Linux Labs
С чего начать Первые шаги трек · 15 ступеней
Linux Labs
RU

whois — данные о домене и IP

3 мин whois

Показывает владельца домена или IP и abuse-контакт; для доменов часть полей скрыта privacy-защитой регистратора.

Шпаргалка

5 команд Версия для печати
  • whois example.com домен (регистратор, срок, NS)
  • whois 1.2.3.4 IP (сеть, провайдер, abuse)
  • whois IP | grep -i abuse контакт для жалоб
  • whois IP | grep -iE 'cidr|netrange' блок сети (для бана)
  • whois -h whois.ripe.net IP конкретный реестр
  • dig — какой IP у домена ; whois — чей этот IP/домен

Обзор

whois запрашивает регистрационные данные домена или IP: владелец, регистратор, даты, диапазон сети, контакты для жалоб (abuse). Полезно при расследовании подозрительного трафика, проверке домена и поиске, кому жаловаться на атаку.

bash 
whois example.com                 # данные домена
whois 8.8.8.8                     # чья сеть / провайдер / abuse-контакт

Не установлен? sudo apt install whois.

Ключи

1

Верхнеуровневый whois-сервер часто лишь пересылает к региональному реестру (RIPE, ARIN, APNIC) — -h задаёт нужный сервер напрямую, если общий ответ обрезан или неполон. Для IP данные обычно полнее, чем для доменов: у доменов часть полей закрыта privacy-защитой регистратора (GDPR).

Ключ Что делает Пример
-h server Запросить конкретный whois-сервер вместо общего. whois -h whois.ripe.net 1.2.3.4

Ничего не найдено. Попробуй запрос короче.

Рецепты

2

Частые задачи

bash 
# срок действия, регистратор, name-серверы домена:
whois example.com | grep -iE 'expir|registrar|name server|status'

# чья сеть и куда жаловаться по IP:
whois 1.2.3.4 | grep -iE 'orgname|netname|country|abuse|cidr|netrange'

# весь блок сети провайдера (для бана в файрволе):
whois 1.2.3.4 | grep -iE 'cidr|route'

# спросить конкретный региональный реестр:
whois -h whois.ripe.net 1.2.3.4   # RIPE (Европа)
whois -h whois.arin.net 1.2.3.4   # ARIN (Сев. Америка)

Связка с DNS: dig говорит, какой IP у домена; whois — чей этот IP/домен.

Разбор атаки

Типичный путь «откуда ломятся» (в связке с логами fail2ban/journalctl):

bash 
ss -tnp | grep :22                # текущие подозрительные коннекты → IP
whois 1.2.3.4 | grep -iE 'netrange|cidr|abuse'   # чей блок и куда жаловаться
# забанить весь блок провайдера (CIDR) в файрволе:
sudo nft add rule inet filter input ip saddr 1.2.3.0/24 drop   # см. firewall

Неполадки

4

Пустой/скудный ответ по домену

Данные скрыты privacy-защитой (GDPR/WHOIS privacy). Часть полей видна только регистратору. Для IP данные обычно полнее, чем для доменов.

Ответ «обрезан» или редирект на другой сервер

Верхнеуровневый whois отсылает к регистратору/реестру. Запрашивай напрямую нужный сервер через -h (RIPE/ARIN/APNIC по региону IP).

Хочу понять, откуда атака, и заблокировать сеть

whois 1.2.3.4 → abuse/OrgAbuseEmail (жалоба), NetRange/CIDR (весь блок — для блокировки в firewall).

whois тормозит/таймаут

Реестр лимитирует частоту запросов. Не дёргай в цикле; кешируй результат.

См. также

  • dns-resolv — Как имя превращается в IP — resolv.conf, systemd-resolved, /etc/hosts, dig.
  • network-diagnostics — Лесенка проверки связности — от шлюза до DNS и порта назначения.

Есть неточность? Сообщить об ошибке в статье

Темы
Загрузка…