Búsqueda de Subdominios

La fase de reconocimiento es, sin duda, la más crítica de cualquier auditoría. A menudo, los profesionales se centran en el dominio principal de una organización, ignorando que la verdadera superficie de ataque se expande a través de una red intrincada de subdominios. Estos activos digitales actúan como ramificaciones de una infraestructura principal y, con frecuencia, son el eslabón más débil de la cadena de seguridad.

Un subdominio es una extensión del dominio principal que se utiliza para organizar, categorizar o separar funciones específicas dentro de un sitio web o una red corporativa. Mientras que el dominio principal suele estar bajo una vigilancia estricta y protocolos de seguridad robustos, los subdominios pueden ser creados por diferentes departamentos, para pruebas temporales o para alojar servicios secundarios que no siempre reciben el mismo nivel de atención técnica.

También pueden interesarles Reconocimiento de Directorios

¿Para qué sirve un subdominio desde la perspectiva técnica?

Desde el punto de vista del desarrollo y la administración de sistemas, los subdominios son herramientas organizativas esenciales. Permiten segmentar el tráfico, delegar la administración de ciertas partes del sitio a diferentes servidores y facilitar la escalabilidad. Por ejemplo, una empresa puede tener su sitio comercial en el dominio raíz, pero delegar sus servicios de correo a un subdominio específico, sus entornos de desarrollo a otro y sus paneles de administración internos a un tercero.

Sin embargo, para un hacker ético, un subdominio es una pista. Cada nuevo subdominio descubierto representa una dirección IP potencial, un nuevo servidor, una tecnología distinta y, lo más importante, una nueva oportunidad de encontrar una vulnerabilidad. El descubrimiento de subdominios es el proceso de identificar estas facetas ocultas de la infraestructura para mapear con precisión el alcance real de una organización en internet.

¿Qué podemos encontrar al explorar subdominios?

La exploración de subdominios es similar a realizar una radiografía de la estructura interna de una empresa. Al profundizar en esta búsqueda, los auditores de seguridad suelen encontrarse con tesoros de información que las organizaciones no pretendían exponer públicamente:

1. Entornos de Desarrollo y Pruebas (Staging): Es común encontrar subdominios como dev.empresa.com o test.empresa.com. Estos sitios suelen contener versiones preliminares de aplicaciones que carecen de los parches de seguridad finales o que muestran errores detallados que revelan la estructura de la base de datos.

2. Paneles de Administración: Subdominios dedicados a herramientas de gestión como admin.empresa.com, vpn.empresa.com o jenkins.empresa.com. Estos son objetivos de alto valor, ya que un acceso no autorizado aquí podría comprometer toda la red.

3. Servicios Olvidados (Shadow IT): Proyectos antiguos que nunca fueron dados de baja y que ejecutan versiones de software obsoletas con vulnerabilidades conocidas (CVEs).

4. Configuraciones de Nube y Almacenamiento: Subdominios que apuntan a buckets de S3 en AWS o contenedores en Azure, que si están mal configurados, pueden exponer documentos sensibles o copias de seguridad.

5. Información de Red: A través de los registros DNS de los subdominios, se pueden identificar rangos de direcciones IP, proveedores de servicios de correo y mecanismos de protección como firewalls de aplicaciones web (WAF).

La Importancia Estratégica en el Reconocimiento

El reconocimiento se divide en dos grandes categorías: activo y pasivo. El descubrimiento de subdominios mediante fuentes externas se encuadra perfectamente en el reconocimiento pasivo. Esta distinción es vital porque el reconocimiento pasivo no interactúa directamente con los servidores del objetivo (el “scope”). En lugar de enviar paquetes de datos al servidor de la víctima, el auditor consulta bases de datos públicas, registros históricos y motores de búsqueda.

Esto es fundamental por dos razones: primero, permite al auditor trabajar sin ser detectado por los sistemas de detección de intrusos (IDS) o los firewalls de la empresa. Segundo, proporciona una visión global de la huella digital antes de realizar cualquier acción que pueda ser interpretada como un ataque.

Herramientas de Reconocimiento Pasivo: Análisis de Plataformas Clave

Para llevar a cabo este mapeo sin tocar el objetivo, existen plataformas especializadas que recopilan y organizan datos de DNS y certificados SSL. A continuación, analizamos cuatro de las herramientas más potentes en la actualidad:

DNSDumpster

DNSDumpster es una de las herramientas de investigación de dominios más respetadas en la comunidad de seguridad. Su función principal es realizar una búsqueda profunda en los registros DNS para ofrecer un informe visual y técnico de la infraestructura de un dominio.

Es importante conocerla porque permite descubrir registros de tipo A, MX (correo), TXT y CNAME en cuestión de segundos. Lo que hace que DNSDumpster sea especial es su capacidad para generar un mapa visual de la red, conectando subdominios con sus respectivas direcciones IP y ubicaciones geográficas. Al ser una herramienta de consulta pasiva, la empresa auditada nunca sabrá que sus registros están siendo analizados, lo que la convierte en el punto de partida ideal para cualquier fase de “footprinting”.

Subdomain Finder (c99.nl)

Esta herramienta destaca por su enorme base de datos histórica. Subdomain Finder de c99.nl no solo busca subdominios activos, sino que a menudo revela activos que estuvieron en línea en el pasado o que están protegidos por configuraciones que otras herramientas podrían pasar por alto.

Su utilidad radica en la velocidad y en la capacidad de escanear grandes volúmenes de datos rápidamente. En el hacking ético, esta herramienta se utiliza para identificar subdominios que podrían estar “huérfanos” (subdomain takeover), donde un subdominio apunta a un servicio de terceros (como un blog de Ghost o un bucket de Amazon) que ya no existe, permitiendo al atacante reclamar ese espacio y suplantar la identidad de la empresa.

Merklemap

Merklemap representa la evolución moderna del reconocimiento pasivo. Esta plataforma se centra en la transparencia de los certificados (Certificate Transparency logs). Cada vez que se emite un certificado SSL/TLS para un subdominio, queda un registro público. Merklemap monitoriza estos registros en tiempo real.

¿Por qué es crucial? Porque muchos subdominios no aparecen en los diccionarios comunes de fuerza bruta, pero sí tienen un certificado de seguridad para operar de forma segura (HTTPS). Al consultar Merklemap, un hacker ético puede encontrar subdominios extremadamente específicos y secretos que fueron creados hace apenas minutos, simplemente porque la emisión del certificado los dejó expuestos en los logs públicos.

NMMapper Subdomain Finder

NMMapper es una suite de herramientas que integra varios motores de búsqueda y APIs en una sola interfaz. Su buscador de subdominios es especialmente valioso porque combina resultados de múltiples fuentes como Anubis, Amass y otros escáneres.

La importancia de usar NMMapper reside en la consolidación de datos. En el reconocimiento pasivo, la redundancia es buena; lo que una herramienta no encuentra, otra sí. NMMapper facilita la vida del auditor al presentar una lista limpia y deduplicada de subdominios, ahorrando tiempo crítico que luego se invertirá en el análisis de vulnerabilidades.

Semrush (requiere registración y tiene 10 solicitudes free)
Esta herramienta permite analizar qué subdominios de un competidor están posicionando mejor en buscadores, revelando páginas de aterrizaje ocultas, servicios específicos o secciones del sitio que generan más tráfico orgánico.

El Riesgo del Subdomain Takeover

Uno de los hallazgos más críticos al realizar un reconocimiento de subdominios es la posibilidad de un “secuestro de subdominio” (Subdomain Takeover). Este fenómeno ocurre cuando un registro DNS (como un CNAME) apunta a un recurso externo que ha sido eliminado o expirado, pero la entrada DNS sigue existiendo.

Un hacker ético busca activamente estos errores. Si encuentra que soporte.empresa.com apunta a una página de ayuda de un servicio externo que la empresa ya no paga, el auditor puede registrarse en ese servicio externo con el nombre de la empresa y tomar el control total del subdominio. Esto permite realizar ataques de phishing altamente creíbles, robar cookies de sesión o distribuir malware bajo el paraguas de confianza de la marca principal.

El Papel de la Inteligencia de Fuentes Abiertas (OSINT)

El uso de las herramientas mencionadas anteriormente forma parte de una disciplina mayor conocida como OSINT. El reconocimiento de subdominios no se trata solo de encontrar nombres técnicos; se trata de entender la psicología de la organización. Por ejemplo, encontrar un subdominio llamado jira-old.empresa.com sugiere que hay un sistema de gestión de proyectos antiguo que probablemente no ha sido actualizado en años.

El reconocimiento pasivo es un arte que requiere paciencia. Al utilizar sitios como DNSDumpster o Merklemap, el auditor está armando un rompecabezas. Cada pieza (un subdominio, una IP, un registro TXT) ayuda a visualizar el panorama completo de la seguridad del cliente sin disparar una sola alarma.

Buenas Prácticas y Defensa

Para las organizaciones, la mejor defensa contra un reconocimiento de subdominios exitoso es la higiene digital. Esto incluye:

• Realizar auditorías internas periódicas utilizando exactamente las mismas herramientas de reconocimiento pasivo descritas.

• Implementar procesos de baja estrictos para servicios en la nube y registros DNS.

• Monitorizar los logs de transparencia de certificados para saber qué subdominios se están exponiendo.

• Utilizar certificados “wildcard” (*https://www.google.com/search?q=.empresa.com) cuando sea posible para reducir la visibilidad de subdominios específicos en los registros públicos.

Los subdominios son mucho más que simples direcciones web; son el reflejo de la infraestructura, la historia y, a veces, los errores de una organización. Dominar las herramientas de reconocimiento pasivo y comprender la importancia de cada subdominio encontrado es lo que define a un hacker ético de élite, permitiéndole identificar riesgos críticos de manera silenciosa y efectiva antes de que un actor malintencionado pueda explotarlos.