Audit de Zone DNS

Un outil de sécurité léger basé sur Bash pour tester les mauvaises configurations de transfert de zone DNS (AXFR), associé à CVE-1999-0532.

Ce script interroge les serveurs de noms faisant autorité pour un domaine et tente des transferts de zone complets. En cas de succès, cela indique une erreur de configuration DNS critique qui peut exposer l'infrastructure et les enregistrements internes.

Fonctionnalités

• Saisie interactive de domaines (cible unique ou multiple)
• Analyse par lot via fichier d'entrée
• Découverte automatique des serveurs de noms faisant autorité
• Test AXFR sur TCP
• Sortie claire et colorée
• Dépendances minimales

Prérequis

• bash
• dig (provenant de dnsutils ou bind-utils)

Installation des dépendances

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

Utilisation

Exécution du script

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

Options de saisie

1. Domaine unique ou multiples

example.com test.com target.org

2. Entrée fichier

file:domains.txt

Exemple domains.txt :

example.com
test.com
# ligne de commentaire
target.org

Fonctionnement

1. Récupère les enregistrements NS pour chaque domaine

2. Parcourt chaque serveur de noms faisant autorité

3. Tente un transfert de zone DNS (AXFR)

4. Résultats

   • SUCCESS → Transfert de zone autorisé (vulnérable)
   • FAILED → Transfert refusé (sécurisé)

Exemple de sortie

=== Testing domain: example.com ===
Name servers
  ns1.example.com
  ns2.example.com

Attempting zone transfer from ns1.example.com...
FAILED: Zone transfer refused or not allowed

Attempting zone transfer from ns2.example.com...
SUCCESS: Zone transfer allowed

Impact Sécurité

Si un transfert de zone réussit, un attaquant peut récupérer

• Sous-domaines
• Noms d'hôte internes
• Serveurs de messagerie
• Cartographie de l'infrastructure

Cela abaisse considérablement la barrière pour d'autres attaques.

Atténuation

Pour empêcher les transferts de zone non autorisés

• Restreindre AXFR aux adresses IP de confiance uniquement
• Désactiver les transferts de zone s'ils ne sont pas nécessaires
• Utiliser l'authentification TSIG entre les serveurs DNS

Avertissement

Cet outil est destiné aux tests de sécurité autorisés uniquement.

Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite. Les tests non autorisés peuvent être illégaux.

Auteur

Taylor Christian Newsome