Subdomains sicher aufdecken: Passive OSINT- und Active-Enumeration-Methoden

Subdomains stellen oft unsichtbare Einstiegspunkte in die Infrastruktur eines Unternehmens dar. Obwohl sie im öffentlichen Radar weniger präsent sind als Hauptdomains, können sie kritische Systeme oder sensible Daten preisgeben. Eine systematische Suche nach diesen versteckten Hostnamen ist daher ein zentraler Schritt in der externen Sicherheitsbewertung.

Die Identifizierung erfolgt dabei über zwei grundlegende Ansätze: passive Methoden nutzen öffentlich verfügbare Datenquellen, während aktive Techniken gezielt DNS-Server oder Webserver abfragen. Beide Strategien ergänzen sich und minimieren so die Wahrscheinlichkeit, wichtige Subdomains zu übersehen. Im Folgenden werden praxisnahe Tools und Techniken vorgestellt, die in kontrollierten Umgebungen getestet wurden.

Warum Subdomain-Enumeration unverzichtbar ist

Jede Subdomain stellt potenziell eine zusätzliche Angriffsfläche dar. Unentdeckte Hostnamen können veraltete Dienste beherbergen, Entwicklungsumgebungen exponieren oder sogar administrative Schnittstellen offenlegen. Unternehmen, die ihre externe Infrastruktur nicht regelmäßig prüfen, riskieren, dass Angreifer diese Lücken für initiale Zugriffe ausnutzen.

Die Enumeration gliedert sich in zwei Hauptkategorien:

• Passive Methoden: Greifen ausschließlich auf öffentlich zugängliche Datenquellen zu, ohne direkte Anfragen an die Zielinfrastruktur zu stellen. Dazu zählen Suchmaschinen, Zertifikatsprotokolle und aggregierte Datenbanken.
• Aktive Methoden: Versenden gezielte Anfragen an DNS- oder Webserver, um auch Hostnamen zu finden, die in öffentlichen Quellen nicht dokumentiert sind. Diese Vorgehensweise liefert zwar umfassendere Ergebnisse, birgt jedoch das Risiko, durch Sicherheitsmechanismen erkannt zu werden.

Ein kombinierter Ansatz gewährleistet die größtmögliche Abdeckung und minimiert gleichzeitig die operativen Risiken.

Ethische und rechtliche Rahmenbedingungen

Subdomain-Enumeration darf ausschließlich im Rahmen klar definierter und autorisierter Sicherheitsprüfungen durchgeführt werden. Unautorisierte Aktivitäten können gegen gesetzliche Bestimmungen wie den Computer Fraud and Abuse Act (CFAA) in den USA oder vergleichbare Vorschriften in anderen Jurisdiktionen verstoßen.

Folgende Grundsätze sind unbedingt zu beachten:

• Vorabgenehmigung: Jede Form aktiver Tests erfordert eine schriftliche Freigabe des Domaininhabers. Selbst passive Methoden können sensible Informationen offenlegen, die einer sorgfältigen Handhabung bedürfen.
• Rate-Limiting: Aktive Tools sollten mit minimalen Threads (z. B. -t 1) und ausreichenden Pausen zwischen den Anfragen betrieben werden, um Dienststörungen zu vermeiden.
• Umfangskontrolle: Gefundene Hostnamen müssen gegen die genehmigte Zielscope abgeglichen werden. Nicht alle entdeckten Assets sind automatisch Bestandteil der Prüfung.
• Verantwortungsvolle Meldung: Unbeabsichtigt exponierte Systeme sind über die vorgesehenen Kanäle zu melden.

In diesem Artikel wurden ausschließlich autorisierte Testumgebungen verwendet, darunter eine persönliche Domain des Autors sowie autorisierte Labore der Plattform TryHackMe.

Passive Techniken: OSINT und Zertifikatsanalysen

Passive Methoden nutzen öffentlich zugängliche Informationen, um Subdomains ohne direkte Interaktion mit der Zielinfrastruktur zu identifizieren. Diese Ansätze sind schnell und schwer nachweisbar, liefern jedoch oft nur Teilmengen der tatsächlich existierenden Hostnamen.

Suchmaschinen-Dorking: Schnelle Ergebnisse mit begrenzter Reichweite

Suchmaschinen wie Google indexieren Hostnamen, die über Links oder direkte Zugriffe erfasst wurden. Der site:-Operator ermöglicht die gezielte Suche nach Subdomains einer bestimmten Domain.

Ein typisches Beispiel:

site:*.tryhackme.com -site:www.tryhackme.com

Diese Abfrage liefert Hostnamen wie careers, help oder store, sofern diese von der Suchmaschine erfasst wurden. Allerdings beschränkt sich die Sichtbarkeit auf öffentlich zugängliche und indexierte Inhalte. Subdomains, die nie verlinkt oder besucht wurden, bleiben unsichtbar.

Praxistipp: Suchmaschinenergebnisse eignen sich ideal für eine erste Priorisierung, ersetzen jedoch keine umfassenden Analysen.

Zertifikatsprotokolle: Historische Hostnamen durch CT-Logs aufdecken

Certificate Transparency (CT) ist ein Protokoll, das alle ausgestellten SSL/TLS-Zertifikate in öffentlichen Logs dokumentiert. Tools wie crt.sh ermöglichen die Abfrage dieser Logs nach einer bestimmten Domain.

Ein Beispielabfrage für tryhackme.com:

Die Ergebnisse zeigen nicht nur aktuelle, sondern auch historische Hostnamen, einschließlich Wildcard-Zertifikate und längst abgeschaltete Dienste. Diese Datenquelle deckt oft Hostnamen auf, die Suchmaschinen nicht indexiert haben.

Einschränkung: CT-Logs erfassen ausschließlich Hostnamen, für die jemals ein Zertifikat ausgestellt wurde. Subdomains ohne SSL/TLS-Zugriff bleiben unsichtbar.

Automatisierte passive Aggregation mit Sublist3r

Das Tool Sublist3r konsolidiert Ergebnisse aus zahlreichen öffentlichen Quellen wie Suchmaschinen, DNS-Aggregatoren und Sicherheitsplattformen. Ein typischer Aufruf lautet:

sublist3r -d jercarlocatallo.com

In einem Testlauf wurden drei Subdomains identifiziert:

• www.jercarlocatallo.com
• m.jercarlocatallo.com
• jercarlocatallo.com

Die Effektivität hängt stark von der Verfügbarkeit der Quellen ab. Einige Dienste wie VirusTotal blockierten während des Tests Anfragen, lieferten jedoch teilweise trotzdem Ergebnisse. Passive Methoden sind zwar schnell und unauffällig, stoßen jedoch an Grenzen, wenn Hostnamen in keiner öffentlichen Quelle referenziert werden.

Empfehlung: Regelmäßige Überwachung von CT-Logs und Entfernung ungenutzter Subdomains reduziert das Angriffsrisiko.

Aktive Techniken: DNS-Brute-Force und Virtual-Host-Enumeration

Aktive Methoden senden gezielte Anfragen an die Zielinfrastruktur, um auch nicht-öffentliche Hostnamen zu identifizieren. Diese Ansätze liefern oft umfassendere Ergebnisse, erfordern jedoch eine sorgfältige Durchführung, um Entdeckungsrisiken zu minimieren.

DNS-Brute-Force mit Gobuster: Hostnamen durch Wortlisten generieren

Tools wie Gobuster testen systematisch mögliche Hostnamen anhand vorgefertigter Wortlisten gegen DNS-Server. Ein Beispielbefehl:

gobuster dns -d example.com -w /usr/share/wordlists/SecLists/Discovery/DNS/namelist.txt -t 10

Diese Methode identifiziert Hostnamen, die in öffentlichen Quellen nicht dokumentiert sind, kann jedoch bei aggressiver Ausführung zu DNS- oder Firewall-Logs führen. Wichtig ist die Verwendung einer moderaten Thread-Anzahl (-t 10) und die Einhaltung von Rate-Limits.

Hinweis: DNS-Brute-Force sollte nur nach schriftlicher Freigabe und in kontrollierten Umgebungen eingesetzt werden.

Virtual-Host-Fuzzing mit ffuf: HTTP-spezifische Hostnamen aufdecken

Nicht alle Subdomains sind über DNS auflösbar. Einige existieren ausschließlich als virtuelle Hosts hinter einer einzelnen IP-Adresse. Das Tool ffuf identifiziert diese Hostnamen durch gezieltes Fuzzing des Host-Headers in HTTP-Anfragen.

Ein typischer Aufruf in einer autorisierten Testumgebung:

ffuf -w /usr/share/wordlists/SecLists/Discovery/DNS/namelist.txt \
  -H "Host: FUZZ.acmeitsupport.thm" \
  -u  \
  -fs 2395

In einem Labortest wurden zwei virtuelle Hosts entdeckt: delta und yellow. Diese Methode deckt Hostnamen auf, die weder in DNS noch in öffentlichen OSINT-Quellen sichtbar sind, jedoch über HTTP erreichbar sind.

Praxistipp: Virtual-Host-Fuzzing eignet sich besonders für die Erkennung von Entwicklungsumgebungen oder internen Diensten, die hinter einem Reverse-Proxy versteckt sind.

Fazit und Ausblick

Die zuverlässige Identifizierung von Subdomains erfordert einen mehrschichtigen Ansatz, der passive OSINT-Quellen mit aktiven Enumerationstechniken kombiniert. Während passive Methoden schnell und unauffällig Ergebnisse liefern, decken aktive Techniken Hostnamen auf, die in öffentlichen Datenbanken nicht verzeichnet sind.

Für Unternehmen bedeutet dies: Regelmäßige Subdomain-Scans sind kein Luxus, sondern eine Notwendigkeit, um potenzielle Schwachstellen frühzeitig zu erkennen. Gleichzeitig ist die Einhaltung ethischer und rechtlicher Rahmenbedingungen unverzichtbar. Zukünftige Entwicklungen wie die Integration von KI-gestützten Analysen oder die Erweiterung von CT-Logs könnten die Effektivität dieser Methoden weiter steigern – vorausgesetzt, sie werden verantwortungsvoll eingesetzt.