Belajar Cyber Security - DNS & Subdomain Enumeration

#Pendahuluan

Setelah di episode 6 kita mengumpulkan intel dasar — domain, email, teknologi, dan breach — sekarang kita menggali lebih dalam: DNS & subdomain enumeration. Subdomain adalah emas bagi pentester, karena beberapa subdomain sering luput dari perhatian tim keamanan: environment staging, dashboard internal, atau aplikasi lama yang sudah terlupakan.

Mengapa ini penting? Karena attack surface organisasi tidak hanya www.example.com. Setiap subdomain yang aktif adalah pintu masuk potensial yang terpisah — dan sering kali lebih lemah daripada domain utama yang dijaga ketat. Tugas kita di episode ini: menemukan semuanya.

#Konsep DNS yang Relevan

Sebelum menembak, pahami struktur DNS. Setiap domain punya zona yang dikelola nameserver. Records penting (dari episode 4): A, AAAA, CNAME, MX, NS, TXT, SOA. Dua teknik enumerasi utama: meminta data yang seharusnya tidak terbuka (zone transfer) dan menebak nama (brute force).

#Zone Transfer: Tes Wajib Pertama

Zone transfer adalah mekanisme resmi untuk menyalin seluruh zona DNS ke nameserver sekunder. Masalahnya, banyak server lama membiarkan siapa pun meminta salinan ini — membocorkan semua subdomain sekaligus:

Tes zone transfer

dig @<NS_SERVER> example.com AXFR

Jika berhasil, seluruh catatan zona (termasuk subdomain tersembunyi) tercetak di layar. Jika gagal dengan Transfer failed, server sudah benar konfigurasinya — lanjut ke brute force. dnsrecon mengotomasi tes ini bersama teknik lain:

dnsrecon: zone transfer + lainnya

dnsrecon -d example.com -t axfr

#Brute Force Subdomain

#subfinder: Cepat dan Pasif

subfinder menggabungkan banyak sumber pasif (certificate transparency, DNS datasets, search engine) — tidak melakukan brute force DNS sendiri, sehingga cepat dan hemat.

subfinder

subfinder -d example.com -o subdomains.txt

#amass: Dalam dan Menyeluruh

amass (OWASP) lebih berat: selain sumber pasif, ia melakukan enumerasi aktif dengan wordlist. Mempunyai mode enum dasar dan mode dalam yang memakan waktu lebih lama.

amass passive

amass enum -passive -d example.com

amass aktif dengan wordlist

amass enum -active -d example.com -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt

Tip

Alur yang efisien: subfinder dulu (cepat, pasif), lalu amass -passive untuk memperdalam, lalu amass -active dengan wordlist untuk menebak yang tidak terindeks. Gabungkan hasilnya dengan sort -u untuk menghilangkan duplikat.

#dnsrecon: Verifikasi

Hasil brute force harus diverifikasi — tidak semua subdomain yang muncul benar-benar aktif. dnsrecon dengan mode brute:

dnsrecon brute force

dnsrecon -d example.com -D /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -t brt

#Certificate Transparency: crt.sh

Certificate Transparency adalah log publik semua sertifikat SSL yang diterbitkan. Karena organisasi membuat sertifikat untuk setiap subdomain, log ini menjadi sumber daftar subdomain yang sangat berharga — termasuk yang sudah dihapus dari DNS publik.

Query crt.sh

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Perhatikan wildcard %25 (URL-encoded %): ini mencari semua nama yang berakhiran example.com. Hasilnya sering mengungkap subdomain yang tidak muncul di tools lain.

Note

Sertifikat wildcard (*.example.com) adalah pengecualian penting: satu sertifikat untuk semua subdomain, sehingga daftar CT tidak lagi memisahkan per-subdomain. Jika target memakai wildcard, subfinder/amass menjadi lebih penting.

#Menganalisis Hasil

Kumpulan subdomain mentah belum berguna. Proses lanjutan:

Resolve semua subdomain

cat subdomains.txt | while read d; do
    ip=$(dig +short "$d" A | head -1)
    [ -n "$ip" ] && echo "$d $ip"
done > resolved.txt
sort -u resolved.txt

Setelah resolve, klasifikasikan:

Host yang aktif vs mati: subdomain yang merespons adalah target.
Service berbeda: beberapa subdomain mungkin menjalankan service berbeda dari domain utama.
Vhost vs IP: beberapa subdomain menunjuk IP yang sama tapi melayani aplikasi berbeda (dibedakan lewat Host header) — nanti penting di episode 10.

Hasil analisis subdomain

admin.example.com    -> 203.0.113.5   (login page, 403)
staging.example.com  -> 203.0.113.6   (server: Apache/2.2, versi lama)
test.example.com     -> 203.0.113.6   (SAME IP, app berbeda)
dev.example.com      -> tidak resolve (mati, buang)

#Penutup

Pada episode 7 ini, kalian telah belajar menemukan attack surface tersembunyi melalui DNS.

Inti yang harus dibawa pulang:

Zone transfer (dig AXFR) adalah tes wajib pertama — membocorkan seluruh zona jika salah konfigurasi.
subfinder pasif & cepat; amass aktif & menyeluruh — gunakan keduanya berurutan.
crt.sh memanfaatkan log sertifikat publik untuk menemukan subdomain yang tidak terindeks.
Verifikasi dan klasifikasi hasil: aktif/mati, service berbeda, dan vhost di IP yang sama.

Di episode 8 selanjutnya kita beralih ke active recon: port scanning & service enumeration — Nmap TCP connect vs stealth SYN scan, service version detection, default scripts, timing & evasion, dan masscan untuk skala besar, plus identifikasi OS/service/version yang mengarah ke CVE. Sampai jumpa di episode 8!