Subdomain takeover

Un equipo crea un nombre de máquina que apunta, normalmente por CNAME, a un nombre controlado por un proveedor: un alojamiento de sitios estáticos, una plataforma de documentación, un servicio de soporte, una herramienta de marketing, un bucket de almacenamiento en cloud, un balanceador. Más tarde se cancela el servicio, se borra el bucket o se cierra la cuenta, pero nadie retira el registro DNS. El nombre queda colgando: resuelve, el proveedor responde, y el proveedor no tiene ningún tenant para él.

Reclamarlo no cuesta nada. El atacante se da de alta con el mismo proveedor y pide el mismo identificador al que apunta el registro. El proveedor se lo entrega porque está sin asignar. A partir de ese momento el atacante sirve lo que quiera en un nombre de máquina que está dentro de tu dominio registrado, con un certificado válido que se puede sacar él mismo.

El daño no es que te pinten la página. Es todo lo demás que confía en el nombre. Las cookies acotadas al dominio padre se mandan al subdominio, así que se puede recoger una sesión sin tocar la aplicación principal. Las listas de redirecciones permitidas, las URL de respuesta de single sign-on y las listas de la Content Security Policy se escriben con frecuencia con un comodín sobre el dominio, así que un subdominio hostil se convierte en un origen de script de confianza o en un sitio válido al que mandar un código de autorización. Los correos de restablecimiento de contraseña y el phishing desde un nombre de máquina corporativo real pasan todas las comprobaciones que un destinatario puede hacer.

Esto persiste porque los registros DNS retirados no son de nadie. Marketing crea nombres, los proyectos terminan, y el registro sobrevive al proyecto años. Es la prueba más clara de que un dominio no tiene inventario de activos y de que el shadow IT ha estado aprovisionando bajo el nombre corporativo.

Enumeramos nombres a partir de la transparencia de certificados, de los datos de zona y de fuentes pasivas, los resolvemos, e identificamos aquellos cuyo destino responde con un error del proveedor que indica un recurso sin reclamar. Cuando las rules of engagement lo permiten, lo reclamamos, servimos un único fichero marcador y lo devolvemos de inmediato, porque una prueba sin reclamar es un nombre de máquina que otro puede coger entre nuestro informe y el arreglo. El hallazgo enumera el registro, el proveedor, la evidencia y todas las relaciones de confianza que nombraban el dominio. Esto forma parte de cómo mapeamos y verificamos un parque externo.