http://kiev-security.org.ua

21. Dummy DNS for server

    Внедрение в сеть Internet ложного сервера путем создания нап-
равленного "шторма" ложных DNS - ответов на атакуемый DNS -  сер-
вер.  Из  схемы удаленного DNS-поиска следует,  что в том случае,
если указанное в запросе имя DNS-сервер не обнаружил в своей базе
имен,  то запрос отсылается сервером на один из корневых DNS-сер-
веров,  адреса которых содержатся в файле  настроек  сервера  ro-
ot.cache.  То есть, в том случае, если DNS-сервер не имеет сведе-
ний о запрашиваемом хосте,  то он пересылает запрос далее, а зна-
чит,   теперь  сам  DNS-сервер  является  инициатором  удаленного
DNS-поиска. Поэтому ничто не мешает атакующему, действуя методами
Dummy DNS for host,  направить свою атаку на DNS-сервер. То есть,
в качестве цели атаки теперь будет выступать не хост,  а DNS-сер-
вер  и  ложные  DNS-ответы  будут направляться атакующим от имени
корневого DNSсервера на атакуемый DNS-сервер. При этом важно учи-
тывать  следующую  особенность работы DNS-сервера.  Для ускорения
работы каждый DNS-сервер кэширует в области памяти  свою  таблицу
соответствия имен и IP-адресов хостов. В том числе в кэш заносит-
ся динамически изменяемая информация об именах и IP-адресах  хос-
тов,  найденных в процессе функционирования DNSсервера.  То есть,
если DNS-сервер,  получив запрос,  не находит у себя в кэштаблице
соответствующей  записи,  он пересылает ответ на следующий сервер
и,  получив ответ, заносит найденные сведения в кэш-таблицу в па-
мять. Таким образом, при получении следующего запроса DNS-серверу
уже не требуется вести удаленный поиск,  так как необходимые све-
дения  уже  находятся у него в кэш-таблице.  Из анализа описанной
схемы удаленного DNS-поиска становится очевидно,  что в том  слу-
чае,  если  в  ответ  на запрос от DNS-сервера атакующий направит
ложный DNS-ответ (или в случае "шторма" ложных ответов будет вес-
ти их постоянную передачу), то в кэш-таблице сервера появится со-
ответствующая запись с ложными сведениями и,  в  дальнейшем,  все
хосты, обратившиеся к данному DNS-серверу, будут дезинформированы
и при обращении к хосту, маршрут к которому атакующий решил изме-
нить, связь с ним будет осуществляться через хост атакующего. И с
течением времени эта ложная информация, попавшая в кэш DNS-серве-
ра,  будет  распространяться на соседние DNS-серверы высших уров-
ней,  а, следовательно, все больше хостов в Internet будут дезин-
формированы и атакованы.Очевидно,  что в том случае, если атакую-
щий не может перехватить DNS-запрос от DNS-сервера, то для реали-
зации атаки ему необходим "шторм" ложных DNS-ответов,  направлен-
ный на DNS-сервер.  При этом возникает следующая основная пробле-
ма,  отличная от проблемы подбора портов в случае атаки,  направ-
ленной на хост. Как уже отмечалось ранее DNS-сервер, посылая зап-
рос на другой DNS-сервер, идентифицирует этот запрос двухбайтовым
значением (ID).  Это значение увеличивается на единицу  с  каждым
передаваемым  запросом.  Узнать  атакующему  это текущее значение
идентификатора DNS-запроса не представляется возможным.  Поэтому,
ничего  кроме  перебора  216  возможных  значений  ID  предложить
что-либо достаточно сложно.  Зато исчезает проблема перебора пор-
тов,  так как все DNS-запросы передаются DNS-сервером на 53 порт.
Следующая проблема,  являющаяся условием осуществления этой  уда-
ленной  атаки  на  DNS-сервер  при  направленном  "шторме" ложных
DNSответов состоит в том,  что атака будет иметь успех,  только в
том случае,  если DNS-сервер пошлет запрос на поиск определенного
имени (которое содержится в ложном DNS-ответе).  DNS-сервер посы-
лает  этот  столь  необходимый и желанный для атакующего запрос в
том случае,  если на него прийдет DNS-запрос от какого-либо хоста
на  поиск  данного  имени и этого имени ни окажется в кэш-таблице
DNS-сервера.  В принципе этот запрос может прийти когда угодно  и
атакующему  может  быть  придется  ждать  результатов атаки сколь
угодно долго.  Однако ни что не мешает атакующему,  не  дожидаясь
никого,  самому послать на атакуемый DNS-сервер подобный DNS-зап-
рос и спровоцировать DNS-сервер на  поиск  указанного  в  запросе
имени.  Тогда  эта атака с большой вероятностью будет иметь успех
практически сразу же после начала ее осуществления.

Содержание

HOME