# Exploiting Broken Link Hijacking

> 通过识别对过期域名、已停用云资源和失效外部服务的引用，发现并利用断链劫持（Broken Link Hijacking）漏洞，攻击者可申领这些资源。

- Skill: `killvxk/exploiting-broken-link-hijacking` (Agent Skill, multi-file: 4 files)
- Install (CLI): `npx skillmds@latest add killvxk/exploiting-broken-link-hijacking`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/exploiting-broken-link-hijacking/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/exploiting-broken-link-hijacking

---


# 利用断链劫持漏洞（Exploiting Broken Link Hijacking）

## 适用场景
- 审计 Web 应用程序中对过期或未申领外部资源的引用时
- 对第三方脚本和资源依赖项进行供应链安全评估期间
- 通过悬空 CNAME 记录测试子域名接管机会时
- 在漏洞奖励（bug bounty hunting）计划中寻找断链劫持漏洞时
- 评估生产应用程序中外部资源依赖的安全性时

## 前置条件
- 用于发现所有外部链接的 Web 爬虫（Burp Suite Spider、Scrapy）
- 用于检查 CNAME 记录和域名可用性的 DNS 查询工具
- 用于申领过期域名的域名注册商访问权限（作为概念验证）
- 了解 CDN 和云服务供应（S3、Azure Blob、GitHub Pages）
- blc（broken-link-checker）或类似工具用于自动链接验证
- 了解容易受到子域名接管攻击的服务（can-i-take-over-xyz）

## 工作流程

### 步骤 1：爬取并提取所有外部引用
```bash
# 使用 broken-link-checker 发现失效链接
npx broken-link-checker http://target.com --recursive --ordered \
  --exclude-internal --filter-level 3 -o broken_links.txt

# 从页面源码提取所有外部链接
curl -s http://target.com | grep -oP 'https?://[^"'"'"'\s>]+' | sort -u > all_links.txt

# 提取 JavaScript 源文件
curl -s http://target.com | grep -oP 'src="[^"]*"' | grep -v target.com > external_scripts.txt

# 提取 CSS 引用
curl -s http://target.com | grep -oP 'href="[^"]*\.css"' | grep -v target.com > external_css.txt

# 使用 Wayback Machine 获取历史外部引用
curl -s "https://web.archive.org/web/timemap/link/http://target.com" | \
  grep -oP 'https?://[^>]+' | sort -u > historical_links.txt

# 使用 Burp Suite 爬取
# 配置 Spider 范围包含 target.com
# 查看 Site Map > 按"External"过滤以列出所有外部引用
```

### 步骤 2：识别失效或可申领的资源
```bash
# 检查外部域名是否已注册
for domain in $(cat external_domains.txt); do
  whois $domain 2>/dev/null | grep -qi "no match\|not found\|available" && \
    echo "[可申领] $domain"
done

# 检查外部链接的 HTTP 状态
while read url; do
  status=$(curl -o /dev/null -s -w "%{http_code}" "$url" --max-time 5)
  if [ "$status" = "000" ] || [ "$status" = "404" ]; then
    echo "[失效] $url (状态: $status)"
  fi
done < all_links.txt

# 检查悬空 CNAME 记录
for sub in $(cat subdomains.txt); do
  cname=$(dig +short CNAME $sub)
  if [ -n "$cname" ]; then
    resolved=$(dig +short $cname)
    if [ -z "$resolved" ]; then
      echo "[悬空] $sub -> $cname (未解析)"
    fi
  fi
done

# 检查云资源可用性
# AWS S3 存储桶
aws s3 ls s3://target-assets 2>&1 | grep -q "NoSuchBucket" && echo "[可申领] S3: target-assets"
```

### 步骤 3：检查特定服务的接管可能性
```bash
# 检查 GitHub Pages 接管
# 如果 CNAME 指向 <user>.github.io 且返回 404
curl -s https://subdomain.target.com | grep -q "There isn't a GitHub Pages site here"

# 检查 AWS S3 接管
curl -s http://subdomain.target.com | grep -q "NoSuchBucket"

# 检查 Azure Blob Storage
curl -s http://subdomain.target.com | grep -q "The specified container does not exist"

# 检查 Heroku
curl -s http://subdomain.target.com | grep -q "No such app"

# 检查 Shopify
curl -s http://subdomain.target.com | grep -q "Sorry, this shop is currently unavailable"

# 使用 subjack 进行自动化接管检测
subjack -w subdomains.txt -c fingerprints.json -t 100 -o takeover_candidates.txt

# 使用 nuclei 接管模板
subfinder -d target.com -silent | nuclei -t http/takeovers/ -o takeovers.txt
```

### 步骤 4：验证外部脚本劫持
```bash
# 检查外部 JavaScript 域名是否可注册
curl -s http://target.com | grep -oP 'src="https?://([^/"]+)' | \
  cut -d'/' -f3 | sort -u | while read domain; do
    whois "$domain" 2>/dev/null | grep -qi "no match\|available" && \
      echo "[可劫持脚本] $domain 被 target.com 加载"
  done

# 检查 npm/CDN 包引用
curl -s http://target.com | grep -oP 'unpkg\.com/[^@/]+' | sort -u
curl -s http://target.com | grep -oP 'cdn\.jsdelivr\.net/npm/[^@/]+' | sort -u

# 验证引用的包是否仍然存在
# 检查 npm 注册表中已废弃或已删除的包
```

### 步骤 5：利用断链（仅授权测试）
```bash
# 对于过期域名：注册该域名
# 对于 S3 存储桶：在同一区域创建同名存储桶
aws s3 mb s3://target-expired-bucket --region us-east-1

# 对于 GitHub Pages：创建匹配名称的仓库
# 创建带有概念验证内容的 <org>.github.io 仓库

# 对于未申领的社交媒体：申领该账号
# 用良性概念验证内容记录接管过程

# 提供概念验证内容
echo "<html><body><h1>断链劫持 PoC - [您的名字]</h1></body></html>" > index.html
# 上传到已申领的资源
```

### 步骤 6：评估影响并报告
```bash
# 根据资源类型确定影响：
# - 外部 JavaScript：对所有加载该脚本的页面实施完整 XSS
# - 外部 CSS：UI 篡改，通过 CSS 注入进行数据外泄
# - 外部图片/资源：钓鱼、追踪
# - CNAME 子域名：Cookie 窃取、钓鱼、OAuth 绕过

# 检查被劫持资源是否为父域名提供 Cookie
# 检查被劫持子域名是否在 OAuth 重定向白名单中
# 验证被劫持域名是否接收敏感 Referer 头
```

## 核心概念

| 概念 | 定义 |
|---------|-------------|
| 断链劫持（Broken Link Hijacking） | 申领目标网站引用的外部资源的控制权 |
| 悬空 CNAME（Dangling CNAME） | 指向未申领或已停用服务的 DNS CNAME 记录 |
| 子域名接管（Subdomain Takeover） | 通过供应 CNAME 指向的服务来申领子域名 |
| 外部脚本劫持（External Script Hijacking） | 注册目标加载的 JavaScript 所在的过期域名 |
| 供应链攻击（Supply Chain Attack） | 通过入侵外部依赖项来注入恶意内容 |
| 失效链接（Dead Link） | 返回 404 或 DNS 解析失败的 URL 引用 |
| 资源指纹识别（Resource Fingerprinting） | 通过错误消息和响应头识别特定云服务 |

## 工具与系统

| 工具 | 用途 |
|------|---------|
| broken-link-checker | 通过 Web 爬取自动发现断链 |
| subjack | 子域名接管检测工具 |
| nuclei | 基于模板的接管检测扫描器 |
| can-i-take-over-xyz | 容易受到接管攻击的服务的社区数据库 |
| BadDNS | 用于检测域名/子域名接管的 DNS 审计工具 |
| Wayback Machine | 用于发现过去外部引用的历史 URL 分析 |

## 常见场景

1. **JavaScript 供应链** — 注册目标加载的 JavaScript 所在的过期域名；注入影响所有访客的恶意代码
2. **S3 存储桶接管** — 申领目标引用的已删除 AWS S3 存储桶；提供恶意内容或窃取上传的数据
3. **GitHub Pages 劫持** — 创建匹配悬空 CNAME 的 GitHub Pages 仓库，在目标子域名上提供钓鱼页面
4. **社交媒体冒充** — 申领目标网站链接的未申领社交媒体账号进行品牌冒充
5. **CDN 包劫持** — 申领通过 CDN URL 引用的已废弃 npm 包以注入恶意 JavaScript

## 输出格式

```
## 断链劫持报告
- **目标**: http://target.com
- **外部链接总数**: 145
- **失效链接**: 12
- **可劫持资源**: 3

### 发现
| # | 资源 | 类型 | 状态 | 影响 |
|---|----------|------|--------|--------|
| 1 | analytics.expired-domain.com | JavaScript | 域名可注册 | 完整 XSS |
| 2 | assets.target.com -> S3 存储桶 | 静态资源 | 存储桶已删除 | 内容注入 |
| 3 | blog.target.com -> GitHub Pages | 子域名 | 无 GitHub 仓库 | 子域名接管 |

### 修复建议
- 删除对已停用外部资源的引用
- 删除未使用子域名的悬空 CNAME 记录
- 为外部脚本实施子资源完整性（SRI）
- 定期审计外部依赖项的可用性
- 使用 Content Security Policy 限制允许的脚本来源
```