Realizando Enumeração de DNS e Transferência de Zona

Quando Usar

• Mapeamento da superfície de ataque externa de uma organização alvo durante testes de penetração autorizados
• Descoberta de subdomínios ocultos, nomes de host internos e endereços IP expostos via registros DNS
• Teste se os servidores DNS permitem transferências de zona não autorizadas que vazam o arquivo de zona inteiro
• Identificação de servidores de e-mail, servidores de nomes e registros de serviço para testes direcionados adicionais
• Validação de configurações de segurança de DNS, incluindo DNSSEC, SPF, DKIM e DMARC

Não use contra domínios que você não tem autorização para testar, para ataques de amplificação ou reflexão de DNS, ou para sobrecarregar servidores DNS com volumes excessivos de consultas.

Pré-requisitos

• Autorização por escrito para realizar a enumeração de DNS contra o domínio alvo
• Ferramentas de enumeração de DNS instaladas: dig, nslookup, host, dnsrecon, dnsenum, subfinder, amass
• Acesso à rede aos servidores DNS do alvo (porta 53 UDP/TCP)
• Lista de palavras para brute-force de subdomínios (SecLists dns-wordlist ou similar)
• Compreensão dos tipos de registros DNS (A, AAAA, CNAME, MX, NS, TXT, SOA, SRV, PTR)

Fluxo de Trabalho

Passo 1: Identificar Servidores DNS e Registros Básicos

# Find authoritative name servers
dig NS example.com +short
# ns1.example.com.
# ns2.example.com.

# Get SOA record for zone metadata
dig SOA example.com +short
# ns1.example.com. admin.example.com. 2024031501 3600 900 604800 86400

# Enumerate all common record types
dig example.com ANY +noall +answer

# Get MX records (mail servers)
dig MX example.com +short
# 10 mail.example.com.
# 20 mail-backup.example.com.

# Get TXT records (SPF, DKIM, DMARC, verification)
dig TXT example.com +short

# Check for DMARC policy
dig TXT _dmarc.example.com +short

# Check for DKIM selectors
dig TXT default._domainkey.example.com +short
dig TXT selector1._domainkey.example.com +short
dig TXT google._domainkey.example.com +short

# Get SRV records for common services
dig SRV _sip._tcp.example.com +short
dig SRV _ldap._tcp.example.com +short
dig SRV _kerberos._tcp.example.com +short

Passo 2: Tentar Transferências de Zona

# Attempt AXFR zone transfer against each name server
dig AXFR example.com @ns1.example.com
dig AXFR example.com @ns2.example.com

# Use host command for zone transfer
host -t axfr example.com ns1.example.com

# Use dnsrecon for automated zone transfer attempts
dnsrecon -d example.com -t axfr

# If zone transfer succeeds, save the output
dig AXFR example.com @ns1.example.com > zone_transfer_results.txt

# Test for IXFR (incremental zone transfer)
dig IXFR=2024031500 example.com @ns1.example.com

Passo 3: Enumeração de Subdomínios via Brute Force

# Use dnsenum for comprehensive enumeration
dnsenum --dnsserver ns1.example.com --enum -f /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -r example.com -o dnsenum_output.xml

# Use dnsrecon with brute force
dnsrecon -d example.com -t brt -D /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt

# Use gobuster for fast DNS brute forcing
gobuster dns -d example.com -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-20000.txt -t 50 -o gobuster_dns.txt

# Use subfinder for passive subdomain discovery
subfinder -d example.com -all -o subfinder_results.txt

# Use amass for comprehensive enumeration (passive + active)
amass enum -d example.com -passive -o amass_passive.txt
amass enum -d example.com -active -brute -o amass_active.txt

# Combine and deduplicate results
cat subfinder_results.txt amass_passive.txt amass_active.txt gobuster_dns.txt | sort -u > all_subdomains.txt

Passo 4: Enumeração de DNS Reverso e PTR

# Reverse DNS lookup on discovered IP ranges
dnsrecon -d example.com -t rvl -r 10.10.0.0/24

# PTR record enumeration for IP range
for ip in $(seq 1 254); do
  result=$(dig -x 10.10.1.$ip +short 2>/dev/null)
  if [ -n "$result" ]; then
    echo "10.10.1.$ip -> $result"
  fi
done

# Use Nmap for reverse DNS on a subnet
nmap -sL 10.10.0.0/24 | grep "(" | awk '{print $5, $6}'

# Check for DNS cache snooping (information about queried domains)
dig @ns1.example.com www.competitor.com +norecurse

Passo 5: Analisar Configuração de Segurança de DNS

# Verificar validação DNSSEC
dig example.com +dnssec +short
dig DNSKEY example.com +short
dig DS example.com +short

# Testar vulnerabilidade de DNS rebinding
# Verificar se o servidor DNS tem um TTL curto que possa permitir o rebinding
dig example.com +noall +answer | grep -i ttl


…