利用断链劫持漏洞（Exploiting Broken Link Hijacking）
适用场景
- 审计 Web 应用程序中对过期或未申领外部资源的引用时
- 对第三方脚本和资源依赖项进行供应链安全评估期间
- 通过悬空 CNAME 记录测试子域名接管机会时
- 在漏洞奖励（bug bounty hunting）计划中寻找断链劫持漏洞时
- 评估生产应用程序中外部资源依赖的安全性时
前置条件
- 用于发现所有外部链接的 Web 爬虫（Burp Suite Spider、Scrapy）
- 用于检查 CNAME 记录和域名可用性的 DNS 查询工具
- 用于申领过期域名的域名注册商访问权限（作为概念验证）
- 了解 CDN 和云服务供应（S3、Azure Blob、GitHub Pages）
- blc（broken-link-checker）或类似工具用于自动链接验证
- 了解容易受到子域名接管攻击的服务（can-i-take-over-xyz）
工作流程
步骤 1：爬取并提取所有外部引用
# 使用 broken-link-checker 发现失效链接
npx broken-link-checker http://target.com --recursive --ordered \
--exclude-internal --filter-level 3 -o broken_links.txt
# 从页面源码提取所有外部链接
curl -s http://target.com | grep -oP 'https?://[^"'"'"'\s>]+' | sort -u > all_links.txt
# 提取 JavaScript 源文件
curl -s http://target.com | grep -oP 'src="[^"]*"' | grep -v target.com > external_scripts.txt
# 提取 CSS 引用
curl -s http://target.com | grep -oP 'href="[^"]*\.css"' | grep -v target.com > external_css.txt
# 使用 Wayback Machine 获取历史外部引用
curl -s "https://web.archive.org/web/timemap/link/http://target.com" | \
grep -oP 'https?://[^>]+' | sort -u > historical_links.txt
# 使用 Burp Suite 爬取
# 配置 Spider 范围包含 target.com
# 查看 Site Map > 按"External"过滤以列出所有外部引用
步骤 2：识别失效或可申领的资源
# 检查外部域名是否已注册
for domain in $(cat external_domains.txt); do
whois $domain 2>/dev/null | grep -qi "no match\|not found\|available" && \
echo "[可申领] $domain"
done
# 检查外部链接的 HTTP 状态
while read url; do
status=$(curl -o /dev/null -s -w "%{http_code}" "$url" --max-time 5)
if [ "$status" = "000" ] || [ "$status" = "404" ]; then
echo "[失效] $url (状态: $status)"
fi
done < all_links.txt
# 检查悬空 CNAME 记录
for sub in $(cat subdomains.txt); do
cname=$(dig +short CNAME $sub)
if [ -n "$cname" ]; then
resolved=$(dig +short $cname)
if [ -z "$resolved" ]; then
echo "[悬空] $sub -> $cname (未解析)"
fi
fi
done
# 检查云资源可用性
# AWS S3 存储桶
aws s3 ls s3://target-assets 2>&1 | grep -q "NoSuchBucket" && echo "[可申领] S3: target-assets"
步骤 3：检查特定服务的接管可能性
# 检查 GitHub Pages 接管
# 如果 CNAME 指向 <user>.github.io 且返回 404
curl -s https://subdomain.target.com | grep -q "There isn't a GitHub Pages site here"
# 检查 AWS S3 接管
curl -s http://subdomain.target.com | grep -q "NoSuchBucket"
# 检查 Azure Blob Storage
curl -s http://subdomain.target.com | grep -q "The specified container does not exist"
# 检查 Heroku
curl -s http://subdomain.target.com | grep -q "No such app"
# 检查 Shopify
curl -s http://subdomain.target.com | grep -q "Sorry, this shop is currently unavailable"
# 使用 subjack 进行自动化接管检测
subjack -w subdomains.txt -c fingerprints.json -t 100 -o takeover_candidates.txt
# 使用 nuclei 接管模板
subfinder -d target.com -silent | nuclei -t http/takeovers/ -o takeovers.txt
步骤 4：验证外部脚本劫持
# 检查外部 JavaScript 域名是否可注册
curl -s http://target.com | grep -oP 'src="https?://([^/"]+)' | \
cut -d'/' -f3 | sort -u | while read domain; do
whois "$domain" 2>/dev/null | grep -qi "no match\|available" && \
echo "[可劫持脚本] $domain 被 target.com 加载"
done
# 检查 npm/CDN 包引用
curl -s http://target.com | grep -oP 'unpkg\.com/[^@/]+' | sort -u
curl -s http://target.com | grep -oP 'cdn\.jsdelivr\.net/npm/[^@/]+' | sort -u
# 验证引用的包是否仍然存在
# 检查 npm 注册表中已废弃或已删除的包
步骤 5：利用断链（仅授权测试）
# 对于过期域名：注册该域名
# 对于 S3 存储桶：在同一区域创建同名存储桶
aws s3 mb s3://target-expired-bucket --region us-east-1
# 对于 GitHub Pages：创建匹配名称的仓库
# 创建带有概念验证内容的 <org>.github.io 仓库
# 对于未申领的社交媒体：申领该账号
# 用良性概念验证内容记录接管过程
# 提供概念验证内容
echo "<html><body><h1>断链劫持 PoC - [您的名字]</h1></body></html>" > index.html
# 上传到已申领的资源
步骤 6：评估影响并报告
# 根据资源类型确定影响：
# - 外部 JavaScript：对所有加载该脚本的页面实施完整 XSS
# - 外部 CSS：UI 篡改，通过 CSS 注入进行数据外泄
# - 外部图片/资源：钓鱼、追踪
# - CNAME 子域名：Cookie 窃取、钓鱼、OAuth 绕过
# 检查被劫持资源是否为父域名提供 Cookie
# 检查被劫持子域名是否在 OAuth 重定向白名单中
# 验证被劫持域名是否接收敏感 Referer 头
核心概念
| 概念 |
定义 |
| 断链劫持（Broken Link Hijacking） |
申领目标网站引用的外部资源的控制权 |
| 悬空 CNAME（Dangling CNAME） |
指向未申领或已停用服务的 DNS CNAME 记录 |
| 子域名接管（Subdomain Takeover） |
通过供应 CNAME 指向的服务来申领子域名 |
| 外部脚本劫持（External Script Hijacking） |
注册目标加载的 JavaScript 所在的过期域名 |
| 供应链攻击（Supply Chain Attack） |
通过入侵外部依赖项来注入恶意内容 |
| 失效链接（Dead Link） |
返回 404 或 DNS 解析失败的 URL 引用 |
| 资源指纹识别（Resource Fingerprinting） |
通过错误消息和响应头识别特定云服务 |
工具与系统
| 工具 |
用途 |
| broken-link-checker |
通过 Web 爬取自动发现断链 |
| subjack |
子域名接管检测工具 |
| nuclei |
基于模板的接管检测扫描器 |
| can-i-take-over-xyz |
容易受到接管攻击的服务的社区数据库 |
| BadDNS |
用于检测域名/子域名接管的 DNS 审计工具 |
| Wayback Machine |
用于发现过去外部引用的历史 URL 分析 |
常见场景
- JavaScript 供应链 — 注册目标加载的 JavaScript 所在的过期域名；注入影响所有访客的恶意代码
- S3 存储桶接管 — 申领目标引用的已删除 AWS S3 存储桶；提供恶意内容或窃取上传的数据
- GitHub Pages 劫持 — 创建匹配悬空 CNAME 的 GitHub Pages 仓库，在目标子域名上提供钓鱼页面
- 社交媒体冒充 — 申领目标网站链接的未申领社交媒体账号进行品牌冒充
- CDN 包劫持 — 申领通过 CDN URL 引用的已废弃 npm 包以注入恶意 JavaScript
输出格式
## 断链劫持报告
- **目标**: http://target.com
- **外部链接总数**: 145
- **失效链接**: 12
- **可劫持资源**: 3
### 发现
| # | 资源 | 类型 | 状态 | 影响 |
|---|----------|------|--------|--------|
| 1 | analytics.expired-domain.com | JavaScript | 域名可注册 | 完整 XSS |
| 2 | assets.target.com -> S3 存储桶 | 静态资源 | 存储桶已删除 | 内容注入 |
| 3 | blog.target.com -> GitHub Pages | 子域名 | 无 GitHub 仓库 | 子域名接管 |
### 修复建议
- 删除对已停用外部资源的引用
- 删除未使用子域名的悬空 CNAME 记录
- 为外部脚本实施子资源完整性（SRI）
- 定期审计外部依赖项的可用性
- 使用 Content Security Policy 限制允许的脚本来源
killvxk