Subdomain Takeover
AltoSubdomain Takeover
Definición
Subdomain Takeover ocurre cuando un subdominio apunta (vía CNAME o A record) a un servicio externo que ya no está en uso o no ha sido reclamado. Un atacante puede registrar ese servicio externo y tomar control del subdominio, pudiendo servir contenido malicioso, robar cookies del dominio padre o realizar phishing convincente.
Impacto
Phishing sofisticado desde un subdominio legítimo de la organizaciónRobo de cookies del dominio padre (si no se usa el atributo Domain correctamente)Distribución de malware desde una URL aparentemente confiableDaño reputacional a la organizaciónBypass de políticas CSP si el subdominio está permitido
Ejemplos
Subdomain Takeover en GitHub Pages
El subdominio blog.victima.com tiene un CNAME apuntando a victima.github.io, pero la organización/repo en GitHub no existe. El atacante crea el repositorio y configura GitHub Pages para servir contenido bajo el subdominio de la víctima.
# 1. Encontrar subdominio con CNAME a GitHub Pages $ dig blog.victima.com CNAME blog.victima.com. CNAME victima.github.io. # 2. Verificar que el repositorio/organización no existe $ curl https://blog.victima.com # Respuesta: "There isn't a GitHub Pages site here." # 3. Crear el repositorio victima.github.io en tu cuenta de GitHub # 4. Añadir archivo CNAME con "blog.victima.com" # 5. Ahora controlas blog.victima.com