Subdomain takeover — visiaci CNAME

Čo to je

V DNS vašej domény je záznam typu CNAME, ktorý ukazuje na opustenú cloudovú službu. Typický scenár:

Pred rokmi niekto vytvoril blog.example.sk s CNAME na example-blog.herokuapp.com.
Heroku app je dávno zmazaná, ale CNAME v DNS nikto nezrušil.
Útočník sa zaregistruje na Heroku, vytvorí app s názvom example-blog a prevezme vašu subdoménu.

Prečo je to problém

Útočník teraz servíruje obsah pod vaším doménovým menom — a používatelia aj vyhľadávače mu veria ako vám. Konkrétne môže:

Hostovať phishing pod blog.example.sk (používatelia vidia vaše HTTPS, vašu subdoménu).
Vystaviť si Let’s Encrypt cert — zelený zámok, žiadne varovanie.
Načítať cookies vašej root domény, ak sú nastavené na .example.sk bez HostOnly.
Posielať e-maily s odkazmi na vašu subdoménu (obchádzanie spam filtrov).

Toto nie je teoretické. Heroku, AWS S3, GitHub Pages, Azure CDN, Shopify a ďalšie služby všetky umožňujú „register-and-take-over“ dokým konkrétnu službu nezabezpečia pinningom (mnohé to nerobia).

Ako to opraviť

Krok 1 — overiť, že je problém reálny

Z reportu poznáte konkrétnu subdoménu. Otvorte ju v prehliadači:

Ak vidíte oficiálnu chybovú stránku služby („No such app“ od Heroku, „404 not found“ od GitHub Pages,„NoSuchBucket“ od AWS S3) — je to pravdepodobne reálny takeover.
Ak vidíte vlastný obsah — subdoména je aktívna a problém pravdepodobne neexistuje (false positive zo scannera).

Krok 2 — rozhodnúť

Subdoménu už nepotrebujete. Zmažte CNAME zo svojho DNS.
Subdoména má opäť existovať. Vytvorte novú app / bucket / Pages site s rovnakým menom, na ktoré CNAME ukazuje — pred útočníkom.

Krok 3 — pravidelná hygiena

Subdomain takeover vzniká tým, že na čistenie DNS zabudnete. Nasaďte:

Pravidelný audit všetkých CNAME — každý kvartál si vyexportujte zónu a ručne každý cudzí target overte. Pre malé domény stačí dig +short ANY example.sk.
Automatický takeover scanner: subfinder + nuclei (nuclei -t http/takeovers/).

Pozor na zdedené staré marketingové subdomény

landing.example.sk z päťročnej kampane, hostovaná na zrušenom Unbounce. old-blog.example.sk z migrácie na Medium. To sú klasické ciele.