ما الاستيلاء على النطاقات الفرعية وكيف تمنعه

الاستيلاء على النطاق الفرعي ثغرة يستولي فيها المهاجم على مورد لدى جهة خارجية يشير إليه أحد نطاقاتك الفرعية — مما يتيح له استضافة محتوى تحت نطاقك. وهو أكثر شيوعًا مما تدركه معظم المؤسسات، ويفحصه mydomainrisk.com تلقائيًا في كل عملية فحص.

كيف يحدث الاستيلاء على النطاق الفرعي

عندما تُعدّ نطاقًا فرعيًا مثل app.yourdomain.com ليشير إلى خدمة خارجية (GitHub Pages وHeroku وNetlify وVercel وShopify وغيرها)، فإنك تنشئ سجل CNAME:

app.yourdomain.com  CNAME  yourapp.netlify.app

إذا حذفت لاحقًا المورد على Netlify لكنك نسيت إزالة سجل CNAME، يصبح النطاق الفرعي "معلّقًا" — أي يشير إلى اسم مضيف لا يملكه أحد. وعندئذٍ يستطيع المهاجم المطالبة بـyourapp.netlify.app على Netlify وتقديم أي محتوى يشاء تحت app.yourdomain.com — بما في ذلك صفحات التصيد، أو البرمجيات الخبيثة، أو محتوى مصمم لسرقة ملفات تعريف الارتباط المضبوطة على النطاق الجذر.

أي الخدمات معرّضة

يفحص mydomainrisk.com سجلات CNAME المعلّقة عبر ٢٥ خدمة، منها:

GitHub Pages وHeroku وNetlify وVercel وAzure App Service وAzure Blob Storage وShopify وFastly وPantheon وGhost وTumblr وZendesk وFreshdesk وHubSpot وIntercom وSurge.sh وBitbucket Pages وAmazon S3 وغيرها.

لكل خدمة رسالة خطأ معروفة تدل على أن المورد "غير مُطالَب به"، وتؤكد أنه متاح للاستيلاء.

كيف تعثر على النطاقات الفرعية المعرّضة في نطاقك

يقوم mydomainrisk.com تلقائيًا بما يلي:

1. يحصر نطاقاتك الفرعية عبر سجلات شفافية الشهادات
2. يتتبّع سلاسل CNAME لكل نطاق فرعي
3. يتحقق مما إذا كانت وجهة CNAME تطابق بصمة خدمة معروفة بأنها معرّضة
4. يجلب الوجهة عبر HTTP للتأكد من وجود رسالة الخطأ الدالة على أن المورد غير مُطالَب به
5. يُبلغ عن أي نطاقات فرعية تأكد أنها معرّضة، مع اسم الخدمة ووجهة CNAME

كيف تصلح ثغرة الاستيلاء على النطاق الفرعي

الخيار ١ (موصى به): احذف سجل CNAME المعلّق

إذا لم تعد تستخدم الخدمة التي يشير إليها النطاق الفرعي، فاحذف ببساطة سجل CNAME من DNS. وهذا يزيل سطح الهجوم كليًا.

الخيار 2: استعد المورد

إذا كنت لا تزال تحتاج إلى النطاق الفرعي، فأعد إنشاء المورد لدى الخدمة الخارجية (مثل إعادة نشر موقع Netlify، أو إعادة إنشاء تطبيق Heroku) لاستعادة اسم المضيف.

تحقق من الإصلاح

افحص نطاقك على mydomainrisk.com — سيُعاد إجراء فحص الاستيلاء على النطاقات الفرعية على نطاقاتك الفرعية الحالية المستخرجة من سجلات CT، ولن يُظهر أي نطاقات فرعية معرّضة إذا حُذف سجل CNAME أو استُعيد المورد.