subjack

Escáner de Toma de Control DNS

Subjack es un escáner de toma de control DNS escrito en Go, diseñado para escanear una lista de dominios de forma concurrente e identificar aquellos que pueden ser secuestrados. Gracias a la velocidad y eficiencia de Go, esta herramienta destaca especialmente en pruebas masivas. Siempre verifica manualmente los resultados para descartar falsos positivos.

Subjack detecta:

• Toma de control CNAME — CNAMEs colgantes que apuntan a servicios de terceros no reclamados
• Toma de control por delegación NS — dominios de servidores de nombres expirados y zonas DNS en la nube colgantes (Route 53, Google Cloud DNS, Azure DNS, DigitalOcean, Vultr, Linode)
• Registros A obsoletos — registros A que apuntan a IPs muertas en proveedores cloud (AWS, GCP, Azure, DigitalOcean, Linode, Vultr, Oracle)
• Transferencias de zona (AXFR) — servidores de nombres mal configurados que filtran archivos de zona completos, con fuerza bruta de nombres de host NS
• Toma de control por include SPF — dominios expirados en directivas include: de SPF que permiten suplantación de correo
• Toma de control de registros MX — dominios de servidores de correo expirados que permiten la interceptación de correos
• Toma de control por cadena CNAME — cadenas CNAME de múltiples niveles donde objetivos intermedios son reclamables
• Toma de control de registros SRV — registros SRV que apuntan a dominios expirados/registrables
• Registro de NXDOMAIN — dominios que no existen y están disponibles para ser registrados

Instalación

Requiere Go

go install github.com/haccer/subjack@latest

Uso

subjack -w subdominios.txt -t 100 -timeout 30 -o resultados.txt -ssl

Soporte para stdin

Subjack puede leer dominios desde stdin, facilitando la tubería de salida de otras herramientas:

subfinder -d ejemplo.com | subjack -ssl -o resultados.json
cat dominios.txt | subjack -t 20 -o resultados.txt

Toma de control de servidores de nombres

Con la opción -ns, subjack realiza dos tipos de comprobaciones de toma de control de servidores de nombres:

Dominios NS expirados: Comprueba si alguno de los servidores de nombres de un dominio ha expirado y está disponible para su compra. Un atacante que registre un servidor de nombres expirado puede tomar el control completo de todo el DNS de ese dominio — puede apuntar cualquier registro a cualquier lugar, interceptar correos electrónicos, emitir certificados, etc.

Delegaciones NS colgantes: Detecta cuando los registros NS de un dominio apuntan a proveedores de DNS en la nube pero la zona alojada ha sido eliminada. Subjack consulta directamente a cada servidor de nombres por un registro SOA — si todos devuelven SERVFAIL o REFUSED, la zona ha desaparecido y es potencialmente reclamable. Proveedores soportados:

• AWS Route 53 (ns-*.awsdns-*)
• Google Cloud DNS (ns-cloud-*.googledomains.com)
• Azure DNS (ns*-*.azure-dns.*)
• DigitalOcean DNS (ns*.digitalocean.com)
• Vultr DNS (ns*.vultr.com)
• Linode DNS (ns*.linode.com)

subjack -w subdominios.txt -ns -o resultados.json

Detección de registros A obsoletos

Con la opción -ar, subjack resolverá los registros A y comprobará si la dirección IP está realmente activa. Cuando una empresa termina un servidor en la nube pero olvida eliminar el registro A de DNS, la IP se libera de nuevo al pool del proveedor. Un atacante puede crear nuevas instancias en ese proveedor hasta conseguir la misma IP, obteniendo el control del subdominio.

Subjack identifica el proveedor cloud (AWS, GCP, Azure, DigitalOcean, Linode, Vultr, Oracle) cuando es posible, facilitando la orientación a la plataforma correcta. La detección utiliza ping ICMP (requiere root) con fallback TCP en los puertos 80/443.

sudo subjack -w subdominios.txt -ar -o resultados.json

Los resultados se marcan como REGISTRO A OBSOLETO y deben verificarse manualmente — una IP que no responde no siempre significa que sea reclamable.

Detección de transferencia de zona

Con la opción -axfr, subjack intentará transferencias de zona DNS (AXFR) que pueden exponer todos los registros DNS de un dominio. Subjack va más allá de solo probar los servidores de nombres oficiales del dominio — también realiza fuerza bruta sobre nombres de servidores de nombres comunes (ns1, dns-0, ns-backup, etc.) porque los servidores de nombres ocultos u olvidados a menudo quedan sin protección incluso después de que los principales hayan sido asegurados.

subjack -d ejemplo.com -axfr -o resultados.json
subjack -w dominios.txt -axfr -o resultados.json

Los resultados se marcan como TRANSFERENCIA DE ZONA indicando el servidor de nombres vulnerable y el número de registros expuestos.

Detección de toma de control de correo electrónico

Con la opción -mail, subjack comprueba dos vectores de toma de control basados en correo electrónico:

Toma de control por include SPF: Analiza los registros TXT de SPF y verifica si algún dominio include: ha expirado y está disponible para registro. Un atacante que registre el dominio incluido puede enviar correos completamente autenticados como si fuera el objetivo, eludiendo SPF y DMARC.

Toma de control de registros MX: Comprueba si algún destino de registro MX ha expirado y está disponible para registro. Un atacante que controle el servidor de correo puede interceptar todo el correo entrante — restablecimientos de contraseña, códigos 2FA, y más.

subjack -w dominios.txt -mail -o resultados.json

Detección de cadena CNAME y SRV

Estas comprobaciones se ejecutan automáticamente en cada escaneo:

Toma de control por cadena CNAME: Sigue cadenas CNAME de múltiples niveles (hasta 10 de profundidad) y verifica si algún objetivo intermedio es reclamable. La detección estándar de CNAME solo comprueba el primer salto — las cadenas capturan oportunidades de toma de control más profundas.

Toma de control de registros SRV: Comprueba registros SRV comunes (SIP, XMPP, LDAP, Kerberos, IMAP, CalDAV, etc.) en busca de destinos que hayan expirado y estén disponibles para registro.

Uso práctico

Puedes usar scanio.sh, que es una especie de script PoC para localizar masivamente subdominios vulnerables usando resultados de Project Sonar de Rapid7. Este script analiza y filtra el volcado en busca de registros CNAME deseados y genera una gran lista de subdominios para comprobar con subjack si son vulnerables a la toma de control hostil de subdominio. Por favor, úsalo de forma responsable.

Formato del archivo de palabras

Tu archivo de palabras debe incluir una lista de subdominios, uno por línea:

assets.xen.world
assets.github.com
b.xen.world
big.example.com
cdn.xen.world
dev.xen.world
dev2.twitter.com

Referencias

Información adicional sobre tomas de control DNS:

• Can I take over XYZ?
• Hostile Subdomain Takeover using Heroku/GitHub/Desk + More
• Can I take over DNS?