Auditoría de Zona DNS

Una herramienta de seguridad ligera basada en Bash para probar configuraciones incorrectas de transferencia de zona DNS (AXFR), asociada con CVE-1999-0532.

Este script consulta los servidores de nombres autoritativos para un dominio e intenta transferencias de zona completas. Si tiene éxito, indica una configuración incorrecta crítica de DNS que puede exponer la infraestructura y registros internos.

Características

• Entrada interactiva de dominio (uno o varios objetivos)
• Escaneo por lotes mediante entrada de archivo
• Descubrimiento automático de servidores de nombres autoritativos
• Pruebas AXFR sobre TCP
• Salida clara con códigos de color
• Dependencias mínimas

Requisitos

• bash
• dig (de dnsutils o bind-utils)

Instalar dependencias

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

Uso

Ejecutar el script

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

Opciones de entrada

1. Uno o varios dominios

example.com test.com target.org

2. Entrada de archivo

file:domains.txt

Ejemplo domains.txt:

example.com
test.com
# comment line
target.org

Cómo Funciona

1. Obtiene los registros NS para cada dominio

2. Itera a través de cada servidor de nombres autoritativo

3. Intenta una transferencia de zona DNS (AXFR)

4. Reporta

   • ÉXITO → Transferencia de zona permitida (vulnerable)
   • FALLIDO → Transferencia rechazada (seguro)

Ejemplo de Salida

=== Probando dominio: example.com ===
Servidores de nombres
  ns1.example.com
  ns2.example.com

Intentando transferencia de zona desde ns1.example.com...
FALLIDO: Transferencia de zona rechazada o no permitida

Intentando transferencia de zona desde ns2.example.com...
ÉXITO: Transferencia de zona permitida

Impacto de Seguridad

Si una transferencia de zona tiene éxito, un atacante puede obtener

• Subdominios
• Nombres de host internos
• Servidores de correo
• Mapeo de infraestructura

Esto reduce significativamente la barrera para ataques posteriores.

Mitigación

Para prevenir transferencias de zona no autorizadas

• Restringir AXFR solo a direcciones IP confiables
• Deshabilitar transferencias de zona si no son necesarias
• Usar autenticación TSIG entre servidores DNS

Aviso Legal

Esta herramienta está destinada únicamente para pruebas de seguridad autorizadas.

No la utilice contra sistemas que no posea o para los que no tenga permiso explícito de evaluar. Las pruebas no autorizadas pueden ser ilegales.

Autor

Taylor Christian Newsome