Explorando o Sequestro de Links Quebrados

Quando Usar

• Ao auditar aplicações web em busca de referências a recursos externos expirados ou não reivindicados
• Durante avaliações de segurança da cadeia de suprimentos de scripts de terceiros e dependências de recursos
• Ao testar oportunidades de tomada de subdomínio via registros CNAME pendentes
• Durante a caça a bugs por vulnerabilidades de sequestro de links quebrados
• Ao avaliar a segurança de dependências de recursos externos em aplicações em produção

Pré-requisitos

• Rastreador web ou spider para descobrir todos os links externos (Burp Suite Spider, Scrapy)
• Ferramentas de consulta DNS para verificar registros CNAME e disponibilidade de domínio
• Acesso ao registrador de domínios para reivindicar domínios expirados (como prova de conceito)
• Compreensão de provisionamento de CDN e serviços em nuvem (S3, Azure Blob, GitHub Pages)
• blc (broken-link-checker) ou ferramenta similar para validação automatizada de links
• Conhecimento de serviços vulneráveis à tomada de subdomínio (can-i-take-over-xyz)

Aviso Legal: Esta habilidade é apenas para testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Passo 1 — Rastrear e Extrair Todas as Referências Externas

# Use broken-link-checker to find dead links
npx broken-link-checker http://target.com --recursive --ordered \
  --exclude-internal --filter-level 3 -o broken_links.txt

# Extract all external links from page source
curl -s http://target.com | grep -oP 'https?://[^"'"'"'\s>]+' | sort -u > all_links.txt

# Extract JavaScript sources
curl -s http://target.com | grep -oP 'src="[^"]*"' | grep -v target.com > external_scripts.txt

# Extract CSS references
curl -s http://target.com | grep -oP 'href="[^"]*\.css"' | grep -v target.com > external_css.txt

# Use wayback machine for historical external references
curl -s "https://web.archive.org/web/timemap/link/http://target.com" | \
  grep -oP 'https?://[^>]+' | sort -u > historical_links.txt

# Spider with Burp Suite
# Configure Spider scope to include target.com
# Review Site Map > Filter by "External" to list all external references

Passo 2 — Identificar Recursos Mortos ou Reivindicáveis

# Check if external domains are registered
for domain in $(cat external_domains.txt); do
  whois $domain 2>/dev/null | grep -qi "no match\|not found\|available" && \
    echo "[CLAIMABLE] $domain"
done

# Check HTTP status of external links
while read url; do
  status=$(curl -o /dev/null -s -w "%{http_code}" "$url" --max-time 5)
  if [ "$status" = "000" ] || [ "$status" = "404" ]; then
    echo "[DEAD] $url (Status: $status)"
  fi
done < all_links.txt

# Check for dangling CNAME records
for sub in $(cat subdomains.txt); do
  cname=$(dig +short CNAME $sub)
  if [ -n "$cname" ]; then
    resolved=$(dig +short $cname)
    if [ -z "$resolved" ]; then
      echo "[DANGLING] $sub -> $cname (UNRESOLVED)"
    fi
  fi
done

# Check cloud resource availability
# AWS S3 bucket
aws s3 ls s3://target-assets 2>&1 | grep -q "NoSuchBucket" && echo "[CLAIMABLE] S3: target-assets"

Passo 3 — Verificar Possibilidades de Tomada Específicas do Serviço

# Check GitHub Pages takeover
# If CNAME points to <user>.github.io and 404 is returned
curl -s https://subdomain.target.com | grep -q "There isn't a GitHub Pages site here"

# Check AWS S3 takeover
curl -s http://subdomain.target.com | grep -q "NoSuchBucket"

# Check Azure Blob Storage
curl -s http://subdomain.target.com | grep -q "The specified container does not exist"

# Check Heroku
curl -s http://subdomain.target.com | grep -q "No such app"

# Check Shopify
curl -s http://subdomain.target.com | grep -q "Sorry, this shop is currently unavailable"

# Use subjack for automated takeover detection
subjack -w subdomains.txt -c fingerprints.json -t 100 -o takeover_candidates.txt

# Use nuclei takeover templates
subfinder -d target.com -silent | nuclei -t http/takeovers/ -o takeovers.txt

Passo 4 — Verificar o Sequestro de Scripts Externos

# Verifica se domínios de JavaScript externos estão disponíveis para registro
curl -s http://target.com | grep -oP 'src="https?://([^/"]+)' | \
  cut -d'/' -f3 | sort -u | while read domain; do
    whois "$domain" 2>/dev/null | grep -qi "no match\|available" && \
      echo "[SCRIPT REIVINDICÁVEL] $domain carregado por target.com"
  done

# Verifica referências a pacotes npm/CDN
curl -s http://target.com | grep -oP 'unpkg\.com/[^@/]+' | sort -u

…