Subdomain Enumeration

hacking

Définition

L'énumération de sous-domaines est une technique de reconnaissance visant à identifier l'ensemble des sous-domaines actifs d'un domaine cible. Les sous-domaines représentent souvent des applications, des services, des API ou des environnements distincts (staging, développement, partenaires) qui peuvent avoir des niveaux de sécurité variables et constituer des vecteurs d'entrée privilegiés. Les techniques d'énumération de sous-domaines se divisent en deux catégories : passive (sans interaction avec la cible) et active (interaction DNS directe). La reconnaissance passive exploite les Certificate Transparency Logs (crt.sh), les résultats des moteurs de recherche, les données des services de threat intelligence (SecurityTrails, Shodan, Censys), les archives DNS passifs (RiskIQ PassiveTotal, VirusTotal), et les agrégateurs OSINT. L'approche active utilise la résolution DNS brute-force avec des wordlists spécialisées et des techniques de permutation/altération de sous-domaines. Les outils phares incluent Amass (considéré comme la référence avec son intégration multi-sources), Subfinder (rapide avec de nombreuses sources API), Assetfinder, Findomain, et pour le brute-force : MassDNS (résolution haute vitesse), PureDNS, et gobuster en mode dns. Les wordlists de SecLists (notamment dns/bitquark-subdomains-top100000.txt) et d'Assetnote (qui génère des listes contextuelles basées sur les technologies utilisées) sont les références. Les techniques avancées incluent : la permutation de sous-domaines (altérer les sous-domaines connus pour générer des variantes : dev-api, api-v2, api-staging), le DNS wildcard detection (pour filtrer les faux positifs), et l'analyse des TLS Subject Alternative Names pour découvrir des sous-domaines liés. La gestion du cycle de vie des sous-domaines est critique pour la défense : les sous-domaines abandonnés dont les CNAME pointent vers des services cloud non configurés constituent des cibles de subdomain takeover permettant à un attaquant de prendre le contrôle du sous-domaine.

Fonctionnement

L'énumération combine sources passives et brute-force actif. Amass, par exemple, agrège des dizaines de sources (CT Logs, ASN databases, DNS brute-force, web archives, SecurityTrails, VirusTotal, Shodan) et corrèle les résultats. Le brute-force DNS résout séquentiellement des milliers à des millions de noms candidats contre les serveurs DNS autoritaires, filtrant les réponses valides (NXDOMAIN vs. réponse avec adresse).

La détection des wildcards DNS (*.domaine.fr → même IP) est essentielle pour éviter les faux positifs massifs lors du brute-force.

Exploitation offensive

Les sous-domaines découverts peuvent révéler des applications avec des failles non patchées (les environnements staging suivent rarement le même rythme de mise à jour que la production), des interfaces d'administration accessibles, des API sans authentification, ou des services cloud mal configurés. Chaque sous-domaine représente une surface d'attaque potentielle à explorer avec des outils de scanning web.

Détection et mitigation

Les organisations devraient maintenir un inventaire à jour de tous leurs sous-domaines et surveiller les CT Logs pour les nouveaux certificats. Des outils comme AbuseIPDB, Shodan Monitor ou des services ASM (Attack Surface Management) commerciaux automatisent cette surveillance. Le processus de décommissionnement des sous-domaines doit inclure la suppression des enregistrements DNS pour éviter le subdomain takeover.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis