Audit della Zona DNS

Uno strumento di sicurezza leggero basato su Bash per testare le configurazioni errate di trasferimento di zona DNS (AXFR), associato a CVE-1999-0532.

Questo script interroga i name server autoritativi per un dominio e tenta trasferimenti di zona completi. In caso di successo, indica una misconfigurazione DNS critica che può esporre infrastrutture e record interni.

Caratteristiche

• Input del dominio interattivo (singolo o multiplo)
• Scansione batch tramite file di input
• Scoperta automatica dei name server autoritativi
• Test AXFR su TCP
• Output chiaro e codificato a colori
• Dipendenze minime

Requisiti

• bash
• dig (da dnsutils o bind-utils)

Installare le dipendenze

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

Utilizzo

Eseguire lo script

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

Opzioni di input

1. Domini singoli o multipli

example.com test.com target.org

2. Input da file

file:domains.txt

Esempio di domains.txt:

example.com
test.com
# comment line
target.org

Come Funziona

1. Recupera i record NS per ogni dominio

2. Scorre ogni name server autoritativo

3. Tenta un trasferimento di zona DNS (AXFR)

4. Riporta

   • SUCCESS → Trasferimento di zona consentito (vulnerabile)
   • FAILED → Trasferimento rifiutato (sicuro)

Esempio di Output

=== Testing domain: example.com ===
Name servers
  ns1.example.com
  ns2.example.com

Attempting zone transfer from ns1.example.com...
FAILED: Zone transfer refused or not allowed

Attempting zone transfer from ns2.example.com...
SUCCESS: Zone transfer allowed

Impatto sulla Sicurezza

Se un trasferimento di zona riesce, un attaccante può recuperare

• Sottodomini
• Nomi host interni
• Server di posta
• Mappatura dell'infrastruttura

Questo abbassa significativamente la barriera per ulteriori attacchi.

Mitigazione

Per prevenire trasferimenti di zona non autorizzati

• Limita l'AXFR solo agli indirizzi IP fidati
• Disabilita i trasferimenti di zona se non necessari
• Usa l'autenticazione TSIG tra i server DNS

Esclusione di responsabilità

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati.

Non utilizzarlo contro sistemi di cui non sei proprietario o per i quali non hai un'autorizzazione esplicita a valutare. I test non autorizzati potrebbero essere illegali.

Autore

Taylor Christian Newsome