haccer/subjackEscâner concorrente de tomada de DNS detectando vulnerabilidades em CNAME, NS, AXFR, SPF, MX, SRV e registro A obsoleto em provedores de nuvem, com análise de cadeia multinível.
Scanner de DNS Takeover
Subjack é um scanner de DNS takeover escrito em Go, projetado para escanear uma lista de domínios simultaneamente e identificar aqueles que podem ser sequestrados. Com a velocidade e eficiência do Go, esta ferramenta se destaca quando se trata de testes em massa. Sempre verifique os resultados manualmente para descartar falsos positivos.
Subjack detecta:
include: do SPF permitindo spoofing de e-mailRequer Go
go install github.com/haccer/subjack@latest
Binários pré-compilados para Linux, macOS e Windows também estão disponíveis na página de releases — útil para VPSs pequenas onde a compilação é lenta.
subjack -w subdomains.txt -t 100 -timeout 30 -o results.txt -ssl
| Flag | Descrição | Padrão |
|---|---|---|
-d | Domínio único a verificar | |
-w | Caminho para a wordlist de subdomínios | |
-t | Número de threads simultâneas | 10 |
-timeout | Segundos de espera antes do timeout de conexão | 10 |
-o | Salvar resultados em arquivo (use a extensão .json para saída JSON) | |
-ssl | Forçar conexões HTTPS (pode aumentar a precisão) | false |
-a | Enviar requisições para todas as URLs, não apenas aquelas com CNAMEs identificados (recomendado) | false |
-m | Sinalizar registros CNAME mortos mesmo se o domínio não estiver disponível para registro | false |
-r | Caminho para uma lista de resolvedores DNS (um IP ou host:port por linha, recorre a 8.8.8.8 em caso de falha) | |
-ns | Verificar takeovers de NS (domínios NS expirados + delegações DNS em nuvem pendentes) | false |
-ar | Verificar registros A obsoletos apontando para IPs mortos (pode exigir root para ICMP) | false |
-axfr | Verificar transferências de zona (AXFR) incluindo bruteforce de NS | false |
-mail | Verificar takeovers de SPF include e registros MX | false |
-srv | Verificar takeovers de registros SRV (adiciona ~28 consultas DNS por domínio) | false |
-v | Exibir mais informações por requisição | false |
Subjack pode ler domínios do stdin, facilitando o encadeamento da saída de outras ferramentas:
subfinder -d example.com | subjack -ssl -o results.json
cat domains.txt | subjack -t 20 -o results.txt
Com a flag -ns, o subjack realiza dois tipos de verificações de takeover de nameserver:
Domínios NS expirados: Verifica se algum dos nameservers de um domínio expirou e está disponível para compra. Um atacante que registra um nameserver expirado pode assumir controle total de todo o DNS daquele domínio — ele pode apontar qualquer registro para qualquer lugar, interceptar e-mail, emitir certificados e muito mais.
Delegações NS pendentes: Detecta quando os registros NS de um domínio apontam para provedores de DNS em nuvem, mas a zona hospedada foi excluída. O subjack consulta cada nameserver diretamente por um registro SOA — se todos retornarem SERVFAIL ou REFUSED, a zona não existe mais e é potencialmente reivindicável. Provedores suportados:
ns-*.awsdns-*)ns-cloud-*.googledomains.com)ns*-*.azure-dns.*)ns*.digitalocean.com)ns*.vultr.com)ns*.linode.com)subjack -w subdomains.txt -ns -o results.json
Com a flag -ar, o subjack resolverá registros A e verificará se o endereço IP está realmente ativo. Quando uma empresa encerra um servidor em nuvem mas esquece de remover o registro DNS A, o IP é devolvido ao pool do provedor. Um atacante pode criar novas instâncias naquele provedor até conseguir o mesmo IP, obtendo controle do subdomínio.
O subjack identifica o provedor de nuvem (AWS, GCP, Azure, DigitalOcean, Linode, Vultr, Oracle) quando possível, facilitando direcionar a plataforma correta. A detecção usa ping ICMP (requer root) com fallback TCP nas portas 80/443.
sudo subjack -w subdomains.txt -ar -o results.json
Os resultados são sinalizados como STALE A RECORD e devem ser verificados manualmente — um IP que não responde nem sempre significa que é recuperável.
Com a flag -axfr, o subjack tentará transferências de zona DNS (AXFR), que podem expor todos os registros DNS de um domínio. O subjack vai além de apenas testar os nameservers oficiais do domínio — ele também faz bruteforce de hostnames comuns de nameserver (ns1, dns-0, ns-backup, etc.) porque nameservers ocultos ou esquecidos frequentemente ficam sem proteção mesmo depois que os primários foram bloqueados.
subjack -d example.com -axfr -o results.json
subjack -w domains.txt -axfr -o results.json
Os resultados são sinalizados como ZONE TRANSFER com o nameserver vulnerável e o número de registros expostos.
Com a flag -mail, o subjack verifica dois vetores de takeover baseados em e-mail:
Takeover de SPF include: Analisa registros TXT de SPF e verifica se algum domínio em include: está expirado e disponível para registro. Um atacante que registra o domínio incluído pode enviar e-mails totalmente autenticados como o alvo, contornando SPF e DMARC.
Takeover de registro MX: Verifica se algum alvo de registro MX está expirado e disponível para registro. Um atacante que controla o servidor de e-mail pode interceptar todo o e-mail de entrada — redefinições de senha, códigos 2FA e muito mais.
subjack -w domains.txt -mail -o results.json
Takeover de cadeia CNAME é executado automaticamente em cada scan: ele segue cadeias CNAME de múltiplos níveis (até 10 de profundidade) e verifica se algum alvo intermediário é reivindicável. A detecção padrão de CNAME verifica apenas o primeiro salto — as cadeias capturam oportunidades de takeover mais profundas.
Takeover de registro SRV é opcional com a flag -srv, já que sondar os locais SRV comuns (SIP, XMPP, LDAP, Kerberos, IMAP, CalDAV, etc.) adiciona aproximadamente 28 consultas DNS por domínio:
subjack -w domains.txt -srv -o results.json