Auditoria de Zona DNS

Uma ferramenta de segurança leve baseada em Bash para testar configurações incorretas de transferência de zona DNS (AXFR), associadas ao CVE-1999-0532.

Este script consulta servidores de nomes autoritativos para um domínio e tenta transferências de zona completas. Se bem-sucedido, indica uma configuração incorreta crítica de DNS que pode expor infraestrutura e registros internos.

Funcionalidades

• Entrada interativa de domínio (alvos únicos ou múltiplos)
• Varredura em lote via arquivo de entrada
• Descoberta automática de servidores de nomes autoritativos
• Teste AXFR sobre TCP
• Saída clara e com código de cores
• Dependências mínimas

Requisitos

• bash
• dig (do dnsutils ou bind-utils)

Instalar dependências

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

Uso

Executar o script

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

Opções de entrada

1. Domínio único ou múltiplos

example.com test.com target.org

2. Entrada de arquivo

file:domains.txt

Exemplo domains.txt:

example.com
test.com
# comment line
target.org

Como Funciona

1. Recupera registros NS para cada domínio

2. Itera por cada servidor de nomes autoritativo

3. Tenta uma transferência de zona DNS (AXFR)

4. Relata

   • SUCESSO → Transferência de zona permitida (vulnerável)
   • FALHOU → Transferência recusada (segura)

Exemplo de Saída

=== Testing domain: example.com ===
Name servers
  ns1.example.com
  ns2.example.com

Attempting zone transfer from ns1.example.com...
FAILED: Zone transfer refused or not allowed

Attempting zone transfer from ns2.example.com...
SUCCESS: Zone transfer allowed

Impacto na Segurança

Se uma transferência de zona for bem-sucedida, um atacante pode recuperar

• Subdomínios
• Nomes de host internos
• Servidores de e-mail
• Mapeamento de infraestrutura

Isso reduz significativamente a barreira para ataques adicionais.

Mitigação

Para evitar transferências de zona não autorizadas

• Restrinja AXFR apenas a endereços IP confiáveis
• Desative transferências de zona se não forem necessárias
• Use autenticação TSIG entre servidores DNS

Aviso Legal

Esta ferramenta destina-se apenas a testes de segurança autorizados.

Não a use contra sistemas que você não possui ou para os quais não tenha permissão explícita para avaliar. Testes não autorizados podem ser ilegais.

Autor

Taylor Christian Newsome