DNS 区域审计

一个轻量级的基于 Bash 的安全工具，用于测试 DNS 区域传输配置错误（AXFR），与 CVE-1999-0532 相关。

该脚本查询域的权威名称服务器并尝试完整区域传输。如果成功，则表明存在严重的 DNS 配置错误，可能暴露内部基础设施和记录。

功能

• 交互式域名输入（单个或多个目标）
• 通过文件输入进行批量扫描
• 自动发现权威名称服务器
• 通过 TCP 进行 AXFR 测试
• 清晰、彩色编码的输出
• 极少的依赖

要求

• bash
• dig（来自 dnsutils 或 bind-utils）

安装依赖项

Debian / Ubuntu

sudo apt install dnsutils

RHEL / CentOS

sudo yum install bind-utils

用法

运行脚本

git clone https://github.com/SleepTheGod/dns-zone-audit/
cd dns-zone-audit
chmod +x main.sh
./main.sh
sudo bash ssl.sh target port

输入选项

1. 单个或多个域名

example.com test.com target.org

2. 文件输入

file:domains.txt

示例 domains.txt：

example.com
test.com
# comment line
target.org

工作原理

1. 检索每个域的 NS 记录

2. 遍历每个权威名称服务器

3. 尝试 DNS 区域传输（AXFR）

4. 报告

   • SUCCESS → 允许区域传输（存在漏洞）
   • FAILED → 传输被拒绝（安全）

示例输出

=== Testing domain: example.com ===
Name servers
  ns1.example.com
  ns2.example.com

Attempting zone transfer from ns1.example.com...
FAILED: Zone transfer refused or not allowed

Attempting zone transfer from ns2.example.com...
SUCCESS: Zone transfer allowed

安全影响

如果区域传输成功，攻击者可以检索

• 子域名
• 内部主机名
• 邮件服务器
• 基础设施映射

这大大降低了进一步攻击的门槛。

缓解措施

为防止未经授权的区域传输

• 仅将 AXFR 限制为受信任的 IP 地址
• 如果不需要，则禁用区域传输
• 在 DNS 服务器之间使用 TSIG 身份验证

免责声明

此工具仅用于授权的安全测试。

请勿将其用于您不拥有或未经明确许可评估的系统。未经授权的测试可能是非法的。

作者

Taylor Christian Newsome