Subdomain Takeover

OWASP A05 difficulty: kolay-orta

Subdomain Takeover, bir alt alan adının DNS kaydının (genelde CNAME) artık yok olmuş/terk edilmiş bir üçüncü taraf servise işaret etmesiyle oluşur. Saldırgan o servisteki kaynağı kendi hesabında oluşturursa, alt alan adını ele geçirir — kimlik avı, çerez çalma (parent domain scope dikkat), OAuth redirect ve marka istismarı için güçlü bir zemin.

Nasıl oluşur

1) blog.hedef.com  CNAME  hedef.github.io
2) GitHub Pages repo silinir / yeniden adlandırılır
3) DNS kaydı kalır → "dangling CNAME"
4) Saldırgan aynı GitHub Pages adını claim eder
5) blog.hedef.com artık saldırgan içeriğini sunar

Sık provider’lar: AWS S3, CloudFront, ELB, Heroku, Azure App/Traffic Manager, Shopify, Fastly, Pantheon, Tumblr, WordPress.com, Surge, Netlify, Fly.io…

Tespit

1. Alt alan adlarını topla :

   subfinder -d hedef.com -all | tee subs.txt

   amass enum -passive -d hedef.com

   assetfinder --subs-only hedef.com

2. CNAME / NXDOMAIN çözümle :

   dnsx -l subs.txt -cname -resp -o cnames.txt

   dnsx -l subs.txt -a -resp -o alive.txt

   dig CNAME blog.hedef.com +short

   dig NS staging.hedef.com +short

3. Fingerprint / claim edilebilir hata ara :

   subzy run --targets subs.txt

   nuclei -l subs.txt -t http/takeovers/

   httpx -l subs.txt -title -tech-detect -status-code

4. Manuel fingerprint örnekleri — HTTP gövde / başlık:

   NoSuchBucket / The specified bucket does not exist

   There isn't a GitHub Pages site here

   Heroku | No such app

   Fastly error: unknown domain

   NoSuchDistribution / ERROR: The request could not be satisfied

   Azure: 404 Web Site not found

   Shopify: Sorry, this shop is currently unavailable

5. can-i-take-over-xyz — servisin hâlâ claim edilebilir olup olmadığını doğrula (birçok sağlayıcı engelledi; liste güncel tut).

6. Claim + PoC — ilgili bulut/SaaS’ta kaynağı oluştur; DNS’in sana çözüldüğünü kanıtla. Yetkili testte zararlı içerik koyma; beacon/PoC HTML yeter.

Provider’a göre claim ipuçları

echo blog.hedef.com > CNAME

aws s3 mb s3://blog.hedef.com

heroku create dangling-name

Claim sonrası:

dig +short blog.hedef.com

curl -sI https://blog.hedef.com | head

Etki senaryoları

□ Phishing — gerçek subdomain, geçerli TLS (Let's Encrypt / provider cert)
□ Cookie theft — Domain=.hedef.com çerezleri (Secure/HttpOnly/path'e bağlı)
□ CORS / CSP trusted subdomain ise XSS veya API okuma zinciri
□ OAuth redirect_uri allow-list'te subdomain → token çalma
□ Service Worker / PWA scope kötüye kullanımı
□ E-posta — sarkan MX/TXT nadiren; SPF/DKIM spoof yüzeyi

Edge / NS takeover

NS kaydı saldırgan nameserver'ına gidiyorsa → tüm zone kontrolü (kritik)
Elastic Beanstalk / Azure TM CNAME'leri sık dangling aday
Unregistered delegated NS (expired registrar) → domain hijack varyantı

dig NS orphan.hedef.com +short

whois $(dig NS orphan.hedef.com +short | head -1)

False positive’ler

□ Generic 404 ama bucket/app başkasına ait (claim reddedilir)
□ Provider "domain already claimed" / verification zorunlu
□ Cloudflare proxy (turuncu bulut) — origin dangling ama edge hâlâ cevap
□ Internal-only CNAME (çözülmez / NXDOMAIN farklı sebep)

Komut üreteci

⚡

subfinder + httpx

embedded tool

Domain

Generated commandcopy

subfinder -d hedef.com -all -silent | httpx -silent -title -tech-detect

subfinder + httpx

Saldırı zinciri

subfinder → dnsx -cname → nuclei takeovers
  → can-i-take-over-xyz doğrula
  → claim → PoC sayfa
  → OAuth redirect / cookie impact not et

Note

NoteHer “sayfa yok” hatası takeover değildir. Servisin sahiplenmeye izin verip vermediğini can-i-take-over-xyz listesinden doğrula; false positive yüksektir.