hunt-subdomain

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um ambiente isolado (sandbox), máquina virtual descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

A tomada de subdomínio é de alto valor porque permite que um invasor sirva conteúdo de um domínio confiável e de propriedade da empresa — contornando a confiança de origem do navegador (same-origin trust), filtros de phishing e ceticismo do usuário simultaneamente.

Contextos com maior retorno:

• Subdomínios de grandes marcas SaaS (Shopify, Snapchat, Mozilla, Yelp) onde o domínio confiável tem contexto de sessão do usuário
• Subdomínios com suporte de CDN (Fastly, CloudFront) onde o CNAME aponta para origens não reivindicadas
• Integrações de serviços de terceiros: UserVoice, WordPress.com, GitHub Pages, GitLab Pages, Heroku, Zendesk
• Subdomínios de pré-visualização/staging/dev (new., preview., course., delivery., addons-preview.) — abandonados após o lançamento de recursos
• Subdomínios usados para URIs de redirecionamento OAuth ou endpoints SSO — estes pagam mais

Tipos de ativos que mais importam:

• Registros CNAME apontando para serviços de terceiros desativados
• Delegações NS para zonas abandonadas
• Registros A apontando para IPs de nuvem não alocados (menos comum)
• Páginas GitLab/GitHub com namespaces de projeto não reivindicados

Sinais da Superfície de Ataque

Sinais de DNS:

• CNAME apontando para *.github.io, *.gitlab.io, *.fastly.net, *.herokudns.com, *.wordpress.com, *.uservoice.com, *.zendesk.com, *.s3.amazonaws.com, *.azurewebsites.net, *.netlify.app
• NXDOMAIN ou SERVFAIL no alvo do CNAME enquanto o registro pai ainda existe
• Registros NS delegando para registradores onde a zona não é mais registrada

Sinais de resposta HTTP:

• "There isn't a GitHub Pages site here"
• "NoSuchBucket" (S3)
• "The specified bucket does not exist"
• "No such app" (Heroku)
• "Sorry, this shop is currently unavailable" (Shopify)
• "This UserVoice subdomain is available"
• "Do you want to register" (qualquer página de estacionamento de domínio)
• HTTP 404 com templates de erro específicos do provedor
• Fastly: "Fastly error: unknown domain"
• "404 Web Site not found" (Azure App Service)

Sinais de pilha tecnológica:

• Cabeçalhos de resposta: X-Served-By: cache-* (Fastly), X-GitHub-Request-Id, Server: Netlify
• Cadeia CNAME resolvendo para infraestrutura do provedor, mas retornando 404 do provedor
• Certificado SSL emitido para wildcard do provedor (*.fastly.net) em vez do domínio da empresa

Metodologia de Caça Passo a Passo

1. Enumere todos os subdomínios para o alvo usando fontes passivas + ativas:

   • subfinder -d target.com -all
   • amass enum -passive -d target.com
   • assetfinder --subs-only target.com
   • Transparência de certificado: crt.sh/?q=%.target.com

2. Resolva todos os subdomínios e marque aqueles com:

   • Respostas NXDOMAIN
   • CNAME apontando para um provedor de terceiros

   cat subdomains.txt | dnsx -a -cname -o resolved.txt
   

3. Cruze referências de CNAMEs contra impressões digitais de provedores vulneráveis conhecidos usando nuclei ou subjack:

   subjack -w subdomains.txt -t 100 -timeout 30 -ssl -c fingerprints.json
   nuclei -l subdomains.txt -t takeovers/
   

4. Verificação manual para cada subdomínio sinalizado:

   • dig CNAME subdomain.target.com — confirme a existência do CNAME
   • dig A <cname-target> — confirme NXDOMAIN ou nenhuma resolução
   • curl -sk https://subdomain.target.com — verifique se há string de erro do provedor

5. Confirme a possibilidade de reivindicação — tente registrar o recurso:

   • GitHub Pages: verifique se a página <username>.github.io/<repo> ou de organização está não reivindicada
   • GitLab Pages: verifique o namespace do projeto
   • S3: tente aws s3api create-bucket --bucket <bucketname>
   • UserVoice/Zendesk/WordPress: visite o URL de registro
   • Fastly: verifique se o nome do host de origem não está registrado

…