire du code.

Je ne parle pas des voies légales qui dépendront de ton cas de figure.

Bonne journée,

vivien · « **Réponse #2 le:** 30 janvier 2020 à 18:22:31 »

Cloudflare est là pour éviter les attaques, mais aussi rendre impossible de remonteur au propriétaire d'un site web.

De très nombreux sites limite illégaux utilisent Cloudflare, et le DDOS n'est pas la raison première du choix de Cloudflare.

Ne pas savoir dans quel pays est hébergé un site et donc la législation à appliquer est déjà une protection pour certains.

Cloudflare publie un "Transparency Report" tous les 6 mois => https://www.cloudflare.com/fr-fr/transparency/

Chris_Carcaud · « **Réponse #3 le:** 30 janvier 2020 à 19:03:27 »

Citation de: vivien le 30 janvier 2020 à 18:22:31

Cloudflare est là pour éviter les attaques, mais aussi rendre impossible de remonteur au propriétaire d'un site web.
De très nombreux sites limite illégaux utilisent Cloudflare, et le DDOS n'est pas la raison première du choix de Cloudflare.

Au départ, je pensais que les sites utilisaient Cloudfare uniquement pour le CDN.
Puis, en voyant des sites de 'tuto hacker' franco-francais à 100 visiteurs/jour, je me suis dit qu'il y avait peut-être une autre raison

Merci pour la précision Vivien

Chris_Carcaud · « **Réponse #4 le:** 30 janvier 2020 à 19:28:01 »

Citation de: Marin le 30 janvier 2020 à 18:07:21

Néanmoins, il y a bien souvent des manières de trouver la vraie adresse d'un site derrière un site, plus ou moins compliquées

Merci à toi, pour tes précieux conseils !
c'est confirmé, y sont trop forts sur lafibre.info

1. Merci pour le lien vers Virustotal, l'outil est très bien fait, j'vais essayer de récupérer des infos en auto.

2. Les sous-domaines (ftp.*, mail.*, ..) m'ont permis parfois de trouver la bonne ip. Virustotal suggère également reboot.* qui semble donner de bons résultats.
Les deux outils sont diaboliques, c'est impressionnant toute l'information qu'ils ont stockés fur et à mesure des années.

3. Faire un scan. Bonne idée, je vais y aller doucement par contre

En fait, je fignole quelques outils, histoire de les avoir sous la main quand y faut. La version dev est ici

Si je trouve l’hébergeur derrière Cloudfare, pensez-vous que ça pose un soucis de confidentialité de l'afficher ?

Encore merci pour ton aide !