Zone Transfer (AXFR)

Définition

Le Zone Transfer, techniquement spécifié comme AXFR (Authoritative Zone Transfer Request), est un mécanisme DNS conçu pour répliquer l'intégralité des enregistrements d'une zone DNS d'un serveur primaire vers des serveurs secondaires. Mal configuré, il constitue une fuite d'information majeure permettant à n'importe qui d'obtenir tous les enregistrements d'un domaine en une seule requête. Lorsque la zone transfer est autorisée sans restriction, une simple requête DNS de type AXFR vers le serveur de noms autoritaire retourne l'intégralité du fichier de zone : tous les sous-domaines avec leurs adresses IP, les serveurs mail, les enregistrements de service, les configurations SPF/DKIM, et potentiellement des noms d'hôtes révélateurs d'infrastructure interne. Pour un attaquant, c'est l'équivalent d'obtenir le plan complet du réseau sans avoir à scanner quoi que ce soit. La commande est simple : dig AXFR @ns1.domaine.fr domaine.fr ou via nslookup. Si le serveur DNS est mal configuré, la réponse contiendra l'intégralité de la zone DNS. Avant 2000, de nombreux serveurs DNS permettaient les zone transfers sans restriction, et cette configuration reste encore parfois rencontrée sur des systèmes anciens, des appareils réseau ou des DNS internes accessibles depuis une DMZ. Les zones DNS internes sont particulièrement sensibles : si un pentester ou un attaquant parvient à interroger un serveur DNS interne (via un accès réseau limité ou un pivot), un zone transfer réussi peut révéler l'intégralité de l'architecture réseau interne avec les noms et adresses de tous les systèmes. La défense contre les zone transfers non autorisés est simple et bien documentée : configurer le serveur DNS pour n'autoriser les AXFR que depuis les adresses IP des serveurs DNS secondaires légitimes (directives allow-transfer dans BIND). Les audits de configuration DNS devraient systématiquement tester cette protection.