DNS Zone Transfer

Définition

Le transfert de zone DNS (AXFR — Asynchronous Full Transfer Zone) est un mécanisme prévu pour la réplication des enregistrements DNS entre le serveur DNS primaire et les serveurs secondaires. Quand il est mal configuré et accessible depuis Internet ou un réseau non autorisé, il permet à un attaquant de récupérer l'intégralité de la zone DNS d'un domaine — tous les sous-domaines, tous les serveurs, toutes les adresses IP — en une seule requête, révélant la cartographie complète de l'infrastructure. Une zone DNS peut contenir des centaines ou des milliers d'enregistrements : sous-domaines de développement, serveurs de staging, endpoints d'API internes, serveurs de mail, serveurs FTP, et d'autres services qui ne devraient pas être publiquement connus. Ces informations sont précieuses pour un attaquant car elles identifient directement les cibles d'infrastructure sans nécessiter d'énumération laborieuse. La requête AXFR est une requête DNS de type 252. Si le serveur DNS cible l'accepte depuis n'importe quelle source (misconfiguration), une simple commande dig révèle toute la zone : dig @ns1.target.com target.com AXFR. Des outils comme dnsrecon et dnsenum automatisent la tentative de transfert de zone sur tous les serveurs DNS d'un domaine. La mauvaise configuration permettant les transferts de zone depuis Internet était très courante dans les années 2000 et 2010, et reste présente dans certains environnements legacy. Les DNS modernes (BIND 9, Windows DNS, Route 53) sont configurés par défaut pour limiter les transferts de zone à des serveurs autorisés via des ACL IP.