Cheatsheet de DNS

Madurezreviewed

Última revisión29 jul 2026

Publicado28 de julio de 2026

Última actualización29 de julio de 2026

Sustituye DNS_SERVER, DOMAIN, NAME, TYPE y SUBDOMAIN_LIST. El workflow explica las respuestas. La página de automatización documenta cada herramienta.

Respuesta de referencia

dig @DNS_SERVER NAME TYPE
dig @DNS_SERVER NAME TYPE +norecurse
dig @DNS_SERVER NAME TYPE +tcp

Conserva flags, secciones, servidor, tiempo y código. +short sirve para pipelines, no como evidencia única.

dig @DNS_SERVER NAME TYPE \
  +timeout=2 +tries=2 \
  +comments +stats

El perfil permite distinguir una respuesta negativa de una ejecución que agotó dos intentos. Repetir por TCP conserva la pregunta y cambia el transporte. La automatización DNS desarrolla el diagnóstico.

Autoridad y delegación

dig @DNS_SERVER DOMAIN SOA +norecurse
dig @DNS_SERVER DOMAIN NS +norecurse
dig DOMAIN NS
dig +trace DOMAIN

+trace consulta la cadena desde la raíz y contacta servidores externos.

Registros útiles

dig @DNS_SERVER DOMAIN A
dig @DNS_SERVER DOMAIN AAAA
dig @DNS_SERVER DOMAIN MX
dig @DNS_SERVER DOMAIN TXT
dig @DNS_SERVER _service._tcp.DOMAIN SRV
dig @DNS_SERVER DOMAIN CAA
dig @DNS_SERVER -x TARGET_IP

Recursión y controles negativos

dig @DNS_SERVER example.net A +recurse
dig @DNS_SERVER random-label-001.DOMAIN A

Compara RA, código, answer y authority. Un wildcard necesita validación por contenido, no solo por dirección.

Transferencia de zona

dig @DNS_SERVER DOMAIN AXFR +tcp

Prueba cada servidor autoritativo. REFUSED, timeout y transferencia vacía son resultados distintos.

DNSSEC

dig @DNS_SERVER DOMAIN DNSKEY +dnssec
dig DOMAIN DS +dnssec
delv @DNS_SERVER NAME TYPE

delv valida la cadena. La presencia de RRSIG solo confirma que existe una firma.

DNSRecon y dnsenum

dnsrecon -d DOMAIN -n DNS_SERVER -t std \
  -j evidence/dns-standard.json

dnsrecon -d DOMAIN -n DNS_SERVER -t brt \
  -D SUBDOMAIN_LIST -f \
  -j evidence/dns-bruteforce.json

dnsenum --dnsserver DNS_SERVER \
  --file SUBDOMAIN_LIST DOMAIN

NSE dirigido

nmap --script-help 'dns-*'

sudo nmap -sU -sV -n -Pn -p 53 \
  --script dns-nsid,dns-recursion,dns-zone-transfer \
  --script-args dns-zone-transfer.domain=DOMAIN \
  DNS_SERVER

Repite dns-recursion con dig +recurse y AXFR con dig +tcp.

Evidencia mínima

timestamp | origin | server | transport | recursion
name | type | rcode | flags | answer | ttl
tool | version | command | artifact | interpretation

Referencias

BIND 9 manual pages