WHOIS es un protocolo de peticiones y respuestas que sigue la especificación RFC 3912. Un servidor WHOIS escucha en el puerto 43 TCP por conexiones entrantes. El registrador ddel dominio es responsable de mantener los registros WHOIS para los nombres de dominio para nos que posee. El servidor WHOIS responde con varia información relacionada al dominio pedido, como por ejemplo:
- Registrador: Vía por la cual fue registrado el dominio.
- Información de Contacto del registrador: Nombre, organización, dirección, teléfono, entre otras cosas (a no ser que sea ocultado explícitamente mediante la configuración).
- Fechas de creación, actualización y expiración: Cuando se registro/actualizó el dominio y cuando se liberará.
- Nombre del Servidor: A qué servidor preguntar para la resolución DNS.
Para conseguir esta información debemos usar whois como cliente o servicio online. La sintaxis es whois <NOMBRE_DOMINIO>.
user@TryHackMe$ whois tryhackme.com [Querying whois.verisign-grs.com] [Redirected to whois.namecheap.com] [Querying whois.namecheap.com] [whois.namecheap.com] Domain name: tryhackme.com Registry Domain ID: 2282723194_DOMAIN_COM-VRSN Registrar WHOIS Server: whois.namecheap.com Registrar URL: http://www.namecheap.com Updated Date: 2021-05-01T19:43:23.31Z Creation Date: 2018-07-05T19:46:15.00Z Registrar Registration Expiration Date: 2027-07-05T19:46:15.00Z Registrar: NAMECHEAP INC Registrar IANA ID: 1068 Registrar Abuse Contact Email: abuse@namecheap.com Registrar Abuse Contact Phone: +1.6613102107 Reseller: NAMECHEAP INC Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited Registry Registrant ID: Registrant Name: Withheld for Privacy Purposes Registrant Organization: Privacy service provided by Withheld for Privacy ehf [...] URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/ >>> Last update of WHOIS database: 2021-08-25T14:58:29.57Z <<< For more information on Whois status codes, please visit https://icann.org/epp
Podemos ver mucha información. Primero vemos que somos redirigidos a whois.namecheap.com para recoger nuestra información. En nuestro caso, namecheap.com mantiene el registro WHOIS para este nombre de dominio. Además, podemos ver la fecha de creación junto con la última actualización y la fecha de expiración.
Después, obtenemos información sobre el registrador y el registrante. Podemos encontrar nombre e información de contacto. Finalmente vemos el nombre de los servidores de dominio que debemos consultar si tenemos algún regitro DNS que mirar.
La información recolectada puede ser inspeccionada para encontrar nuevas superficies de ataque como ingeniería social o ataques técnicos.