子域名接管漏洞原理分析与防御指南

1. 漏洞概述

子域名接管(Subdomain Takeover)是一种安全漏洞，当组织遗弃了某个子域名但未从DNS记录中移除时，攻击者可以注册并控制该子域名指向的服务，从而接管该子域名。

2. 漏洞实例分析

2.1 实际案例

• 案例：learnt.Micro**.Com被接管
• 发现过程：
  • 访问该子域名显示非官方内容
  • DNS查询显示：

    learnt.Micro****.Com → ldlearntest.trafficmanager.net → subdomain-takeover-msrc.wanybug.Com
    

  • 攻击者注册了ldlearntest.trafficmanager.net并控制了内容

2.2 其他案例模式

• 某酒厂案例：www.dawine.com → dawinechinaweb.trafficmanager.cn → dawine1.chinacloudapp.cn

3. 漏洞原理

1. 公司A使用云服务，设置子域名CNAME指向云服务地址(如shop.a.com → imA.cloud.com)
2. 公司A停止使用该云服务但未更新DNS记录
3. 攻击者注册相同的云服务地址(imA.cloud.com)
4. 访问shop.a.com时实际指向攻击者控制的内容

关键点：原服务停用但DNS记录未清理 + 攻击者能注册相同服务地址

4. 漏洞危害

4.1 基本危害

• 完全控制子域名内容
• 可执行任意JavaScript代码

4.2 扩展危害

1. XSS相关危害：

   • 窃取Cookie(无HttpOnly时)
   • 获取localStorage/sessionStorage数据
   • 键盘记录
   • 修改页面内容(如插入广告)
   • 虚拟币挖矿

2. 敏感信息获取：

   • 通过WebRTC探测内网
   • 获取地理位置
   • 获取录音/摄像数据(需授权)
   • 读取本地文件

3. 权限提升：

   • 获取管理员凭证
   • 绕过CSRF保护机制
   • 利用self-XSS漏洞

4. 其他攻击：

   • 钓鱼攻击
   • DDoS攻击
   • 重定向攻击
   • 蠕虫传播

5. 测试方法

5.1 手工测试

• 使用nslookup检查DNS记录：

  nslookup target-subdomain.example.com
  

• 检查是否指向可注册的第三方服务

5.2 自动化工具

推荐使用Aquatone工具：

1. 安装：

   gem install aquatone
   

2. 资产发现：

   aquatone-discover --domain example.com --thread 500
   

3. 劫持扫描：

   aquatone-takeover --domain example.com --threads 500
   

6. 防御方案

1. 资产管理：

   • 维护完整的子域名清单
   • 停用服务时同步清理DNS记录
   • 定期审计DNS配置

2. 技术措施：

   • 使用随机名称的云服务地址(如258ea2e57bca0.Acloud.com)
   • 避免使用可预测的命名模式
   • 对不再使用的子域名返回NXDOMAIN而非CNAME

3. 监控响应：

   • 监控子域名的内容变化
   • 设置DNS记录变更告警

4. 应急响应：

   • 发现被接管后立即更新DNS记录
   • 通知相关用户潜在风险

7. 补充建议

1. 对重要子域名实施证书监控
2. 限制云服务账户权限，避免误删关键资源
3. 建立子域名生命周期管理流程
4. 定期进行子域名接管漏洞扫描

8. 参考资源

• Subdomain Takeover: Basics
• 各大云服务商关于子域名接管的安全建议
• OWASP相关指南

通过以上措施，组织可以有效预防和应对子域名接管漏洞，保护自身和用户的安全。