INTRODUCCIÓN

dnsmap fue lanzado originalmente en 2006 y fue inspirado por la historia ficticia "The Thief No One Saw" de Paul Craig, que se puede encontrar en el libro "Stealing the Network - How to 0wn the Box"

dnsmap está pensado principalmente para ser usado por pentesters durante la fase de recopilación de información/enumeración de evaluaciones de seguridad de infraestructura. Durante la etapa de enumeración, el consultor de seguridad típicamente descubre los bloques de red IP de la empresa objetivo, nombres de dominio, números de teléfono, etc...

El forzado bruto de subdominios es otra técnica que debería usarse en la etapa de enumeración, ya que es especialmente útil cuando otras técnicas de enumeración de dominios como las transferencias de zona no funcionan (por cierto, rara vez veo que las transferencias de zona se permitan públicamente en estos días).

Si estás interesado en investigar técnicas sigilosas de intrusión informática, te sugiero leer este excelente (y divertido) capítulo que puedes encontrar

gratis* en la web:

http://www.ethicalhacker.net/content/view/45/2/

Me alegra decir que dnsmap fue incluido en Backtrack 2, 3 y 4 y ha sido revisado por la comunidad:

http://backtrack.offensive-security.com/index.php?title=Tools http://www.networkworld.com/community/node/57543 http://forums.remote-exploit.org/tutorials-guides/12746-dnsmap-tutorial.html http://www.linuxhaxor.net/2007/07/14/backtrack-2-information-gathering-all-dnsmap/ http://www.darknet.org.uk/2009/03/dnsmap-022-released-subdomain-bruteforcing-tool/

COMPILACIÓN

La compilación debería ser sencilla:

$ make

$ gcc -Wall dnsmap.c -o dnsmap

INSTALACIÓN

make install

cp ./dnsmap /usr/local/bin/dnsmap

Si deseas forzar varios dominios objetivo de forma masiva, puedes usar el script incluido dnsmap-bulk.sh. Simplemente copia el script a /usr/local/bin/ para que puedas llamarlo desde cualquier ubicación. Ej.:

cp ./dnsmap-bulk.sh /usr/local/bin/

Y establece permisos de ejecución. Ej.:

chmod ugo+x /usr/local/bin/dnsmap-bulk.sh

LIMITACIONES

Falta de multihilo. Este problema de velocidad espero que se resuelva en versiones futuras.

COSAS DIVERTIDAS QUE PUEDEN SUCEDER

Encontrar servidores de acceso remoto interesantes (ej.: https://extranet.targetdomain.com)
Encontrar servidores mal configurados y/o sin parches (ej.: test.targetdomain.com)
Encontrar nuevos nombres de dominio que te permitirán mapear bloques de red no obvios/difíciles de encontrar de tu organización objetivo (consultas de registro - aka whois es tu amigo)
A veces encuentras que algunos subdominios forzados resuelven a direcciones IP internas (RFC 1918). Esto es genial ya que a veces son registros "A" reales y actualizados, lo que significa que es posible enumerar servidores internos de una organización objetivo desde Internet usando solo resolución DNS estándar (a diferencia de las transferencias de zona, por ejemplo).
Descubrir dispositivos integrados configurados usando servicios DNS dinámicos (ej.: linksys-cam.com). Este método es una alternativa para encontrar dispositivos mediante técnicas de hacking con Google

USO

El forzado bruto se puede hacer con la lista de palabras incorporada de dnsmap o con una lista de palabras proporcionada por el usuario. Los resultados se pueden guardar en formato CSV y legible para humanos para su posterior procesamiento. dnsmap NO requiere privilegios de root para ejecutarse, y NO debe ejecutarse con dichos privilegios por razones de seguridad.

La sintaxis de uso se puede obtener simplemente ejecutando dnsmap sin parámetros:

$ ./dnsmap

dnsmap 0.30 - DNS Network Mapper by pagvac (gnucitizen.org)

usage: dnsmap [options] options: -w -r -c -d -i (útil si estás obteniendo falsos positivos)

Nota: el valor de retardo es un valor máximo aleatorio. Ej.: si ingresas 1000, cada solicitud DNS se retrasará un máximo de 1 segundo. Por defecto, dnsmap usa un valor de 10 milisegundos de retardo máximo entre búsquedas DNS

EJEMPLOS Forzado bruto de subdominios usando la lista de palabras incorporada de dnsmap:

$ ./dnsmap targetdomain.foo

Forzado bruto de subdominios usando una lista de palabras proporcionada por el usuario:

$ ./dnsmap targetdomain.foo -w wordlist.txt

Forzado bruto de subdominios usando la lista de palabras incorporada y guardando los resultados en /tmp/:

$ ./dnsmap targetdomain.foo -r /tmp/

Dado que en el ejemplo anterior no se proporcionó un nombre de archivo, sino solo una ruta, dnsmap crearía un nombre de archivo único que incluye la marca de tiempo actual. Ej.: /tmp/dnsmap_targetdomain_foo_2009_12_15_234953.txt

Ejemplo de forzado bruto de subdominios usando la lista de palabras incorporada, guardando los resultados en /tmp/, y esperando un máximo aleatorio de 3 milisegundos entre cada solicitud:

$ ./dnsmap targetdomain.foo -r /tmp/ -d 300

Se recomienda usar la opción -d (retardo en milisegundos) en casos donde dnsmap esté interfiriendo con tu experiencia en línea, es decir, consumiendo tu ancho de banda

Forzado bruto de subdominios con 0.8 segundos de retardo, guardando resultados en formato regular y CSV, filtrando 2 IPs proporcionadas por el usuario y usando una lista de palabras proporcionada por el usuario:

$ ./dnsmap targetdomain.foo -d 800 -r /tmp/ -c /tmp/ -i 10.55.206.154,10.55.24.100 -w ./wordlist_TLAs.txt

Para forzar una lista de dominios objetivo de forma masiva, usa el script bash proporcionado. Ej.:

$ ./dnsmap-bulk.sh domains.txt /tmp/results/

LISTAS DE PALABRAS

http://packetstormsecurity.org/Crackers/wordlists/dictionaries/ http://www.cotse.com/tools/wordlists1.htm http://wordlist.sourceforge.net/

OTRAS HERRAMIENTAS SIMILARES - ¡la elección es libertad!

WS-DNS-BFX http://ws.hackaholic.org/tools/WS-DNS-BFX.tgz

DNSDigger http://www.ernw.de/download/dnsdigger.zip

Fierce Domain Scan http://ha.ckers.org/fierce/

Desperate http://www.sensepost.com/research_misc.html

DNSenum http://dnsenum.googlecode.com/files/dnsenum1.2.tar.gz

ReverseRaider http://complemento.sourceforge.net/