ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Этот проект был создан с помощью искусственного интеллекта (ИИ), но прошёл строгий процесс «человек в цикле» (Human-in-the-Loop, HITL). Это означает, что код был проверен и отрефакторен инженером-программистом, архитектурный дизайн был определён человеком, а также был проведён базовый аудит безопасности для проверки функциональности и исключения типичных галлюцинаций ИИ. Этот процесс обеспечивает уровень качества и надёжности, который не может гарантировать чистая генерация ИИ.

NSEC3-X

NSEC3-X — это специализированный инструмент для форензики и тестирования на проникновение, предназначенный для аудита конфигураций DNSSEC NSEC3. Он предоставляет современную высокопроизводительную альтернативу устаревшим инструментам, таким как nsec3walker, предлагая интегрированные возможности для перечисления зоны (сбора данных) и обращения хешей (взлома).

Инструмент написан на Go и представляет собой самодостаточный бинарный файл без зависимостей, подходящий для развёртывания в ограниченных средах.

Технический обзор

Domain Name System Security Extensions (DNSSEC) используют записи NSEC3 для доказательства несуществования доменного имени без раскрытия всего содержимого зоны. NSEC3 достигает этого путём хеширования доменных имён. Однако если параметры хеширования (в частности, количество итераций и соль) слабые, эти хеши могут быть уязвимы для офлайн-атак методом перебора.

NSEC3-X автоматизирует эксплуатацию этих слабостей в два основных этапа:

1. Сбор данных (Harvesting): Инструмент использует DNS-over-HTTPS (DoH) для запроса случайных поддоменов целевой зоны. Когда сервер имён отвечает «NXDOMAIN», он включает записи NSEC3, доказывающие несуществование. Эти записи содержат хеши «следующих ближайших» существующих доменов в цепочке. Собирая достаточное количество таких записей, инструмент может восстановить части хеш-цепочки зоны.
2. Взлом (Cracking): После сбора хешей NSEC3-X пытается обратить их. Он вычисляет хеш NSEC3 для записей из предоставленного словаря, используя специфичные для зоны параметры (итерации и соль). Если вычисленный хеш совпадает с собранным хешем, исходный поддомен раскрывается.

Возможности

• Транспорт DNS-over-HTTPS (DoH): использует DoH API Google для выполнения DNS-запросов. Это обходит локальные ограничения брандмауэра на UDP-порт 53 и шифрует трафик, чтобы избежать простого анализа пакетов.
• Автоматическое определение параметров: автоматически запрашивает у целевой зоны записи NSEC3PARAM, чтобы настроить взломщик с правильной солью и количеством итераций.
• Хеширование по RFC: реализует алгоритм хеширования NSEC3 строго в соответствии с RFC 5155, включая корректную обработку кодировки Base32Hex, которая часто вызывает проблемы в универсальных инструментах взлома.
• Многопоточная архитектура: оба модуля — сбора данных и взлома — являются многопоточными и масштабируются в зависимости от количества доступных ядер CPU для максимальной производительности.

Установка

go install gitlab.com/cyberdev-tools/nsec3-x/cmd/nsec3-x@latest

Предварительные требования

• Go 1.27 или выше (при сборке из исходного кода)
• Примечание для пользователей дистрибутивных сборок Go: некоторые дистрибутивы (например, Fedora) устанавливают GOTOOLCHAIN=local, что блокирует автоматическую загрузку инструментария, которую иначе выполняет go install. Выполните один раз go env -w GOTOOLCHAIN=auto или установите официальный Go >= 1.27 с go.dev/dl. Инструментарий намеренно закреплён на определённой версии, чтобы локально собранные бинарные файлы включали исправление денилиста промежуточного CA eMudhra в crypto/x509 (CVE-2026-111943).

Проверка целостности бинарных файлов

По соображениям безопасности рекомендуется проверять целостность загруженных бинарных файлов с помощью предоставленных контрольных сумм SHA256.

1. Загрузите бинарный файл и файл sha256sums.txt со страницы релизов.
2. Проверьте контрольную сумму:

   sha256sum -c sha256sums.txt
   

Сборка из исходного кода

Клонируйте репозиторий и соберите бинарный файл:

git clone https://gitlab.com/cyberdev-tools/nsec3-x.git
cd nsec3-x
go build ./cmd/nsec3-x

В результате в текущем каталоге будет создан исполняемый файл с именем nsec3-x.

Использование

Инструмент работает в нескольких режимах, управляемых флагом -mode.

1. Режим исследования

Анализирует целевой домен, чтобы определить, активен ли NSEC3, и оценивает надёжность его конфигурации.

./nsec3-x -mode investigate -target example.com

2. Режим сбора (Harvest Mode)

Собирает хеши NSEC3 путём отправки случайных запросов к цели. Это заполняет пробелы между известными хешами в зоне.

./nsec3-x -mode harvest -target example.com -n 1000

• -n: количество случайных запросов для отправки. Большие значения увеличивают охват, но создают больше трафика.
• -t: количество параллельных рабочих потоков.
• По умолчанию вывод сохраняется в hashes.txt.

3. Режим взлома

Пытается восстановить открытые поддомены из собранных хешей с помощью словаря.

./nsec3-x -mode crack -target example.com -w /path/to/wordlist.txt

• -target: целевая зона (обязательно для корректного применения соли).
• -file: путь к файлу с собранными хешами (по умолчанию: hashes.txt).
• -w: путь к файлу словаря (wordlist). Необязательно: если не указан, используется встроенный словарь по умолчанию (SecLists subdomains-top1million-5000, ~4,8 тыс. меток), поэтому подбор работает полностью офлайн.
• -no-auto: отключить автоматическое определение параметров (требуется ручное указание флагов -i и -s).

4. Режим проверки

Отладочная утилита, вычисляющая хеш NSEC3 для конкретного полного доменного имени (FQDN). Полезна для проверки того, соответствует ли конкретный поддомен хешу, найденному при сборе.

./nsec3-x -mode verify -target secret.example.com

Вопросы безопасности

• Сетевой шум: Режим сбора генерирует значительный DNS-трафик. Хотя DoH скрывает содержимое от локальных наблюдателей, объём запросов к вышестоящему резолверу (Google DNS) остаётся видимым.
• Видимость вышестоящего резолвера: Все запросы — включая случайные пробы сбора — по умолчанию обрабатываются Google Public DNS. Google видит каждый ваш запрос; с помощью -doh можно направить инструмент на любой доверенный резолвер, совместимый с RFC 8484 (например, собственный). Запускайте сбор/взлом в сети, которую вы уполномочены тестировать.
• Активная защита: Администраторы могут обнаружить поток ответов «NXDOMAIN», связанный с фазой сбора.
• Проверка бинарных файлов: Релизы подписаны контрольными суммами SHA-256 (sha256sums.txt, публикуется с каждым релизом). Всегда проверяйте перед запуском скачанных бинарных файлов — это ваша защита от подменённых зеркал.
• Этичное использование: Этот инструмент предназначен только для авторизованных оценок безопасности. Несанкционированное сканирование сторонней инфраструктуры может нарушать законодательство или условия предоставления услуг.