Blacklist Ip

Blacklist IP Skill — hackingyseguridad/listanegra

Skill de auditoría de reputación IP contra RBL/DNSBL. El repositorio contiene varios scripts en shell con distintos grados de robustez, ficheros de listas/DNS de apoyo, una tabla completa de referencia de listas (LISTAS.md) y los códigos de retorno de Spamhaus documentados en el README.md. Este SKILL.md está verificado línea a línea contra el código real de cada script (no solo contra la documentación del README, que en algunos puntos no coincide con el comportamiento real — ver sección de advertencias más abajo).

Motivo por el que una IP acaba en lista negra (contexto para el análisis y el informe):

1. Spam de correo electrónico, phishing, scam, servicios de spam-support, bulletproof hosting, spambots.
2. Sitios de phishing / suplantación de identidad.
3. Distribución de malware / equipos infectados.
4. Command & Control de botnets / equipos zombis.
5. Proxies abiertos HTTP/SOCKS comprometidos.

Impacto de estar listado: rechazo o filtrado a spam de los correos salientes, pérdida de reputación ante ISPs, y en agresivas incluso bloqueo de rangos CIDR completos (p.ej. /24) o de un AS completo si ~20% de sus IPs activas están listadas (umbral que aplican UCEPROTECT Nivel 3 y los sistemas de reputación de Spamhaus).

FASE 0 — Preparación del entorno

git clone https://github.com/hackingyseguridad/listanegra.git
cd listanegra
chmod +x *.sh

# Dependencias necesarias (Kali Linux normalmente ya las trae)
sudo apt install -y whois dnsutils curl jq --break-system-packages 2>/dev/null || \
sudo apt install -y whois dnsutils curl jq

Ficheros de configuración incluidos en el repo (necesarios según el script, ver tabla siguiente):

FASE 1 — Elegir el script correcto

Importante: la tabla de scripts del README.md/LEEME.md del repositorio no coincide con el comportamiento real del código en varios casos (ver advertencias en FASE 1-bis). La tabla siguiente refleja lo que hace realmente cada script tras revisar su código fuente.

⚠️ Advertencias verificadas (no confiar ciegamente en el README del repo)

• consulta.sh tiene un bug real de parseo. Espera que listas.txt tenga dos columnas (nombre dominio), pero el listas.txt del repo solo tiene una columna (el FQDN). Al hacer awk '{print $2}' sobre una línea de una sola palabra, el campo dominio sale vacío, la consulta DNS se construye como IP_INVERTIDA. (con un punto final y sin dominio), y por tanto el script siempre devuelve "LIMPIA" aunque la IP esté realmente listada. No lo uses tal cual para tomar decisiones; usa listanegra.sh/listanegra2.sh (compatibles con el listas.txt de una columna) o consulta2.sh (autocontenido) en su lugar.
• consulta1.sh no es ejecutable "out of the box": referencia un fichero todas.txt que no está en el repositorio. Fallará salvo que el usuario cree manualmente ese fichero con el mismo formato de una FQDN por línea que listas.txt.
• El README.md/LEEME.md del repo describe listanegra.sh como "consulta tu IP pública actual sin argumentos" y listanegra2.sh como "consulta una IP concreta arbitraria" — esto no es lo que hace el código real: ambos requieren argumentos/ficheros como se detalla en la tabla de arriba (IP única por argumento vs. lote desde ip.txt). Confía en el comportamiento verificado, no en la tabla de la doc.

FASE 2 — Consulta rápida y portable (recomendada para uso puntual)

# Una IP
./consulta2.sh 203.0.113.10

# Varias IPs como argumentos
./consulta2.sh 203.0.113.10 198.51.100.25 8.8.8.8

# Desde fichero
./consulta2.sh -f ip.txt

# Desde stdin
echo "203.0.113.10" | ./consulta2.sh -

Salida: [LISTADA] IP → lista1, lista2 o [LIMPIA] IP → No aparece en ninguna lista, y además se anexa a resultado.txt. Solo cubre 5 RBL (las de mayor peso real en filtrado de correo), por lo que es ideal para un triage rápido, no para una auditoría exhaustiva.

FASE 3 — Auditoría exhaustiva contra ~207 RBL/DNSBL

Usa listanegra.sh (una IP) o listanegra2.sh (lote desde ip.txt). Ambos recorren todo listas.txt y rotan servidor DNS de dns.txt según el último octeto de la IP (o el índice de procesamiento en el caso de listanegra2.sh).

# Una sola IP contra las ~207 listas
./listanegra.sh <IP>

# Lote de IPs (una por línea) contra las ~207 listas
cat > ip.txt << 'EOF'
203.0.113.10
198.51.100.25
EOF
./listanegra2.sh

Interpretación de la salida:

• >>> LISTADA en: <fqdn> (Código: 127.x.x.x) → listado positivo, documentar.
• LIMPI en: <fqdn> → no listado en esa RBL concreta.
• ERROR en: <fqdn> (Código: 127.255.255.x) → error de consulta (ver tabla de códigos de error en FASE 5), no es un listado, no debe interpretarse como positivo.
• Resumen final: total de listas, listadas, limpias y errores.
• Resultados acumulados en resultado.txt (se anexa, no se sobreescribe, en listanegra.sh; revisa/limpia el fichero entre auditorías distintas si no quieres mezclar resultados).

FASE 4 — Verificación específica en Spamhaus (SBL/XBL/PBL/CSS)

Cuando el hallazgo se centra en Spamhaus (la fuente de reputación más usada por Microsoft, Google y miles de empresas), usa spamhaus.sh (una IP) o spamhaus2.sh (lote desde ip.txt). Consultan en cascada SBL → XBL → PBL → CSS y muestran el nombre exacto de la lista.

./spamhaus.sh <IP>
# o, para varias IPs:
./spamhaus2.sh

• SBL (Spamhaus Blocklist) → spam/phishing/hosting malicioso confirmado por analistas.
• XBL (Exploits Blocklist) → equipo comprometido (botnet/malware) enviando spam.
• PBL (Policy Blocklist) → rango dinámico/residencial que no debería enviar correo directo.
• CSS (Combined Spam Sources) → spam de baja reputación detectado automáticamente, sin SPF/DKIM/DMARC.
• Spamhaus DNSBL solo soporta consultas IPv4.

FASE 5 — Códigos de retorno de Spamhaus (referencia para interpretar cualquier script)

Nota clave: zen.spamhaus.org combina SBL+XBL+PBL+CSS en una sola consulta — el código que devuelve indica la sublista real, pero si necesitas saber cuál exactamente sin ambigüedad, consulta cada lista Spamhaus por separado (esto es justo lo que hace spamhaus.sh/spamhaus2.sh).

FASE 6 — Consulta manual / verificación cruzada (web, para evidencia de informe o delisting)

Estos paneles suelen incluir el enlace directo de delisting/removal request cuando la IP figura listada, dato imprescindible para la sección de remediación del informe.

FASE 7 — Referencia de listas RBL/DNSBL por tipo de amenaza

El repo incluye LISTAS.md con ~200 RBL clasificadas. Extracto de las más relevantes para un informe (consulta LISTAS.md en el repo clonado para la tabla completa):

FASE 8 — Decisión: siguiente paso según resultado

FASE 9 — Remediación / Delisting (checklist)

1. Confirmar y corregir la causa raíz (limpiar malware, cerrar relay/proxy abierto, rotar credenciales SMTP comprometidas, filtrar salida SMTP con firewall).
2. Verificar registros de autenticación de correo: SPF, DKIM y DMARC correctamente publicados.
3. Solicitar el delisting en cada RBL donde aparezca (Spamhaus: https://check.spamhaus.org/query/ip/$IP incluye el enlace "Remove me from this list").
4. Volver a ejecutar consulta2.sh (rápido) y listanegra.sh/spamhaus.sh (completo) transcurridas 24–72h para confirmar la baja.
5. Monitorización continua recomendada (cron diario con consulta2.sh sobre las IPs de salida SMTP).

PLANTILLA DE HALLAZGO PARA INFORME

HALLAZGO: IP en lista negra (Blacklist / DNSBL)
IP/Rango:  [objetivo]
PTR:       [resultado de dig -x]
ASN/Whois: [organización propietaria]
CVSS v3.1: N/A (hallazgo operativo, no vulnerabilidad técnica clásica) — clasificar como
           Informativo/Medio/Alto según impacto en entregabilidad de correo

LISTAS EN LAS QUE APARECE:
- zen.spamhaus.org   -> [SI/NO] (código: [127.x.x.x])
- sbl.spamhaus.org   -> [SI/NO]
- xbl.spamhaus.org   -> [SI/NO]
- pbl.spamhaus.org   -> [SI/NO]
- [otras RBL detectadas por listanegra.sh / consulta2.sh]

DESCRIPCIÓN:
[Contexto: motivo probable — spam, phishing, malware, botnet C&C, proxy abierto]

EVIDENCIA:
$ ./consulta2.sh <IP>
[output recortado]
$ ./listanegra.sh <IP>
[output recortado]
$ ./spamhaus.sh <IP>
[output recortado]

IMPACTO:
[Correo rebotado/marcado como spam, reputación de dominio afectada, posible indicador de compromiso]

REMEDIACIÓN:
- Identificar y neutralizar la causa raíz (ver FASE 9)
- Publicar/corregir SPF, DKIM, DMARC
- Solicitar delisting en cada RBL afectada
- Monitorización periódica de reputación

REFERENCIAS:
- https://github.com/hackingyseguridad/listanegra
- https://check.spamhaus.org/query/ip/[IP]

REFERENCIAS

• Repositorio: https://github.com/hackingyseguridad/listanegra
• Scripts verificados: consulta2.sh (recomendado, autocontenido), listanegra.sh / listanegra2.sh (auditoría completa contra listas.txt), spamhaus.sh / spamhaus2.sh (Spamhaus en cascada). consulta.sh y consulta1.sh tienen bugs conocidos, ver FASE 1.
• Documentación del repo: README.md / LEEME.md (tabla de scripts, códigos Spamhaus), LISTAS.md (tabla completa de ~200 RBL/DNSBL por tipo de amenaza)
• Spamhaus Blocklists (doc. oficial): https://www.spamhaus.org/blocklists/
• Spamhaus FAQ (códigos de respuesta): https://www.spamhaus.org/faq/
• www.hackingyseguridad.com