La enumeración de subdominios implica identificar subdominios válidos para un dominio específico, con el objetivo de ampliar la superficie de ataque y localizar vulnerabilidades potenciales. Se emplean múltiples métodos, como OSINT, fuerza bruta DNS y hosts virtuales.

OSINT - Certificados SSL/TLS

Los certificados SSL/TLS emitidos por autoridades de certificación (CA) se registran en registros de transparencia de certificados (CT logs). Estos registros públicos permiten descubrir subdominios asociados a un dominio. Servicios como crt.sh ofrecen bases de datos consultables para buscar certificados actuales e históricos.

Para buscar subdominios, ingrese el dominio en crt.sh, por ejemplo, "ejemplo.com", y revise los registros disponibles.

OSINT - Motores de Búsqueda

Los motores de búsqueda indexan vastas cantidades de sitios web y pueden filtrarse mediante operadores avanzados. Por ejemplo, en Google, use la sintaxis -site:www.ejemplo.com site:\*.ejemplo.com para mostrar únicamente resultados de subdominios de ejemplo.com, excluyendo el dominio principal.

Fuerza Bruta DNS

Este método consiste en probar sistemáticamente nombres de subdominios comunes desde un diccionario predefinido, enviando solicitudes DNS. Se utilizan herramientas como dnsrecon para automatizar el proceso, lo que permite evaluar cientos o miles de posibles subdominios rápidamente.

Automatización OSINT con Sublist3r

Para acelerar la recopilación de subdominios mediante OSINT, herramientas como Sublist3r automatizan la búsqueda en múltiples fuentes, incluyendo motores de búsqueda y bases de datos de certificados. El código fuente está disponible en repositorios públicos para su instalación y uso.

Hosts Virtuales

Algunos subdominios, como versiones de desarrollo o portales administrativos, pueden no estar presentes en registros DNS públicos. En su lugar, se almacenan en servidores DNS privados o en archivos locales como /etc/hosts. Los servidores web pueden alojar múltiples sitios en una sola máquina, utilizando el encabezado Host para distinguirlos.

Se puede usar fuerza bruta en el encabezado Host para descubrir subdominios ocultos. Con herramientas como ffuf, se especifica un diccionario y un objetivo. Por ejemplo:

ffuf -w /ruta/a/diccionario.txt -H "Host: FUZZ.dominioejemplo.com" -u http://direccion-ip-servidor

Este comando prueba entradas del diccionario en la posición FUZZ del encabezado Host. Dado que las repsuestas pueden variar en tamaño, se puede filtrar la salida usando el parámetro -fs para ignorar respuestas con un tamaño específico, reduciendo el ruido en los resultados. Por ejemplo, si el tamaño más común es 1500 bytes, se ajusta el comando a:

ffuf -w /ruta/a/diccionario.txt -H "Host: FUZZ.dominioejemplo.com" -u http://direccion-ip-servidor -fs 1500

Esto permite enfocarse en respuestas inusualse que puedan indicar subdominios válidos.