Sublist3r : l'outil d'énumération de sous-domaines pour vos audits de sécurité

Ces sous-domaines que tout le monde oublie

Imaginez une entreprise qui protège soigneusement son site principal, avec un certificat impeccable, un pare-feu applicatif et des mises à jour au cordeau. Tout va bien. Sauf que, quelque part, un vieux preprod.exemple.com traîne encore, oublié depuis deux ans, avec une version de logiciel qui n'a plus vu un correctif depuis longtemps. Personne ne s'en souvient, mais lui, il répond toujours. Et c'est précisément ce genre de porte dérobée que cherchent aussi bien les attaquants que les auditeurs.

La toute première étape d'un audit de sécurité, c'est la reconnaissance. Avant même de penser à tester une faille, il faut cartographier la surface d'attaque, c'est-à-dire savoir tout ce qui existe et qui est exposé. Et sur ce terrain, les sous-domaines sont une mine d'or. C'est là qu'intervient Sublist3r, un outil pensé exactement pour ça : dresser la liste la plus complète possible des sous-domaines d'un nom de domaine.

Sublist3r, c'est quoi exactement ?

Sublist3r est un outil open source écrit en Python et conçu par Ahmed Aboul-Ela. Sa mission tient en une phrase : énumérer les sous-domaines d'un site web en s'appuyant sur l'OSINT, autrement dit le renseignement en sources ouvertes. Concrètement, vous lui donnez un domaine comme exemple.com, et il part interroger une multitude de sources publiques pour vous rapporter tout ce qui ressemble à mail.exemple.com, vpn.exemple.com, admin.exemple.com et compagnie.

L'intérêt de la démarche OSINT, c'est qu'elle est passive et discrète. Sublist3r ne va pas marteler l'infrastructure de la cible : il se contente d'exploiter des informations déjà disponibles publiquement, celles que les moteurs de recherche et divers services ont indexées au fil du temps. Vous obtenez donc une photographie de la surface exposée sans faire de bruit.

Des sources multiples pour ne rien rater

La force de Sublist3r, c'est de ne pas mettre tous ses œufs dans le même panier. Plutôt que de dépendre d'une seule source, il croise les résultats de nombreux services pour maximiser la couverture. D'un côté, il interroge les grands moteurs de recherche : Google, Yahoo, Bing, Baidu et Ask. De l'autre, il puise dans des services spécialisés dans le DNS et le renseignement web comme Netcraft, VirusTotal, ThreatCrowd, DNSdumpster et ReverseDNS.

Chaque source a ses angles morts et ses spécialités. En les combinant, Sublist3r rassemble une liste bien plus riche que ce que n'importe laquelle d'entre elles fournirait isolément, puis dédoublonne le tout pour vous livrer un résultat propre.

Le bruteforce en renfort avec subbrute

L'OSINT a toutefois une limite : il ne peut révéler que ce qui a laissé une trace publique quelque part. Un sous-domaine jamais indexé, jamais mentionné, reste invisible pour cette approche. Pour aller plus loin, Sublist3r intègre subbrute, un module de bruteforce accompagné d'une solide liste de mots. Le principe : tester par force brute une longue série de noms probables (dev, test, staging, api, vpn...) et vérifier lesquels répondent réellement. Vous combinez ainsi le meilleur des deux mondes : la discrétion des sources ouvertes et l'exhaustivité du test actif.

La vraie valeur de Sublist3r tient dans cette double approche : croiser une dizaine de sources OSINT pour la couverture, puis compléter par le bruteforce pour débusquer les sous-domaines qui n'apparaissent nulle part.

Des options simples et efficaces

Sublist3r s'utilise en ligne de commande et reste volontairement accessible. Quelques options suffisent à couvrir la plupart des besoins. Vous précisez le domaine cible avec -d, vous activez le bruteforce avec -b, et vous pouvez demander un affichage en temps réel des découvertes avec le mode verbeux -v, plutôt satisfaisant quand on regarde la liste se remplir sous ses yeux.

L'outil va même un cran plus loin que la simple énumération. Avec l'option -p, il peut tester les sous-domaines découverts sur des ports précis, par exemple 80 et 443, pour repérer immédiatement ceux qui hébergent un service web. L'option -t ajuste le nombre de threads pour accélérer le traitement, tandis que -e permet de sélectionner uniquement certains moteurs de recherche. Enfin, -o exporte proprement tous les résultats dans un fichier texte, idéal pour alimenter la suite de votre méthodologie.

Voici à quoi ressemble une commande typique :


python sublist3r.py -d exemple.com -b -p 80,443 -v -o resultats.txt

Petit bonus appréciable pour les développeurs et les amateurs d'automatisation : Sublist3r peut aussi s'importer directement comme module Python. Sa fonction principale renvoie un ensemble de sous-domaines uniques, ce qui permet de l'intégrer sans effort dans vos propres scripts de reconnaissance ou vos chaînes d'audit.

Pourquoi l'adopter ?

Le premier argument, c'est le gain de temps. Faire à la main ce que Sublist3r accomplit en quelques secondes prendrait des heures et laisserait forcément passer des choses. L'outil automatise une tâche fastidieuse et la rend fiable, ce qui n'a pas de prix quand la reconnaissance conditionne toute la suite d'un audit.

Vient ensuite l'exhaustivité. En croisant une dizaine de sources et en ajoutant le bruteforce, Sublist3r dresse une cartographie de la surface d'attaque particulièrement complète. Pour un défenseur, c'est l'occasion rêvée de redécouvrir ces actifs oubliés, ces environnements de test laissés en ligne ou ces services qui auraient dû être fermés depuis longtemps. On ne protège bien que ce que l'on connaît.

Ajoutez à cela le fait qu'il soit gratuit, open source et publié sous licence GPL, avec une communauté conséquente derrière lui (plus de 11 000 étoiles sur GitHub). Son installation est directe : on clone le dépôt, on installe les dépendances via pip install -r requirements.txt, et c'est parti. Il fonctionne aussi bien sous Python 2.7 que sous les versions récentes de Python 3, sur Linux comme sur Windows.

Avertissement

L'utilisation de ce programme ne peut se faire que dans le cadre légal d'un audit de vulnérabilités, basé sur le consentement mutuel. Il est de la responsabilité de l'utilisateur final de ne pas utiliser ce programme dans un autre cadre. SecuriteInfo.com n'assume aucune responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.

Téléchargement

Quelques suggestions sur le sujet de la recherche d'information

Vous avez aimé cet article ? Voici quelques suggestions qui devraient vous plaire :