O DNS é o sistema nervoso da internet — e, para o reconhecimento, uma das fontes mais ricas que existem. Toda organização com presença online deixa, no DNS e em registros associados, um rastro estruturado de sua infraestrutura: onde ficam seus servidores, quem hospeda seu e-mail, que subdomínios existem, quem registrou o domínio. Consultar esses registros é reconhecimento majoritariamente passivo (você pergunta a servidores públicos de DNS e a bases de registro, não ao alvo) e devolve um mapa técnico que orienta toda a fase ativa. Esta aula transforma o DNS de abstração da aula Protocolos em ação: handshake TCP, DNS e inspeção real em ferramenta de mapeamento.

WHOIS: quem registrou o domínio

Comece pelo WHOIS, o registro de quem é dono de um domínio. Quando alguém registra um domínio, fornece dados de contato que ficam (ou ficavam) publicamente consultáveis — nome, organização, e-mail, telefone, datas de registro e expiração, e os servidores DNS usados. O comando é direto:

whois exemplo.com

Historicamente, o WHOIS vazava muita informação pessoal e organizacional útil. Hoje, por causa de leis de privacidade (a LGPD no Brasil, o GDPR na Europa) e de serviços de WHOIS privacy que mascaram os dados do titular, o retorno costuma ser mais enxuto — mas ainda revela dados valiosos: as datas (um domínio prestes a expirar pode indicar negligência), os servidores DNS (que apontam para o provedor de hospedagem) e, às vezes, e-mails e organizações que escaparam do mascaramento. É o primeiro cartão de visitas do alvo.

Enumerar registros DNS com o dig

O coração da aula é a enumeração de registros DNS, que revela a infraestrutura. Cada tipo de registro conta algo diferente, e a ferramenta dig (aula Protocolos em ação: handshake TCP, DNS e inspeção real) é sua lupa:

dig exemplo.com A          # o registro A: o IP do domínio (para onde ele aponta)
dig exemplo.com MX         # servidores de e-mail — insumo de phishing
dig exemplo.com NS         # servidores de nome — quem é autoridade sobre o domínio
dig exemplo.com TXT        # registros de texto: SPF, DKIM, verificações — vazam muito
dig exemplo.com ANY        # tenta pegar todos os tipos de uma vez

O que os registros TXT denunciam

Os registros TXT merecem atenção especial: eles frequentemente contêm configurações de e-mail (SPF, DKIM, DMARC) que revelam quais serviços a organização usa, e às vezes tokens de verificação de serviços de terceiros (nuvem, ferramentas de marketing) que denunciam a stack tecnológica. Cada registro é uma peça do mapa: o A diz onde o site vive, o MX diz por onde o e-mail entra, o NS diz quem controla o DNS, o TXT vaza o ecossistema.

Subdomínios: as portas esquecidas

Agora a frente mais fértil: a enumeração de subdomínios. Uma organização raramente tem só exemplo.com — tem mail.exemplo.com, vpn.exemplo.com, dev.exemplo.com, admin.exemplo.com, teste.exemplo.com, e assim por diante. Cada subdomínio é uma porta potencial, e os mais interessantes costumam ser os esquecidos: um dev. ou staging. ou old. frequentemente roda versões antigas, com menos proteção, mantidas fora do radar. Descobrir subdomínios amplia dramaticamente a superfície de ataque. Há duas abordagens. A passiva consulta fontes que já catalogaram subdomínios — em especial os logs de Certificate Transparency (registros públicos de todos os certificados TLS emitidos, que vazam subdomínios porque cada certificado nomeia o host que protege):

# consulta passiva a logs de transparência de certificados (via crt.sh)
curl -s "https://crt.sh/?q=%25.exemplo.com&output=json" | grep -oE '[a-zA-Z0-9._-]+\.exemplo\.com' | sort -u

A abordagem ativa tenta resolver uma lista enorme de nomes prováveis (força bruta de subdomínios com uma wordlist), o que envia consultas e é levemente mais detectável. Ferramentas como subfinder, amass e dnsenum combinam as duas estratégias e são o padrão do dia a dia:

subfinder -d exemplo.com          # enumeração passiva de subdomínios (rápida, discreta)
amass enum -d exemplo.com         # enumeração abrangente (passiva + ativa)

Transferência de zona: o mapa de bandeja

Um detalhe histórico que ainda aparece: a transferência de zona DNS (AXFR). Em servidores DNS mal configurados, é possível pedir uma cópia inteira da zona — todos os registros de uma vez, o mapa completo servido de bandeja. É uma falha de configuração clássica (dig axfr @servidor exemplo.com) que hoje é rara, mas quando funciona, entrega tudo. Encontrá-la é um achado imediato de relatório, tanto pela informação exposta quanto pela configuração negligente que denuncia.

Gerenciar a exposição e aposentar o esquecido

Do lado defensivo, a contramedida é gerenciar a exposição de DNS com cuidado: usar WHOIS privacy, não deixar informação desnecessária em registros TXT, desabilitar transferências de zona para servidores não autorizados, e — crucialmente — inventariar e proteger todos os subdomínios, aposentando os esquecidos. Muitos comprometimentos começam justamente por um subdomínio abandonado que ninguém lembrava que existia (o que se conecta ao problema de subdomain takeover, quando um subdomínio aponta para um serviço desativado que o atacante pode reivindicar). Fazer a própria enumeração de subdomínios é, de novo, defesa: você não protege o que não sabe que tem.

Fontes e leituras recomendadas

  • crt.sh e Certificate Transparency logs — fonte passiva rica de subdomínios
  • subfinder, amass, dnsenum — documentação oficial das ferramentas
  • OSINT Techniques — Michael Bazzell (seções de domínio e DNS)
  • HackTricks — seção de DNS e subdomain enumeration

Exercícios

  1. Que tipos de informação o WHOIS revela, e por que seu retorno costuma ser mais enxuto hoje do que no passado?

    ✓ Resposta:

    Revela dados do titular do domínio (nome, organização, e-mail, telefone), datas de registro/expiração e servidores DNS. É mais enxuto hoje por causa de leis de privacidade (LGPD, GDPR) e de serviços de WHOIS privacy que mascaram os dados do titular.

  2. Associe cada registro DNS ao que ele revela: A, MX, NS, TXT.

    ✓ Resposta:

    A → o IP para onde o domínio aponta; MX → servidores de e-mail; NS → servidores de nome (autoridade sobre o domínio); TXT → registros de texto (SPF/DKIM, tokens de verificação) que vazam serviços e stack.

  3. Por que subdomínios esquecidos (como dev. ou old.) são especialmente interessantes para um atacante?

    ✓ Resposta:

    Porque costumam ser mantidos fora do radar, rodando versões antigas com menos proteção e menos monitoramento, oferecendo um caminho de entrada mais fácil do que o domínio principal, bem protegido.

  4. Explique a diferença entre enumeração passiva de subdomínios (via Certificate Transparency) e ativa (força bruta), em termos de detecção.

    ✓ Resposta:

    A passiva consulta fontes que já catalogaram subdomínios (como logs de Certificate Transparency), sem enviar consultas ao alvo, sendo discreta. A ativa tenta resolver muitos nomes por força bruta, enviando consultas DNS, o que é levemente mais detectável.

  5. O que é uma transferência de zona (AXFR), por que é um achado de relatório, e qual a contramedida?

    ✓ Resposta:

    É a solicitação de uma cópia inteira da zona DNS (todos os registros) a um servidor mal configurado. É achado de relatório por expor todo o mapa da infraestrutura e denunciar configuração negligente. A contramedida é restringir transferências de zona apenas a servidores autorizados.