Деанонимизация владельца сайта через WHOIS: пошаговый разбор для разведки перед пентестом

На pre-engagement разведке перед пентестом e-commerce площадки домен закрыт privacy-сервисом Domains By Proxy — все поля WHOIS показывают «Redacted for Privacy». По данным Interisle Consulting, вредоносные регистрации доменов растут год к году, и подавляющее большинство намеренно скрывают данные владельца. Казалось бы, тупик. Но один архивный снимок WHOIS-записи за 2016 год — до подключения privacy protection — содержал полное имя администратора, корпоративную почту и физический адрес офиса. Через reverse WHOIS (обратный поиск по этому email) нашлись ещё четыре связанных домена и полная карта инфраструктуры цели. Разбираю, как это делается шаг за шагом.

Зачем пентестеру деанонимизация в OSINT

Перед любым пентестом идёт этап пассивной разведки — reconnaissance. Задача: собрать максимум информации о цели, не взаимодействуя с её инфраструктурой напрямую. В терминологии MITRE ATT&CK (открытая база тактик и техник атак — каждая техника имеет идентификатор вида T1595) это тактика Reconnaissance. Конкретные техники, которые мы будем использовать:

• T1596.002 (WHOIS) — сбор данных из регистрационных записей доменов
• T1596.001 (DNS/Passive DNS) — анализ архивных снимков DNS-записей
• T1590.002 (DNS) — сбор текущих DNS-записей цели (A, MX, NS, TXT, CNAME)
• T1590.001 (Domain Properties) — сбор свойств домена: регистратор, даты, статусы
• T1590.005 (IP Addresses) — идентификация IP-адресов связанной инфраструктуры

Зачем всё это нужно на практике: зная реального владельца домена, пентестер строит карту связей — другие домены того же человека, корпоративные email, связанные IP-блоки. Это открывает вектора для следующих этапов: фишинг под конкретного сотрудника, обнаружение забытых поддоменов, выявление теневой инфраструктуры вне основного scope.

Русскоязычные WHOIS-сервисы (nic.ru, reg.ru, whois-service.ru) показывают только текущую запись — а в 2026 году она почти гарантированно скрыта. Ни один из них не работает с исторической аналитикой и не поддерживает reverse-поиск. Здесь и начинается реальная OSINT разведка перед пентестом.

Что показывает WHOIS и почему privacy protection скрывает данные

WHOIS — протокол запроса регистрационных данных домена, работающий с 1982 года (RFC 3912). Исторически он был полностью открытым: имя владельца, email, телефон, физический адрес — всё в публичном доступе для любого, кто отправит запрос. Золотое время для разведки, если вдуматься.

С 28 января 2025 года ICANN (организация, управляющая доменной системой интернета) установила дедлайн для gTLD-регистраторов на обязательное предоставление RDAP — Registration Data Access Protocol. Часть WHOIS-инфраструктуры (port 43) продолжает работать параллельно. RDAP возвращает данные в структурированном JSON, работает через HTTPS и разграничивает доступ: публичные запросы получают урезанные записи, расширенные данные могут запрашиваться верифицированными сторонами через пилотный сервис ICANN RDRS (Registration Data Request Service) — но раскрытие не гарантировано. Старое название «WHOIS lookup» в профессиональном обиходе сохранилось, хотя под капотом большинство инструментов уже выполняют RDAP-запросы.

На практике при запросе WHOIS в 2026 году вы увидите две категории полей.

Доступно почти всегда: регистратор (GoDaddy, Namecheap, Cloudflare), дата создания и истечения домена, дата последнего обновления, nameservers (DNS-серверы домена), статус домена (clientTransferProhibited, active), страна регистранта — часто остаётся видимой даже при GDPR-редактировании.

Скрыто в большинстве случаев: имя регистранта заменено на «Redacted for Privacy», email показывает адрес прокси-сервиса регистратора, физический адрес и телефон — заглушки.

Ключевой момент для деанонимизации владельца сайта через WHOIS: privacy-сервис мог быть активирован не сразу. Домен, зарегистрированный в 2014 году, мог три года показывать полные данные, пока в 2017-м не подключили защиту. Эти старые записи сохранились в архивных базах — и именно они становятся точкой входа.

WHOIS история домена: утечки данных до GDPR

Историческая WHOIS-аналитика — это поиск архивных снимков регистрационных записей, сделанных до активации privacy protection или до вступления GDPR в силу (май 2018). Если проще: кто-то когда-то сфотографировал открытую дверь до того, как на неё повесили замок. Наша задача — найти это фото.

Где хранятся исторические WHOIS-снимки

whoxy.com — один из немногих бесплатных сервисов для получения domain history. Вводите домен — получаете хронологию изменений: кто, когда и через какого регистратора владел доменом. Бесплатный план покрывает базовую историю. Для первичной разведки этого часто хватает.

SecurityTrails (securitytrails.com) — коммерческий сервис с продуктом SurfaceBrowser WhoWas. Он превращает исследование в интерактивную хронологию: выбираете момент на таймлайне и видите детальный снимок с данными регистранта, регистратора, датами обновления и nameservers за этот период.

DomainTools (whois.domaintools.com) — коммерческий сервис с одним из самых глубоких архивов WHOIS-записей, покрывающим десятилетия. Подписка дорогая, но для серьёзных расследований альтернатив по полноте данных мало.

WhoisFreaks (whoisfreaks.com) — WHOIS History API для автоматизированных запросов. Поддерживает последовательный workflow: текущий WHOIS → исторические снимки → reverse WHOIS по найденным атрибутам. Удобно, когда нужно встроить в скрипт.

Что искать в архивных записях

Снимки до мая 2018 — до GDPR данные регистрантов в зонах .com/.net были полностью открыты. Это самая ценная часть архива.

Момент смены privacy-статуса — если домен перешёл на privacy-сервис за неделю до известного инцидента, это значимый сигнал. Сама точка переключения может указывать на подготовку к операции.

Email регистранта — даже один email из старого снимка даёт возможность развить цепочку через reverse WHOIS и найти все домены этого человека. Одна ниточка — и клубок начинает разматываться.

Смена регистратора — при трансфере домена между провайдерами данные иногда «проскакивают» в открытом виде на короткий период. Исторический снимок, совпавший с этим окном, фиксирует их навсегда.

Архив DNS записей и пассивная разведка домена

Параллельно с WHOIS-историей работает второй трек — DNS-аналитика. Сбор текущих DNS-записей (A, MX, NS, TXT, CNAME) — это T1590.002 в MITRE ATT&CK, а их архивные снимки (passive DNS) — T1596.001. DNS-записи не защищены GDPR и не скрываются privacy-сервисами. Nameservers появляются почти в каждом WHOIS/RDAP-ответе и редко покрываются privacy-сервисами, что делает их надёжным опорным элементом для корреляции.

Passive DNS и Certificate Transparency

Passive DNS — технология архивирования DNS-запросов и ответов. Формируется база «какой домен указывал на какой IP в какой момент времени». Зачем это нужно: если целевой домен в 2015 году указывал на IP 203.0.113.42, а тот же IP использовался другим доменом с полностью открытыми WHOIS-данными — вы получили связь между ними. Два домена, один IP — и закрытый WHOIS первого уже не спасает.

crt.sh — бесплатная база Certificate Transparency (журналы прозрачности сертификатов). Каждый SSL/TLS-сертификат, выданный для домена, попадает в публичный лог. Запрос к crt.sh раскрывает все поддомены, для которых когда-либо выдавались сертификаты — включая внутренние: dev.target.com, staging.target.com, vpn.target.com.

Быстрый поиск через терминал (нужны curl и jq):

curl -s "https://crt.sh/?q=%25.target.com&output=json" | jq -r '.[].name_value' | tr ',' '\n' | sort -u

На выходе — список уникальных доменных имён из всех сертификатов. %25 — URL-кодирование %, wildcard. При большом количестве сертификатов crt.sh может вернуть timeout или невалидный JSON — повторите запрос или сузьте wildcard. Если в списке мелькнул admin-panel.target.com или old.target.com — это дополнительные точки для WHOIS-анализа.

SecurityTrails DNS History показывает архив A, AAAA, MX, NS, SOA, TXT записей за годы. Позволяет увидеть, когда домен менял хостинг и какие IP использовал.

Shodan (shodan.io) и Censys (search.censys.io) — поисковые движки по интернет-инфраструктуре. Находят все сервисы на конкретном IP: открытые порты, баннеры, SSL-сертификаты с именами организаций. Корреляция IP из DNS-истории с данными Shodan часто показывает, какая организация реально управляет сервером — даже если WHOIS домена полностью закрыт.

Wayback Machine и анализ исходного кода

Неочевидный приём: web.archive.org (Wayback Machine) сохраняет не только веб-страницы, но и результаты WHOIS-сервисов. Если кто-то когда-то запрашивал WHOIS целевого домена через веб-интерфейс и Wayback Machine проиндексировал эту страницу — данные доступны в архиве. Предыдущие версии сайта тоже могут раскрыть почтовые адреса, телефоны и другую контактную информацию, удалённую позднее.

Ещё один вектор: исходный код страниц целевого сайта. HTML-комментарии, уникальные code snippets и особенно Google Analytics ID (идентификатор вида UA-XXXXX или G-XXXXX). Вебмастера часто используют один Analytics ID для нескольких сайтов. Reverse-поиск по этому ID через специализированные сервисы выявляет все сайты того же владельца — без обращения к WHOIS вообще.

Reverse WHOIS поиск: от email к инфраструктуре

Когда из исторического снимка извлечён email или имя регистранта, следующий шаг — reverse WHOIS. Суть: найти все домены, когда-либо зарегистрированные на тот же атрибут.

Легитимная компания обычно имеет 5–20 доменов. Оператор вредоносной инфраструктуры — сотни, часто с узнаваемыми паттернами: похожие naming conventions, один регистратор, регистрация в узком временном окне.

На что обращать внимание:

• Домены с похожей структурой имён (target-dev.com, target-staging.com, targetcorp.net)
• Регистрация нескольких доменов в течение нескольких дней — характерно для массовых операций
• Общие nameservers — они остаются стабильными надёжнее контактных данных, потому что их смена ломает работу инфраструктуры. Это одна из самых надёжных связей между доменами
• Общие MX-записи (серверы для приёма почты) — злоумышленники переиспользуют почтовую инфраструктуру между кампаниями

Инструменты: WhoisFreaks Reverse WHOIS, DomainTools Reverse WHOIS, ViewDNS.info Reverse IP Lookup (находит все домены на одном IP-адресе).

Поиск реального владельца сайта: делай раз, делай два, делай три

Пошаговый workflow OSINT разведки перед пентестом. Предпосылка: любая ОС с доступом в интернет; для терминальных команд — Linux/macOS с установленным whois (в Kali есть по умолчанию, в Ubuntu — sudo apt install whois).

Шаг 1. Текущая WHOIS-запись

Выполните в терминале:

whois target.com | grep -iE "Registrant|Name Server|Creation|Expiration|Registrar"

На выходе: строки с названием регистратора, датами создания и истечения, nameservers. Поле Registrant скорее всего покажет «Redacted for Privacy». Зафиксируйте регистратора и nameservers — они понадобятся для корреляции. Альтернатива через браузер: lookup.icann.org — официальный сервис ICANN, выполняющий RDAP-запрос напрямую к регистратору.

Шаг 2. Историческая WHOIS-выгрузка

Откройте whoxy.com и введите целевой домен. Ищите снимки до мая 2018 — в них с высокой вероятностью будут полные данные регистранта. Если бесплатных данных недостаточно, используйте SecurityTrails или WhoisFreaks API.

Как понять, что получилось: вы видите таблицу с хронологией изменений WHOIS-записи. Если в одном из снимков поле Registrant Name содержит реальное имя (а не «Redacted» / «Private» / «GDPR Masked») — зафиксируйте его вместе с email и датой снимка. Это ваша точка опоры для всего дальнейшего.

Шаг 3. DNS-история и Certificate Transparency

Выполните wildcard-запрос к crt.sh (команда из раздела выше) или откройте https://crt.sh/?q=%25.target.com в браузере. Зафиксируйте все обнаруженные поддомены. Далее проверьте DNS-историю через SecurityTrails: какие IP-адреса использовал домен в разные годы.

Результат: список поддоменов (включая внутренние — dev, staging, admin) и хронология IP. Каждый найденный IP — потенциальная точка для дальнейшего анализа.

Шаг 4. Reverse WHOIS и корреляция

Возьмите email или имя из шага 2 и выполните reverse WHOIS-поиск через WhoisFreaks или DomainTools. Если нашлись другие домены того же владельца — проверьте их WHOIS и DNS по шагам 1–3. Сравните nameservers и IP.

Как понять, что получилось: обнаружен кластер из нескольких доменов, связанных одним владельцем, общими NS или IP. Это карта инфраструктуры цели — ядро результата domain footprinting.

Шаг 5. IP-корреляция через Shodan

Для каждого IP из шага 3 проверьте принадлежность через whois <IP> (покажет организацию-владельца IP-блока, RIR — региональный интернет-регистр, abuse-контакт) и данные инфраструктуры через Shodan: shodan.io/host/<IP>. На выходе: открытые порты, баннеры сервисов, SSL-сертификаты с именами организаций.

Домен, зарегистрированный в одной стране, но размещённый на IP, выделенном bulletproof-хостингу в другой — сильный индикатор намеренно скрытой инфраструктуры.

Инструменты для WHOIS lookup и исторической DNS аналитики

Для систематической работы оптимальна связка из бесплатных и коммерческих сервисов DNS history: crt.sh + whoxy.com для начальной разведки, SecurityTrails для глубокого анализа.

Легальные границы OSINT разведки перед пентестом

Всё описанное — пассивная разведка домена: запросы к публично доступным данным без прямого взаимодействия с инфраструктурой цели. Вы не сканируете порты, не отправляете пакеты на серверы, не пытаетесь авторизоваться. Тем не менее границы существуют.

Допустимо: запросы к публичным WHOIS/RDAP-серверам, поиск в открытых базах (crt.sh, Shodan, Censys, Wayback Machine), reverse WHOIS по данным из публичных источников, анализ DNS-записей.

Серая зона: покупка «утёкших» баз WHOIS-дампов — в терминах MITRE ATT&CK это T1597.002 (Purchase Technical Data, тактика Reconnaissance). Данные могут быть получены с нарушением закона. Использование найденной информации для преследования физических лиц — уже не OSINT, а потенциально уголовное преступление. Сбор данных без scope agreement (документ, определяющий границы пентеста) — даже пассивная разведка вне согласованного скоупа создаёт правовые риски.

Правило простое: перед началом OSINT-разведки убедитесь, что есть письменное разрешение заказчика с явным указанием, что passive reconnaissance включена в scope. Документируйте каждый запрос и результат — это защитит вас если возникнут вопросы.

Точка зрения

Деанонимизация владельца сайта через WHOIS — одна из самых результативных и одновременно недооценённых техник на этапе reconnaissance. Девять из десяти русскоязычных «WHOIS-сервисов» показывают только текущую запись и на этом заканчиваются. Реальная ценность — в снимках, сделанных годы назад, до того как GDPR и RDAP закрыли данные.

По моему опыту, самые надёжные находки приходят не из одного источника, а из корреляции трёх независимых точек: email из WHOIS-снимка 2015 года + IP из DNS-истории за тот же период + SSL-сертификат из crt.sh, привязанный к тому же IP. Одна точка — гипотеза. Три — доказательство.

Но есть нюанс, который редко озвучивают: окно возможностей сужается с каждым кварталом. Регистраторы удаляют устаревшие снимки, коммерческие сервисы поднимают цены на исторические данные, RDAP вводит аутентификацию для расширенных записей. Через два-три года тот архивный снимок 2016 года, который сегодня раскрывает владельца за пять минут, может просто перестать существовать. Те, кто откладывают освоение исторической WHOIS-аналитики на потом, рискуют обнаружить, что «потом» данных уже нет. Если только начинаете в OSINT и хотите пройти passive reconnaissance системно, а не собирать по частям из разрозненных гайдов — IB Basics закрывает эту базу за пару месяцев.