Аудит DNS-зоны

Легковесный Bash-инструмент для проверки неверных конфигураций передачи зон DNS (AXFR), связанных с CVE-1999-0532.

Скрипт запрашивает авторитетные серверы имён для домена и предпринимает попытки полной передачи зоны. Если успешно, это указывает на критическую неверную конфигурацию DNS, которая может раскрыть внутреннюю инфраструктуру и записи.

Возможности

• Интерактивный ввод доменов (один или несколько)
• Пакетное сканирование через файл
• Автоматическое обнаружение авторитетных серверов имён
• Тестирование AXFR через TCP
• Чёткий, цветной вывод
• Минимальные зависимости

Требования

• bash
• dig (из dnsutils или bind-utils)

Установка зависимостей

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

Использование

Запуск скрипта

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

Варианты ввода

1. Один или несколько доменов

example.com test.com target.org

2. Ввод из файла

file:domains.txt

Пример domains.txt:

example.com
test.com
# comment line
target.org

Как это работает

1. Получает NS-записи для каждого домена

2. Перебирает каждый авторитетный сервер имён

3. Пытается выполнить передачу зоны DNS (AXFR)

4. Сообщает

   • УСПЕХ → Передача зоны разрешена (уязвимо)
   • НЕУДАЧА → Передача отклонена (безопасно)

Пример вывода

=== Testing domain: example.com ===
Name servers
  ns1.example.com
  ns2.example.com

Attempting zone transfer from ns1.example.com...
FAILED: Zone transfer refused or not allowed

Attempting zone transfer from ns2.example.com...
SUCCESS: Zone transfer allowed

Влияние на безопасность

Если передача зоны успешна, злоумышленник может получить

• Поддомены
• Внутренние имена хостов
• Почтовые серверы
• Карта инфраструктуры

Это значительно снижает барьер для дальнейших атак.

Меры предотвращения

Чтобы предотвратить несанкционированные передачи зон

• Ограничьте AXFR только доверенными IP-адресами
• Отключите передачу зон, если она не требуется
• Используйте аутентификацию TSIG между DNS-серверами

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности.

Не используйте его против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Несанкционированное тестирование может быть незаконным.

Автор

Taylor Christian Newsome