Najszybszą metodą na to, jak znaleźć subdomeny danej witryny, jest użycie pasywnych wyszukiwarek OSINT takich jak crt.sh lub Shodan, które skanują publiczne logi certyfikatów SSL bez alarmowania celu. Możesz też zastosować aktywną enumerację za pomocą terminalowych narzędzi typu Subfinder czy Amass, przeprowadzając ataki słownikowe bezpośrednio na serwery DNS badanej infrastruktury.
Zanim przejdziemy do konkretów warsztatowych. Prawda jest zresztą absolutnie taka, że bez mapowania powierzchni ataku robimy testy penetracyjne w ciemno. Siedziałem we wtorek nad ranem przy zleceniu dla klienta z branży fintech. Zrobiliśmy podstawowy skan nmapem, potem zawiesiło się logowanie na ich głównym portalu, więc wprowadzono poprawkę na firewallu zrzucając winę na obciążenie. Ale nikt z administratorów nie zauważył, że na deweloperskiej subdomenie wisiał stary panel Jenkinsa bez hasła z uprawnieniami roota. To jest bez mała najgorsza opcja z wszystkich. Szukanie ukrytych hostów daje nam twardy wgląd w zapomniane środowiska testowe. Pokazuje nam też od razu całą infrastrukturę stagingową, o której firma dawno zapomniała.
Dlaczego enumeracja subdomen obnaża wady w architekturze sieci?
Firmy ukrywają swoje zasoby. Wyrzucają aplikacje wewnętrzne pod adresy typu jira.firma.pl lub dev-api-v2.firma.pl. Zakładają mylnie, że brak linku na głównej stronie internetowej załatwia sprawę bezpieczeństwa. Security by obscurity to mit. Atakujący i badacze bug bounty w pierwszej kolejności zrzucają całą mapę DNS. Chcą wiedzieć, gdzie kończy się aplikacja główna, a gdzie zaczynają się poboczne, słabiej łatane systemy.
Wyszukiwanie subdomen dzieli się na dwa główne obozy analityczne. Mamy rekonesans pasywny. Oraz rekonesans aktywny. Różnica polega na śladach, jakie zostawiasz w logach u administratora po drugiej stronie kabla. W pasywnym nie wysyłasz ani jednego pakietu do serwera docelowego. Pytasz o dane agregatory zewnętrzne. W aktywnym walisz prosto w ich infrastrukturę. Zaczynamy zawsze od tego pierwszego.
Jakie darmowe narzędzia OSINT pokazują ukryte hosty z logów certyfikatów?
Certyfikaty SSL muszą być rejestrowane. Wymagają tego przeglądarki internetowe, by ufać połączeniom HTTPS. Mechanizm Certificate Transparency (CT) zmusza wystawców do publikowania logów o każdym wygenerowanym certyfikacie. To jest żyła złota dla analityków. Wchodzisz na stronę crt.sh. Wpisujesz %nazwadomeny.pl. Baza wypluwa ci tabelę ze wszystkimi nazwami, dla których kiedykolwiek wygenerowano kłódkę bezpieczeństwa. Czasami trafiasz tam na śmieci z 2015 roku. Czasami dostajesz na tacy adres vpn-lodz-backup.domena.pl.
Drugim potężnym źródłem są wyszukiwarki dla hakerów. Shodan i Censys. Te boty nieustannie skanują cały internet, adres IP po adresie IP. Zbierają nagłówki HTTP. Zbierają dane z banerów usług. Jeśli wpiszesz w Censys odpowiednie zapytanie dorkowe filtrujące certyfikaty dla danego podmiotu, dostaniesz listę hostów, które fizycznie odpowiadają na zapytania w sieci. Google również pomaga. Komenda site:domena.pl -www wklejona do paska wyszukiwarki odcina główny serwis. Zostawia w wynikach zaindeksowane fora, panele logowania i zapomniane blogi oparte o subdomeny.
Jakie skrypty terminalowe wyciągają subdomeny siłowo z DNS?
Narzędzia graficzne w przeglądarce są okej dla amatorów szukających wrażeń. My w IT używamy terminala na systemach Linux. OWASP Amass to potężny kombajn analityczny. Chociaż prawdę mówiąc brakuje mu optymalizacji pamięci przy ładowaniu ogromnych list słów, więc wydaje się to tylko jedną z możliwych opcji na szybkie, kilkuminutowe skany przed właściwą pracą. Subfinder działa o wiele szybciej. Został napisany w języku Go. Odpytuje kilkadziesiąt pasywnych źródeł naraz, parsuje JSON-y i wypluwa czystą listę w ułamki sekund.
Ale pasywne zbieranie ma swój sufit. Tutaj wchodzi faza aktywna i narzędzia takie jak ffuf lub gobuster. Służą one do enumeracji opartej o słowniki (brute-force). Zasada działania jest prosta. Bierzesz plik tekstowy z milionem najpopularniejszych nazw subdomen. Skrypt dokleja każde słowo do domeny głównej i pyta serwer DNS: „Czy adres dev.domena.pl istnieje?”. Jeśli serwer odpowiada adresem IP, mamy trafienie. Proces jest głośny. Administratorzy widzą w logach tysiące zapytań na sekundę. Dlatego robimy to z głową.
Skąd brać dobre słowniki do ataków słownikowych na serwery nazw?
Zapomnij o małych, amatorskich listach z przypadkowych forów. Repozytorium SecLists na platformie GitHub ma wszystko, czego potrzebujesz do pracy. Znajdziesz tam pliki ważące po kilkadziesiąt megabajtów, ułożone według popularności występowania słów w internecie. Pobierasz słownik i puszczasz w ruch.
- Problem polega na limitowaniu ruchu przez dostawców usług chmurowych. Cloudflare utnie ci połączenie po kilku tysiącach prób, banując twoje IP na zaporze brzegowej.
- TRZEBA używać resolverów DNS. To publiczne adresy serwerów (jak 8.8.8.8 od Google czy 1.1.1.1), przez które przepuszczasz zapytania. Dobre skrypty pozwalają załadować plik z setką takich resolverów. Narzędzie rotuje nimi przy każdym strzale. Zapytania rozkładają się po całym świecie. Limitowanie oparte na jednym IP przestaje mieć jakiekolwiek znaczenie przy masowym skanowaniu na robocie.
W jaki sposób błędy transferu strefy (AXFR) zdradzają architekturę sieci?
To jest błąd konfiguracji. Czysty, stary i banalnie prosty. Mechanizm transferu strefy DNS (AXFR) miał służyć w latach dziewięćdziesiątych do replikacji danych między serwerami głównymi a zapasowymi. Kopiował całą książkę adresową domeny. Czasami, nawet dzisiaj, administratorzy zostawiają ten port otwarty na świat bez autoryzacji. Wpisujesz w terminal polecenie dig axfr @serwer_dns domena.pl. Jeśli maszyna po drugiej stronie ma lukę, wypluwa ci kompletną mapę subdomen w formie tekstowej. Bez zgadywania. Bez używania słowników. Bez czekania godzinami na wynik.
Dzisiaj to rzadkość. Większość dużych providerów hostingowych blokuje AXFR domyślnie na poziomie oprogramowania. Ale wciąż warto to sprawdzać na starszych serwerach fizycznych w lokalnych firmach, a nie w chmurach typu AWS czy Azure. Zawsze weryfikuję ten wektor na samym początku testów. Zajmuje to dosłownie dziesięć sekund, a czasami oszczędza cały dzień żmudnej pracy ze słownikami.
| Narzędzie | Typ Rekonesansu | Główne zastosowanie techniczne w terminalu |
|---|---|---|
| Subfinder | Pasywny | Szybkie agregowanie danych z wielu API zewnętrznych bez dotykania celu. |
| Amass | Hybrydowy (Pasywny/Aktywny) | Budowanie potężnych grafów powiązań między ASN, IP i domenami. |
| ffuf / gobuster | Aktywny (Brute-force) | Siłowe zgadywanie nazw przy użyciu masowych list słów z SecLists. |
| Massdns | Aktywny (Resolvery) | Błyskawiczne rozwiązywanie tysięcy rekordów na sekundy dzięki rotacji DNS. |
Co to jest problem wildcard DNS i jak fałszuje wyniki skanowania?
Rekordy wildcard to przekleństwo analityków bezpieczeństwa. Zastanawiacie się zresztą, dlaczego wasz skrypt nagle znajduje w konsoli milion subdomen, które wyglądają jak przypadkowy ciąg znaków? Bo administrator ustawił w strefie DNS rekord z gwiazdką (*.domena.pl). Oznacza to, że cokolwiek wpiszesz przed kropką, serwer z automatu skieruje ten ruch na jeden, domyślny adres IP. Wpiszesz asdfg.domena.pl i serwer odpowie poprawnie. Wpiszesz test.domena.pl i też odpowie. Program do ataku słownikowego dostaje kod 200 dla każdego słowa z pliku.
Trzeba to ręcznie filtrować. Dobre narzędzia mają wbudowane algorytmy omijania wildcardów. Rozpoznają one, że każdy fałszywy host zwraca dokładnie taki sam rozmiar odpowiedzi HTTP w bajtach. Ignorują te duplikaty. Zostawiają na liście tylko te adresy, które po uderzeniu faktycznie odsyłają inną treść lub inny kod błędu. W przeciwnym razie utoniesz w logach pełnych fałszywych alarmów (False Positives).
Jakie mechanizmy obronne ukrywają hosty przed okiem skanerów?
Korporacje nie chcą, żebyśmy widzieli ich wewnętrzne zaplecze. Stawiają Web Application Firewalls (WAF). Urządzenia te tną ruch sieciowy przy pierwszych oznakach zautomatyzowanego skanowania. Używają też techniki split-horizon DNS. Oznacza to w praktyce, że wewnętrzni pracownicy biurowi widzą całkowicie inne rekordy domenowe niż ludzie z zewnątrz internetu. (Prywatnie uważam zresztą, że połowa tych zachwalanych zabezpieczeń to prowizorka klejona na ślinę, bo na audycie w zeszłym miesiącu w warszawskim oddziale dużej spółki wystarczyło mi wejść przez ich zapomniany, stary VPN dla dostawców z 2018 roku, żeby ominąć cały ten drogi sprzęt brzegowy i zrzucić mapę sieci w pięć minut). Z zewnątrz adres intranet.firma.com po prostu nie istnieje i zwraca błąd NXDOMAIN. Z wewnątrz sieci LAN rozwiązuje się na poprawne, lokalne IP z puli 10.x.x.x.
Czy certyfikaty SSL zawsze pokazują pełną listę hostów firmy?
Absolutnie nie. Certyfikaty pokazują tylko i wyłącznie to, co zostało do nich sprzętowo przypisane podczas generowania żądania CSR. Mechanizm Subject Alternative Name (SAN) pozwala na umieszczenie wielu subdomen w jednym pliku certyfikatu. To widać w logach crt.sh. Problem pojawia się, gdy firma kupuje certyfikat typu Wildcard. Widzimy wtedy tylko wpis *.domena.pl. Nie wiemy, czy pod spodem kryje się serwer pocztowy, ukryty panel dla księgowości, czy środowisko deweloperskie z błędami w kodzie.
Dlatego samo przeszukiwanie logów Certificate Transparency to tylko ułamek roboty. Musimy bezwzględnie łączyć pasywne zbieranie danych z aktywnym uderzeniem słownikiem przez sieć. Tylko wtedy budujemy w miarę bliski prawdy obraz infrastruktury badanego podmiotu. Poleganie na jednym źródle danych w OSINT to amatorszczyzna kończąca się dziurawym raportem.
Jak połączyć wiele pojedynczych skryptów w zautomatyzowany potok pracy?
Skrypty napisane w Bashu robią czarną robotę za nas. Zamiast ręcznie klikać i kopiować wyniki z okna do okna, łączymy programy potokami (pipes) w systemie Linux. Zrzucamy wyjście z jednego programu bezpośrednio do wejścia drugiego. Prawdziwa enumeracja to proces kaskadowy.
- Na start zbieranie nazw: Amass i Subfinder wypluwają surowy tekst do jednego pliku tekstowego, łącząc wyniki i usuwając powtarzające się linie za pomocą komendy sort -u.
- Faza weryfikacji: Mamy listę 5000 nazw. Połowa z nich to martwe adresy DNS. Wrzucamy tę listę w narzędzie httpx. Ten skrypt sprawdza w locie, czy na tych portach (80 i 443) faktycznie działa jakikolwiek serwer WWW, odrzucając martwe rekordy i skracając czas naszej pracy o połowę do samych żywych hostów.
- Skanowanie wizualne i zrzuty: Na sam koniec przepuszczamy żywe adresy przez Aquatone lub Gowitness. To narzędzia korzystające z bezgłowego silnika Chromium. Wchodzą na każdą subdomenę i robią zrzut ekranu. Zamiast klikać w 500 linków, przeglądasz folder z obrazkami i od razu widzisz, gdzie wisi domyślna strona logowania do Apache, a gdzie panel administratora.
Odpal teraz swój terminal. Wybierz własną, firmową domenę o której myślisz, że wiesz wszystko. Wpisz prostą komendę z Subfinderem, przepuść to przez httpx i zobacz na własne oczy, ile zapomnianych śmieci deweloperskich wisi na twoich zewnętrznych serwerach całkowicie bez nadzoru od lat. Zdziwisz się.
Szybkie pytania i odpowiedzi (FAQ) dotyczące szukania subdomen
- 1. Czy pasywne wyszukiwanie subdomen jest legalne?
- Tak. Pasywny rekonesans opiera się na przeglądaniu publicznie dostępnych rejestrów (takich jak crt.sh lub wyszukiwarki Google). Nie wchodzisz w interakcję z serwerem ofiary, więc nie łamiesz prawa.
- 2. Czym różni się Subfinder od ffuf?
- Subfinder zbiera nazwy z zewnętrznych API (pasywnie). Ffuf to fuzzer, który aktywnie wysyła tysiące zapytań do serwera DNS, sprawdzając słowa z podanego pliku tekstowego (brute-force).
- 3. Dlaczego skrypt znajduje mi miliony nieistniejących adresów?
- Prawdopodobnie trafiłeś na strefę z włączonym rekordem wildcard (*.domena.pl). Serwer DNS odpowiada pozytywnie na każdy wymyślony ciąg znaków. Musisz użyć funkcji filtrowania fałszywych alarmów w swoim narzędziu.
- 4. Jak długo trwa pełna enumeracja dla dużej firmy?
- Pasywne pobranie logów to kwestia sekund. Agresywny atak słownikowy z użyciem wielkich plików z SecLists i rotacją resolverów DNS może trwać od kilku minut do nawet kilkunastu godzin w zależności od przepustowości łącza.
- 5. Gdzie znajdę darmowe słowniki do testów?
- Najlepszym i najczęściej aktualizowanym miejscem w sieci jest repozytorium SecLists dostępne na platformie GitHub, zawierające zbiory podzielone na języki i specyfikę technologii.
- 6. Czy ukrycie linku do subdomeny na stronie wystarczy do ochrony?
- Nie. Zjawisko „Security by obscurity” to kardynalny błąd. Każda subdomena, do której wygenerowano kiedykolwiek certyfikat SSL, jest widoczna w jawnych logach Certificate Transparency dla całego świata.
Bibliografia i źródła
1. Fundacja OWASP – https://owasp.org
2. Baza danych Shodan – https://shodan.io
3. Wyszukiwarka certyfikatów crt.sh – https://crt.sh
4. Projekt SecLists – https://github.com
5. Dokumentacja Nmap – https://nmap.org
