Offentlige IP DNS-rebinding: En annen grunn til ikke å bruke standard passord

DNS-rebinding dukket først opp for 15 år siden. Det var en smart penetrasjonsteknikk helt til nettlesere var fikset. Det ser ut til at det er en løsning for å fikse, og at gateway-enheter er målene.

-------------------------------------------------- -------------------------------------

Craig Heffner, senior sikkerhetsingeniør for Seismic LLC holdt foredrag på årets Black Hat-konferanse kalt How to Hack Millions of Routers. En ganske dramatisk tittel, men forskningen hans avdekket en utnyttbar svakhet.

Noe bakgrunn

Det nye angrepet utnytter flere konsepter som ikke er godt kjent. Med det i bakhodet ønsker jeg å gå gjennom prosessen litt mer detaljert.

DNS ble opprettet fordi det er lettere å huske ord (domenenavn), enn tall (IP-adresser). Du skriver inn et navn, og nettleseren ber den aktuelle DNS-serveren om IP-adressen. I IT-speak betyr det at det er en binding mellom domenenavnet og den tilknyttede IP-adressen.

Det som kanskje ikke er kjent, er at ofte ofte mer enn en IP-adresse er bundet til det samme domenenavnet. Dette for å lette belastningsbalansering eller redundans for nettsteder med kritiske krav til oppetid. Ved å bruke NS Lookup kan man se at Google har seks IP-adresser bundet til Google.com:

La oss se på hvordan angrepet fungerer.

Det opprinnelige angrepet

Det DNS-rebinding-angrepet krever at skurkene oppretter et ondsinnet nettsted. Eller mer lumskende, ondsinnede nettannonser som blir publisert på pålitelige nettsteder. New York Times ble for eksempel fanget opp i et slikt angrep.

La oss si at eksempel.com er et slikt nettsted for å hjelpe med å forklare. Offeret besøker eksempel.com, og får et skript eller en applet på klientsiden til å lastes ned til offerets nettleser. Når angriperens nettapplikasjon er forskrevet, ber han om å opprette en forbindelse med eksempel.com, atskilt fra nettleseren og skjult for offeret. DNS-serveren for eksempel.com returnerer deretter riktig IP-adresse for eksempel.com, sammen med den private IP-adressen til offerets datamaskin.

Når denne informasjonen er lagret, ber webappen om mer informasjon fra example.com. Når han vet hva som skjer, svarer angriperens server med det som kalles en TCP-tilbakestilling. Dette er ment å lure den antatt legitime webapplikasjonen (satt opp av skriptet) til å tro at den første IP-adressen som brukes for eksempel.com ikke fungerer. Så nettprogrammet sjekker sin DNS-cache og prøver den andre IP-adressen for domenenavnet example.com.

Her blir det interessant. Ved å bruke den andre pålitelige IP-adressen får den ondsinnede nettleser-applet tilgang til nettverksnivå til offerets datamaskin. Det betyr at angriperen kan etablere en økt med hvilken som helst webserver i det interne nettverket hvis webserveren private IP-adresse er kjent.

Gjett hva som bruker webservere - de fleste nettverksenheter og nettbaserte e-postservere. Alle slags ødeleggelser kan nå bli utbrudd av angriperen.

Løste du problemet?

Jeg nevnte tidligere at dette problemet var løst. Utviklere skjønte hva som skjedde og endret hvordan nettlesere håndterer DNS-svar. Hvis svaret inneholder en ikke-rutbar (RFC 1918) IP-adresse, slettes pakken. Denne endringen negerte angrepsvektoren, og den forsvant i årevis.

Det nye angrepet

Det er kjent at man får tilgang til konfigurasjonssider for nettverksenheter ved å angi enhetens interne IP-adresse i nettleseren. Vi vet nå også at forfalskede DNS-svar ved bruk av private IP-adresser blir droppet.

Så rutere og slikt er trygt nå, ikke sant? Vel, kanskje ikke. Av en eller annen grunn kan du oppgi den offentlige eller rutbare IP-adressen til gateway-enheter / rutere i nettleseren og få tilgang til konfigurasjonswebsiden. Husk at http-forespørselen kommer fra en datamaskin i det interne nettverket.

Dessuten fungerer denne tilnærmingen uansett om tilgang på offentlig side er deaktivert i porten. Jeg har en ActionTec-gateway på omkretsen min, og jeg fikk tilgang til konfigurasjonssidene ved å bruke den offentlige IP-en som vist nedenfor:

Mr. Heffner og personene på Seismic testet nøye de fleste gateway-rutere for bolig og har kommet med følgende liste over sikre og sårbare enheter eller tredjeparts firmware:

Hva dette betyr

Denne angrepsvektoren er urovekkende fordi den er subtil. I de fleste husholdninger gir gatewayenheten DHCP-informasjon til alle datamaskiner i det interne nettverket. I tillegg til å oppgi riktig IP-adresse for datamaskinen, publiserer DHCP også hvilke DNS-servere som skal brukes. Hvis angripere får tilgang til gateway-enheten, kan de endre DNS-serveroppføringene for å peke på deres ondsinnede DNS-servere, og det er ikke bra i det hele tatt.

Forebygging er enkelt

Dette angrepet krever å kjenne brukernavnet og passordet for å få tilgang til gateway-enhetens konfigurasjonswebsider. De skurkene håper standardinnstillingene fremdeles er i bruk. Så gjør det vanskelig for dem. Endre brukernavnet hvis mulig, og erstatt standardpassordet med et stygt og vanskelig å finne et. Det burde stoppe angriperne.

Et annet alternativ er å kreve at hvert nettsted ber om tillatelse til å laste inn noen form for skripting. Dette er enkelt å gjøre hvis du bruker Firefox nettleser. Få NoScript-tillegget. Faktisk la Giorgio Maone, NoScript-utvikleren til, en ny funksjon i den nyeste versjonen av NoScript. Funksjonen kalles Application Boundaries Enforcer, og en av standardreglene forhindrer angrepet av DNS.

Et siste forslag er å bruke respekterte DNS-servere og hardkode IP-adressene deres i nettverkskortets konfigurasjon. Jeg bruker OpenDNS. Hvis du gjør det, elimineres dette og mange andre DNS-relaterte utnyttelser.

Siste tanker

Mr. Heffners offentlige angrep på IP-tilbakeslag er farlig når den brukes vellykket. Heldigvis er det komplekst å trekke av og lett hindre. Alt vi trenger å gjøre er å få folk til å slutte å bruke standard påloggingsinformasjon. Spre ordet.

© Copyright 2021 | pepebotifarra.com