【DNS編】サブドメイン列挙とCT logが暴く組織の地図｜CTF思考フレームワーク R01

こんにちは、アンペンです！

ここから偵察(Recon)ルート10本に入ります。攻撃の第1段階『攻撃面の特定』を、本編より深く・テーマごとに掘り下げる応用編です。攻撃者がexploitを発射する前に時間を掛けるのは、ほとんどがこの偵察フェーズ。『攻撃面の全体像が見えていないexploitは外す』という鉄則があるからです。

1本目はDNS編。組織のIT資産マップを描く第一歩はサブドメイン全列挙。CT log・パッシブDNS・OSS・ブルートフォースの4経路を組み合わせると、運用者が忘れていた検証用サブドメイン・買収企業の名残・社内ツールの公開などが浮かび上がります。

ここからの偵察ルートは、本編のOSINTと似て非なるものです。OSINTが“情報を集めて理解する”受け身寄りの調査なら、Reconは“これから攻めるための下調べ”という、より実戦的な偵察。ペネトレーションテストの世界には『偵察に9割の時間をかけろ』という格言があります。攻撃面（どこに入口があるか）の地図が描けていなければ、どんな攻撃も的外れに終わるからです。まずはその“地図作り”の第一歩、DNSから始めましょう。

サブドメインってそんなにたくさんあるの？

大企業では数千〜数万。古い検証環境・買収企業のドメイン・社内ツール・退職者が立てたデモ環境が眠っていて、そこが侵入口になることが多い。本番より管理されていないサブドメインこそ狙い目だよ。

サブドメイン列挙の4経路

• ①CT log(crt.sh):過去の全TLS証明書ログ。crt.sh/?q=%25.example.comで内部用も含めて丸見え。Let’s Encrypt普及以降の最大の情報源で初手で必ず叩く
• ②パッシブDNS:SecurityTrails / DNSDB(Farsight) / Microsoft Defender TI(旧RiskIQ)等の有料/フリーミアム。過去の名前解決履歴を蓄積、今は消えたサブドメインも見える
• ③OSS総合列挙:subfinder -d example.com -all(ProjectDiscovery製、複数ソース統合)、amass enum -d example.com -active(OWASP製、より広範)、assetfinder(Tomnomnom製)
• ④ブルートフォース:dnsx -d example.com -w wordlist.txt(ProjectDiscovery)、shuffledns(高速版)。SecListsのサブドメイン辞書を併用
• ⑤補完:chaos API、BinaryEdge、SiteIndices等も組み合わせると見落とし減

『そんなに何経路も必要？』と思うかもしれませんが、答えはYESです。各経路には“見える範囲”と“死角”があるから。CT logは証明書を出したホストしか映らないし、ブルートフォースは辞書にある名前しか当てられない。1つの経路だけでは、必ず取りこぼしが出ます。だから全部を回して結果を重ね、最後に重複を消す。漏れを減らすには“複数の網を重ねる”——これが偵察の基本姿勢です。

図解:4経路のカバー範囲

各経路で見つかるサブドメインは少しずつ重なりつつ、独自の発見もあります。1経路だけでは抜けが多く、4本柱を組み合わせるのが定石です。実戦では結果をsort -uで重複削除して統合します。

Subdomain Takeoverの仕組みと検出

シナリオ:組織がblog.example.comでWordPressを社内マーケに使っていたが、運用終了でS3バケットを削除。しかしDNSのCNAME blog.example.com → example-blog.s3.amazonaws.comは残ったまま。攻撃者がこのCNAMEに気付き、自分でexample-blogという名前のS3バケットを取得→正規のblog.example.comで攻撃者コンテンツが配信される。

このシナリオの何が怖いって、利用者から見れば『正規ドメインのまま』という点です。URLは本物の blog.example.com、SSLの鍵マークもちゃんと付く。ブラウザは何の警告も出しません。なのに中身は、攻撃者がすり替えたページ。だからフィッシングに使われると、見抜くのが本当に難しいんです。“ドメインは正しいのに、中身が偽物”——これがSubdomain Takeoverの不気味さです。

• 影響:フィッシング(正規ドメインなのでSSL有効・ブラウザ警告なし)、OAuthクッキー盗難、内部ドキュメント開示
• 検出:subjack -w found_subs.txt -t 100 -timeout 30 -ssl、subzy run --targets found_subs.txt
• 対策:不要サブドメインの即削除、CNAMEを残さない運用、定期Takeover監査をCIに組込

ポイントは、危険の正体が『高度な攻撃』ではなく『放置』だという点です。鍵をかけ忘れた空き家のドアと同じで、誰も使っていないサブドメインが“開けっ放し”になっているだけ。だから対策も、特別な技術ではなく『使い終わったら、DNSのレコードまできっちり消す』という地味な運用に尽きます。攻撃者は派手な穴より、こうした“掃除し忘れ”を真っ先に探すんです。

CTFでやってみよう:自社ドメインを4経路で

では守る側へ。攻撃者が4経路で自社の地図を描けるなら、こちらも同じ4経路で“自分の地図”を先に描いておけばいい。守りの本質は、攻撃者より先に『うちにはどんなサブドメインがあるのか』を把握し続けることです。次のリストは、その“先回りの棚卸し”を仕組み化する方法です。

守る側:『棚卸しルーチン+ASM』

古いサブドメインがあると、Takeoverの温床になるんだね…

次はR02、ポートスキャン編。開いてる扉を数える偵察の作法を扱うよ。

まとめ:『4経路+棚卸し+Takeover監査』

今日の持ち帰りは『偵察は攻撃の下ごしらえ、棚卸しは防御の下ごしらえ』。攻める側も守る側も、やることは同じ——“見えるものを全部洗い出す”。違うのは目的だけです。とくにサブドメインは、忘れた頃に侵入口になります。定期的に自社を一度スキャンしてみる習慣が、いちばん効く守りになります。

次はR02、ポートスキャン編で『開いてる扉』を素早く・静かに数える作法を扱います。

次に読みたい記事

参考資料