AVISO LEGAL: Este projeto foi gerado por Inteligência Artificial (IA), mas passou por um rigoroso processo "Human-in-the-Loop" (HITL). Isso significa que o código foi revisado e refatorado por um engenheiro de software humano, o design arquitetural foi conduzido por humanos e uma auditoria de segurança básica foi realizada para verificar a funcionalidade e descartar alucinações típicas de IA. Este processo garante um nível de qualidade e confiabilidade que a geração puramente por IA não pode assegurar.

NSEC3-X

O NSEC3-X é uma ferramenta especializada de forense e testes de intrusão projetada para auditar configurações de DNSSEC NSEC3. Ele oferece uma alternativa moderna e de alto desempenho a ferramentas legadas como o nsec3walker, proporcionando capacidades integradas para enumeração de zonas (harvesting) e reversão de hashes (cracking).

A ferramenta é escrita em Go e foi projetada para ser um binário autocontido e sem dependências, adequado para implantação em ambientes restritos.

Visão Técnica Geral

As Extensões de Segurança do Sistema de Nomes de Domínio (DNSSEC) utilizam registros NSEC3 para provar a não existência de um nome de domínio sem revelar todo o conteúdo da zona. O NSEC3 consegue isso aplicando hash aos nomes de domínio. No entanto, se os parâmetros de hash (especificamente a contagem de iterações e o salt) forem fracos, esses hashes podem ser vulneráveis a ataques de força bruta offline.

O NSEC3-X automatiza a exploração dessas fraquezas por meio de duas fases principais:

1. Harvesting: A ferramenta utiliza DNS-over-HTTPS (DoH) para consultar subdomínios aleatórios da zona alvo. Quando o servidor de nomes responde com "NXDOMAIN", ele inclui registros NSEC3 que provam a não existência. Esses registros contêm os hashes dos domínios existentes "next closer" na cadeia. Ao coletar registros suficientes, a ferramenta pode reconstruir partes da cadeia de hashes da zona.
2. Cracking: Uma vez coletados os hashes, o NSEC3-X tenta revertê-los. Ele calcula o hash NSEC3 para entradas de uma wordlist fornecida usando os parâmetros específicos da zona (Iterações e Salt). Se um hash calculado corresponder a um hash coletado, o subdomínio original é revelado.

Recursos

• Transporte DNS-over-HTTPS (DoH): utiliza a API DoH do Google para realizar consultas DNS. Isso contorna restrições de firewall locais na porta UDP 53 e criptografa o tráfego para evitar inspeção simples de pacotes.
• Detecção Automática de Parâmetros: consulta automaticamente a zona alvo em busca de registros NSEC3PARAM para configurar o cracker com o salt e a contagem de iterações corretos.
• Hashing em Conformidade com RFC: implementa o algoritmo de hash NSEC3 estritamente de acordo com a RFC 5155, incluindo o tratamento correto da codificação Base32Hex, que frequentemente é problemática em ferramentas de cracking de uso geral.
• Arquitetura Multithread: tanto os módulos de harvesting quanto os de cracking são multithread, escalando com o número de núcleos de CPU disponíveis para máximo desempenho.

Instalação

go install gitlab.com/cyberdev-tools/nsec3-x/cmd/nsec3-x@latest

Pré-requisitos

• Go 1.27 ou superior (se compilado a partir do código-fonte)
• Nota para usuários de Go de distribuições: algumas distribuições (por exemplo, Fedora) definem GOTOOLCHAIN=local, o que bloqueia o download automático do toolchain que o go install normalmente realiza. Execute go env -w GOTOOLCHAIN=auto uma vez, ou instale um Go oficial >= 1.27 a partir de go.dev/dl. O toolchain é fixado deliberadamente para que binários compilados localmente incluam a correção da denylist da CA intermediária eMudhra em crypto/x509 (CVE-2026-111943).

Verificação de Integridade do Binário

Por razões de segurança, recomenda-se verificar a integridade dos binários baixados usando os checksums SHA256 fornecidos.

1. Baixe o binário e o arquivo sha256sums.txt na página de Releases.
2. Verifique o checksum:

   sha256sum -c sha256sums.txt
   

Compilando a partir do código-fonte

Clone o repositório e compile o binário:

git clone https://gitlab.com/cyberdev-tools/nsec3-x.git
cd nsec3-x
go build ./cmd/nsec3-x

Isso produzirá um executável chamado nsec3-x no diretório atual.

Uso

A ferramenta opera em modos distintos, controlados pela flag -mode.

1. Modo de Investigação

Analisa o domínio alvo para determinar se o NSEC3 está ativo e avalia a força de segurança da sua configuração.

./nsec3-x -mode investigate -target example.com

2. Modo Harvest

Coleta hashes NSEC3 enviando consultas aleatórias ao alvo. Isso preenche a lacuna entre os hashes conhecidos na zona.

./nsec3-x -mode harvest -target example.com -n 1000

• -n: O número de consultas aleatórias a enviar. Números mais altos aumentam a cobertura, mas geram mais tráfego.
• -t: Número de threads de trabalho concorrentes.
• A saída é salva em hashes.txt por padrão.

3. Modo de Quebra (Crack)

Tenta recuperar subdomínios em texto simples a partir dos hashes coletados usando uma wordlist.

./nsec3-x -mode crack -target example.com -w /path/to/wordlist.txt

• -target: A zona de destino (obrigatória para a aplicação correta do salt).
• -file: Caminho para o arquivo que contém os hashes coletados (padrão: hashes.txt).
• -w: Caminho para o arquivo de dicionário (wordlist). Opcional: se omitido, é usada uma wordlist padrão incluída (SecLists subdomains-top1million-5000, ~4,8 mil rótulos), de modo que o cracking funciona totalmente offline.
• -no-auto: Desativa a detecção automática de parâmetros (requer os sinalizadores manuais -i e -s).

4. Modo de Verificação

Um utilitário de depuração que calcula o hash NSEC3 para um Fully Qualified Domain Name (FQDN) específico. Isso é útil para verificar se um subdomínio específico corresponde a um hash encontrado durante a coleta.

./nsec3-x -mode verify -target secret.example.com

Considerações de Segurança

• Ruído de Rede: O modo de coleta gera tráfego DNS significativo. Embora o DoH oculte o conteúdo de observadores locais, o volume de requisições ao resolvedor upstream (Google DNS) é visível.
• Visibilidade do Resolvedor Upstream: Todas as consultas — incluindo as sondagens de coleta aleatórias — são respondidas pelo Google Public DNS (por padrão). O Google vê cada consulta que você faz; -doh pode apontar a ferramenta para qualquer resolvedor compatível com RFC 8484 em que você confie (por exemplo, o seu próprio). Execute a coleta/quebra em uma rede que você está autorizado a testar.
• Defesa Ativa: Administradores podem detectar a enxurrada de "NXDOMAIN" associada à fase de coleta.
• Verificação de Binários: As versões são assinadas com checksums SHA-256 (sha256sums.txt, publicados com cada versão). Sempre verifique antes de executar binários baixados — esta é a sua proteção contra espelhos adulterados.
• Uso Ético: Esta ferramenta destina-se apenas a avaliações de segurança autorizadas. A varredura não solicitada de infraestrutura de terceiros pode violar estatutos legais ou termos de serviço.