Shodan: inteligencia pasiva de hosts durante el recon

Shodan · Commercial API

Shodan escanea internet continuamente y vende acceso a los resultados. Para un pentester su valor es que puedes saber qué puertos, servicios y banners expone un host sin enviarle un solo paquete — el escaneo ya ocurrió, en el calendario de otra persona.

Instalación

pip install shodan
shodan init <YOUR_API_KEY>

Se requiere un plan de pago para la mayoría de las queries útiles; la capa gratuita está muy limitada.

Comandos principales

# todo lo que Shodan sabe sobre una dirección
shodan host 93.184.216.34

# búsqueda por organización
shodan search 'org:"Example Inc"' --fields ip_str,port,hostnames

# pivota sobre un hash de favicon de httpx
shodan search 'http.favicon.hash:-1545961456' --fields ip_str,port

# pivote basado en certificado
shodan search 'ssl.cert.subject.CN:"example.com"' --fields ip_str,port,hostnames

# cuenta sin gastar créditos de query en resultados
shodan count 'org:"Example Inc" port:3389'

Salida

{"ip_str":"93.184.216.34","ports":[80,443,8443],
 "hostnames":["example.com"],"org":"Example Inc",
 "data":[{"port":8443,"product":"nginx","version":"1.18.0","timestamp":"2026-08-20T04:11:00Z"}]}

Dónde encaja en Tandera

Shodan se ejecuta en la fase de enrich de recon_web_lite y recon_web_full. Como consulta un dataset de terceros en lugar del objetivo, está permitido en el flujo lite NonIntrusive — que es precisamente por qué es valioso ahí: da a los flujos lite inteligencia de puerto y servicio que no podrían obtener de otro modo.

Uso en un pentest

Los datos tienen un timestamp, e importa. Un servicio que Shodan vio hace tres meses puede haber desaparecido. Todo resultado de Shodan es una pista para verificar con httpx o nmap, nunca un finding por sí solo. Comprueba el campo timestamp antes de actuar sobre nada.

Los hashes de favicon y de certificado son los mejores pivotes. El http.favicon.hash de tu ejecución de httpx encontrará infraestructura hermana — staging, DR, un entorno antiguo — que ninguna enumeración basada en DNS alcanza.

Ve lo que el perímetro olvidó. Los hosts expuestos directamente, fuera de la CDN y fuera del balanceador de carga, son la especialidad de Shodan. Esos son frecuentemente los objetivos de mayor valor en un engagement.

Respeta el límite de alcance. Las búsquedas org: devuelven todo lo que la organización posee, incluidas redes fuera de tu engagement. Filtra antes de sondear.