HAFTUNGSAUSSCHLUSS: Dieses Projekt wurde von Künstlicher Intelligenz (KI) generiert, hat jedoch einen strengen „Human-in-the-Loop“-Prozess (HITL) durchlaufen. Das bedeutet, dass der Code von einem menschlichen Softwareentwickler überprüft und überarbeitet wurde, das Architekturdesign von Menschen geleitet wurde und ein grundlegendes Sicherheitsaudit durchgeführt wurde, um die Funktionalität zu verifizieren und typische KI-Halluzinationen auszuschließen. Dieser Prozess gewährleistet ein Maß an Qualität und Zuverlässigkeit, das eine reine KI-Generierung nicht garantieren kann.

NSEC3-X

NSEC3-X ist ein spezialisiertes Forensik- und Penetrationstesting-Tool, das für die Prüfung von DNSSEC-NSEC3-Konfigurationen entwickelt wurde. Es bietet eine moderne, leistungsstarke Alternative zu Legacy-Tools wie nsec3walker und vereint Funktionen für die Zonen-Enumeration (Harvesting) und die Hash-Umkehrung (Cracking) in einem integrierten Werkzeug.

Das Tool ist in Go geschrieben und als eigenständige, abhängigkeitsfreie Binärdatei konzipiert, die sich für den Einsatz in eingeschränkten Umgebungen eignet.

Technische Übersicht

Domain Name System Security Extensions (DNSSEC) verwenden NSEC3-Records, um die Nichtexistenz eines Domainnamens nachzuweisen, ohne den gesamten Zoneninhalt preiszugeben. NSEC3 erreicht dies durch das Hashen der Domainnamen. Sind jedoch die Hash-Parameter (insbesondere die Iterationsanzahl und das Salt) schwach, können diese Hashes für Offline-Brute-Force-Angriffe anfällig sein.

NSEC3-X automatisiert die Ausnutzung dieser Schwachstellen in zwei Hauptphasen:

1. Harvesting: Das Tool verwendet DNS-over-HTTPS (DoH), um zufällige Subdomains der Zielzone abzufragen. Wenn der Nameserver mit „NXDOMAIN“ antwortet, fügt er NSEC3-Records bei, die die Nichtexistenz belegen. Diese Records enthalten die Hashes der „nächstnäheren“ existierenden Domains in der Kette. Durch das Sammeln ausreichend vieler dieser Records kann das Tool Teile der Hash-Kette der Zone rekonstruieren.
2. Cracking: Sobald Hashes gesammelt wurden, versucht NSEC3-X, diese umzukehren. Es berechnet den NSEC3-Hash für Einträge aus einer bereitgestellten Wortliste unter Verwendung der spezifischen Parameter der Zone (Iterationen und Salt). Wenn ein berechneter Hash mit einem gesammelten Hash übereinstimmt, wird die ursprüngliche Subdomain aufgedeckt.

Funktionen

• DNS-over-HTTPS-(DoH-)Transport: nutzt die DoH-API von Google, um DNS-Abfragen durchzuführen. Dies umgeht lokale Firewall-Beschränkungen für UDP-Port 53 und verschlüsselt den Datenverkehr, um einfache Paketinspektion zu vermeiden.
• Automatische Parametererkennung: fragt die Zielzone automatisch nach NSEC3PARAM-Records ab, um den Cracker mit dem korrekten Salt und der korrekten Iterationsanzahl zu konfigurieren.
• RFC-konformes Hashing: implementiert den NSEC3-Hashing-Algorithmus streng gemäß RFC 5155, einschließlich der korrekten Behandlung der Base32Hex-Kodierung, die bei Allzweck-Cracking-Tools häufig problematisch ist.
• Multithreaded-Architektur: Sowohl die Harvesting- als auch die Cracking-Module sind multithreaded und skalieren mit der Anzahl der verfügbaren CPU-Kerne für maximale Leistung.

Installation

go install gitlab.com/cyberdev-tools/nsec3-x/cmd/nsec3-x@latest

Voraussetzungen

• Go 1.27 oder höher (bei Erstellung aus dem Quellcode)
• Hinweis für Nutzer von Distributions-Go: Einige Distributionen (z. B. Fedora) setzen GOTOOLCHAIN=local, was den automatischen Toolchain-Download blockiert, den go install andernfalls durchführt. Führen Sie einmalig go env -w GOTOOLCHAIN=auto aus oder installieren Sie ein offizielles Go >= 1.27 von go.dev/dl. Die Toolchain ist bewusst festgelegt, damit lokal erstellte Binärdateien den Fix für die Denylist der eMudhra-Intermediate-CA in crypto/x509 enthalten (CVE-2026-111943).

Überprüfung der Binärintegrität

Aus Sicherheitsgründen wird empfohlen, die Integrität der heruntergeladenen Binärdateien mithilfe der bereitgestellten SHA256-Prüfsummen zu verifizieren.

1. Laden Sie die Binärdatei und die Datei sha256sums.txt von der Release-Seite herunter.
2. Überprüfen Sie die Prüfsumme:

   sha256sum -c sha256sums.txt
   

Aus dem Quellcode erstellen

Klonen Sie das Repository und erstellen Sie die Binärdatei:

git clone https://gitlab.com/cyberdev-tools/nsec3-x.git
cd nsec3-x
go build ./cmd/nsec3-x

Dadurch wird eine ausführbare Datei namens nsec3-x im aktuellen Verzeichnis erzeugt.

Verwendung

Das Tool arbeitet in verschiedenen Modi, die über das Flag -mode gesteuert werden.

1. Untersuchungsmodus

Analysiert die Zieldomain, um festzustellen, ob NSEC3 aktiv ist, und bewertet die Sicherheitsstärke ihrer Konfiguration.

./nsec3-x -mode investigate -target example.com

2. Harvest-Modus

Sammelt NSEC3-Hashes durch Senden zufälliger Abfragen an das Ziel. Dies schließt die Lücke zwischen bekannten Hashes in der Zone.

./nsec3-x -mode harvest -target example.com -n 1000

• -n: Die Anzahl der zufälligen Abfragen, die gesendet werden sollen. Höhere Zahlen erhöhen die Abdeckung, erzeugen aber mehr Datenverkehr.
• -t: Anzahl der gleichzeitigen Worker-Threads.
• Die Ausgabe wird standardmäßig in hashes.txt gespeichert.

3. Crack-Modus

Versucht, Klartext-Subdomains aus den gesammelten Hashes mithilfe einer Wortliste wiederherzustellen.

./nsec3-x -mode crack -target example.com -w /path/to/wordlist.txt

• -target: Die Zielzone (erforderlich für die korrekte Salt-Anwendung).
• -file: Pfad zur Datei mit den gesammelten Hashes (Standard: hashes.txt).
• -w: Pfad zur Wörterbuchdatei (Wordlist). Optional: Wird sie weggelassen, wird eine mitgelieferte Standard-Wortliste (SecLists subdomains-top1million-5000, ~4,8k Labels) verwendet, sodass das Cracking vollständig offline funktioniert.
• -no-auto: Deaktiviert die automatische Parametererkennung (erfordert manuelle -i- und -s-Flags).

4. Verify-Modus

Ein Debug-Dienstprogramm, das den NSEC3-Hash für einen bestimmten Fully Qualified Domain Name (FQDN) berechnet. Dies ist nützlich, um zu überprüfen, ob eine bestimmte Subdomain mit einem während der Erfassung gefundenen Hash übereinstimmt.

./nsec3-x -mode verify -target secret.example.com

Sicherheitsüberlegungen

• Netzwerkrauschen: Der Harvesting-Modus erzeugt erheblichen DNS-Verkehr. Während DoH den Inhalt vor lokalen Beobachtern verbirgt, ist das Volumen der Anfragen an den Upstream-Resolver (Google DNS) sichtbar.
• Sichtbarkeit des Upstream-Resolvers: Alle Abfragen – einschließlich der zufälligen Harvest-Probes – werden standardmäßig von Google Public DNS beantwortet. Google sieht jede Abfrage, die du stellst; mit -doh kann das Tool auf jeden RFC-8484-kompatiblen Resolver gerichtet werden, dem du vertraust (z. B. deinen eigenen). Führe Harvest/Crack in einem Netzwerk aus, das du testen darfst.
• Aktive Verteidigung: Administratoren können die mit der Harvesting-Phase verbundene „NXDOMAIN“-Flut erkennen.
• Binärprüfung: Releases sind mit SHA-256-Prüfsummen signiert (sha256sums.txt, mit jedem Release veröffentlicht). Verifiziere stets, bevor du heruntergeladene Binärdateien ausführst – dies ist dein Schutz gegen manipulierte Mirrors.
• Ethische Nutzung: Dieses Tool ist ausschließlich für autorisierte Sicherheitsbewertungen gedacht. Unaufgeforderte Scans fremder Infrastruktur können gegen gesetzliche Bestimmungen oder Nutzungsbedingungen verstoßen.