DNS(域名服务器)欺骗技术

admin 2021年4月2日20:35:50评论97 views字数 6343阅读21分8秒阅读模式

DNS(域名服务器)欺骗技术

[翻译]DNS(域名服务器)欺骗技术文章作者:Spacefox, Secure Sphere Crew
译文作者:Conan, OS3 (Open Source Software Society) / CICC Singapore(Center of International Cooperation for Computerization in Singapore)
信息来源:*八进制信息安全团队(www.eviloctal.com

概述:什么是DNS欺骗?
DNS欺骗是一门改变DNS原始指向IP的艺术。为了更好的理解,让我们先来看一个例子。如果你想用浏览器去google搜索一些信息,毫无疑问的你会在地址栏里输入 www.google.com的网址然后回车。

那么在这背后又有什么事情正在进行着呢?一般而言,你的浏览器将会向DNS服务器发送一个请求,从而要求得到与www.google.com相匹配的IP地址,DNS服务器则会告诉你的浏览器google的IP地址,接着你的浏览器会连接并显示主页内容。哦,等一下,你打开的网页说google因无钱支付网站费用而转让给CSite的消息。你可能会非常吃惊,并打电话告诉你的好朋友。当然你的朋友一定会笑你疯掉了,因为你的朋友是可以登陆google并进行搜索的。还确信正在和你通信的IP地址是友好的吗?说不定你已成圈中之羊。当你在浏览器地址里输入http:// 66.249.89.99并回车时,你又会发现,其实www.google.com还健在。

其实刚刚就是DNS劫持攻击时目击者可能看到的情形。 引用:

试想如果跳转的页面被无声无息地挂着马又会多糟糕

非常急切地相要知道着其中地玄机吧?是不是DNS服务器给了我们一个错误地IP地址?可能是吧。至少,这是我们脑中最符合逻辑地答案。
DNS(域名服务器)欺骗技术
事实上,有两种方法可以实现DNS劫持攻击。让我们来看看第一种,“DNS ID欺骗”技术。

A)DNS 高速缓冲存储器麻痹(DNS Cache Poisoning)
可以想象,DNS服务器不可能将所有现存的域名或IP地址存储在本身的存储空间里。这就是为什么DNS服务器有一个高速缓冲存储器(cache),它使得服务器可以存储DNS记录一一段时间。

事实上,一台DNS服务器只会记录本身所属域中的授权的主机,如果它想要知道其它的,在自身域以外主机的信息,就必须向信息持有者(另一台DNS服务器)发送请求,同时,为了不每次都发送请求,这台DNS服务器会将另一台DNS服务器返回的信息又记录下来。

那么现在,我们就来看看是怎么麻痹DNS的缓存的。

攻击者有自己的域(attacker.net)和一个已被攻陷的DNS服务器(ns.attacker.net)。注意!我说的是被攻陷的DNS服务器,因为攻击者已经自定义了他自己的DNS服务器的记录,比如,记录可以是www.google.com=81.81.81.81

1)攻击者向你的DNS服务器发送请求查询www.attacker.net
DNS(域名服务器)欺骗技术 DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术1.jpg (5 KB)
2007-4-4 15:59

2)你的DNS服务器不知道这台主机的IP地址,因为他不属于本身域,所有你的DNS服务器就会问此主机的所属域的DNS服务器。
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术2.jpg (5 KB)
2007-4-4 15:59

3)这时被黑DNS服务器就会回复你的DNS服务器,在此同时它也会给出它所有的记录(包括连接www.google.com的记录)
注意,这个过程叫做zone transfer.
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术3.jpg (7 KB)
2007-4-4 15:59

4)这是你的DNS服务器还没有被麻痹。攻击者得到了自己的IP地址,但是他的目标不是得到自己网络服务器的地址,而是逼迫zone transfer进行以使你的DNS服务器麻痹直到其缓存不会被清楚或更新。
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术4.jpg (6 KB)
2007-4-4 15:59

5)现在如果你再问你的DNS服务器关于www.google.com的IP地址,它会告诉你172.50.50.50,这也正是攻击者的服务器所在!现在,攻击者就能为所欲为,例如挂马什么的……当然这也对google造成了相当的损失!

B)DNS ID欺骗(DNS ID Spoofing)
我们可以看到,当主机X要与主机Y联系是需要近来的IP地址。然而在绝大多数情况下,X只有Y的名字,这样,DNS协议就是来解决名字到IP地址的问题的。

因此,X就会向它所在域的DNS服务器询问Y的IP地址。其间,主机X分配一个随即数,这个数也将会出现在从DNS服务器返回的信息里。当X收到回复后,X会对比两个数字,如果一致,则收到信息被视为有效。

那这样一个模型是否安全呢?并非十分安全。任何人都可以组织一次攻击来获得这个ID。举例说如果你用LAN,别人就可以利用嗅探器捕获你的请求ID,然后根据这个ID伪造一个回复信息……但是信息里含有攻击者所选的IP地址。然后,不加识别的,X会吧攻击者提供的IP地址当作Y的。

顺便提一句,DNS协议的提出请求是依赖于UDP的(只有在zone transfer时才用TCP),这也就意味着发送一个伪造的包是极其简单的,因为没有SYN/ACK号(不像TCP,UDP没有提供一个小型防IP欺骗的防护)
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术5.jpg (8 KB)
2007-4-4 15:59

DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术6.jpg (9 KB)
2007-4-4 15:59

但是,这样的攻击是被局限的。在我以上的例子中,攻击者用嗅探器拦获ID,回复构造过的包给受害主机。

换句话说,即使攻击者拦截了请求,数据包还是会传去DNS服务器,而DNS服务器也照样会回复(除非攻击者拦截并阻止对网关的请求或实施ARP缓存麻痹才可能在转换网络中攻击)。

这就意味着攻击者必须在真DNS服务器前回复,即为了攻击成功,攻击者必须和被攻击者同一个LAN,只有这样他才可以获得快速的ping并且捕获对方的数据包。

实践举例(仅作测试目的)

看怎么劫持我们本地网络连接:

1、麻痹被攻击者的ARP缓存(具体的工具和说明可以在http://www.arp-sk.org上找到)

2、此时,目标主机的出口数据包将会重定向到你的主机上,但是还必须转发给真正的网关。我们可以用类似Winroute Pro的工具来实现。

3、为了实施DNS ID欺骗我们用valgasu开发的工具WinDNSSpoof(在使用这个工具前请先安装Winpcap,见http://winpcap.polito.it

命令行下输入类似的命令:
wds -n www.google.com -i 123.123.123.123 -g 00-C0-26-DD-59-CF –v

这个命令会使目标主机的www.google.com指向123.123.123.123。

其中00-C0-26-DD-59-CF是网关或DNS服务器的MAC地址。

[blockquote]Tips: 在Windows NT内核下,查询远程IP的MAC地址可以在CMD里用nbtstat   -A xxx.xxx.xxx.xxx命令
[/blockquote]警告:记住!在未授权的情况下使用这些手段是被禁止的!

C)借助生日悖论的精确攻击

什么是“生日悖论”?

“生日悖论”得名于一个能产生奇怪现象的数学模型,即如果有23人在一起,那么很有可能其中的两人有相同的生日。其实要理解也不是那么困难。

假设现在你在一个派对问某人他的生日,那么他跟你不同生日的几率就是364/365=0.997,则相同的概率就是1-364/365=0.003。

现在,如果你再问另外一个人,他的生日不同于前一人且不同于你的概率就是(364/365)*(363/365)=0.992,所以我们至少可以推得我们中两人有相同生日的概率为1-0.992=0.008。

如果我们继续这样的推算,很快就能算得23人中有两人的生日相同的概率高达50%。我们可以通过以下的C代码看出概率是如何趋近于1的。 复制内容到剪贴板 代码:#define POSSIBILITIES 365.0
void main (void)
{
float chances;
int i, j;
for (i = 1; i
{
for (j = 1, chances = 1; j
   chances *= (float)((POSSIBILITIES - j) / POSSIBILITIES);
printf("For %d people, chances are %fn", i, 1-chances);
}
}
没法编译的朋友可以看下面的结果:

People 2 9 16 23 30 37 44 65 79
Chances 0.0027 0.0946 0.2836 0.5073 0.7063 0.8487 0.9329 0.9977 0.9999

没法编译的朋友可以看下面的结果:
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术Birthday_paradox.png (8 KB)
2007-4-4 15:59

生日悖论普遍的应用于检测哈希函数:N-位长度的哈希表可能发生碰撞测试次数不是2N次而是只有2N/2次。这一结论被应用到破解密码学散列函数的生日攻击中

生日问题所隐含的理论已经在[Schnabel 1938]名字叫做capture-recapture的统计试验得到应用,来估计湖里鱼的数量。

好,下面我们还是回到我的攻击测试上来,在上述的最为普遍的DNS欺骗攻击中,是在窃听(嗅探)网络以便得到来自X的ID号码,然后回复以相同的ID只是含有攻击者提供的IP。

就像我之前说的,这种攻击需要嗅探网络中的X生成的DNS数据。那这是不是意味着攻击者不能不用嗅探器实施攻击呢?

试着“猜猜”ID怎么样?

为什么不呢,但是ID号是用两字节构成的,这意味着有65535个可能的值!也就是说攻击者如果想要成功攻击的话,他要构造出65535个不同ID号的伪造回复,这样里面至少有且仅有一个包是可用的。

如果这样的攻击的话,我们需要相当好的带宽,而且最重要的是我们不知道何时发送伪造的回复。他就必须先知道对方有个请求,然后紧接着及时地(在真的来自DNS服务器的回复之前)发送回复。

让我们来从另一个角度看问题,我们知道是有可能性去直接麻痹DNS服务器的。回忆一下,攻击者是想DNS服务器询问解析www.attacker.net,多亏有从ns.attacker.net来的恶意记录zone transfer,攻击者才可以麻痹DNS服务器的高速缓存器。值得重提的是,这种攻击的局限在于攻击者必须在运行自己带有恶意记录的DNS服务器。

这样的分析之下,如果攻击者没有办法嗅探你的网络数据或者没有自己的服务器,是不是就是说你就远离DNS劫持技术了?

答案是,完全不是这样。

我之前提到过,DNS协议是用UDP回复,UDP是非连接状态的协议,是没有像TCP三次握手的过程的。所以,这也就使得可以非常容易地用你选的任意IP发送UDP包。所以为什么攻击者在可以从任意DNS服务器发送伪造包的情况下要辛辛苦苦地架设起自己地DNS服务器呢?他可以直接询问受害者的DNS服务器解析www.google.com,然后立即发送含伪造IP的包给www.google.com的域名服务器。

好,这样时间刚好,这样是可行的,所以问题就只有受害者的DNS服务器将要向ns.google.com发送一次请求来得到www.google.com的IP,同时有一个请求的ID号。所以又一次的,攻击者就必须发送65535个含ns.google.com的伪造包来做为受害者域名服务器的源地址。至少有一个包是吻合的。所以看来这个可能会成功。

下面就是最有趣的部分了……如果攻击者向受害者的DNS服务器发送了100份请求来解析www.google.com会发生什么呢?那么ns.victim.com也将会向ns.google.com发送100份请求,那然后如果我们发送100个从ns.google.com到ns.victim.com的伪造回复会怎样呢?如果你已经理解了刚刚提到的生日悖论原理,你就应该懂得相比之下冲撞(猜对)的概率已经有了可观的提高。
DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术7.jpg (6 KB)
2007-4-4 15:59

DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术DNS(域名服务器)欺骗技术8.jpg (7 KB)
2007-4-4 15:59

除此之外,还有个必须注意的小细节——源端口!

试想,ns.victim.com将要向ns.google.com发送请求,UDP头就应该像这样: 复制内容到剪贴板 代码:Source address : ns.victim.com
Destination address : ns.google.com
Source port : 1256 (choosed randomly and > 1024)
Destination port : 53 (DNS port)
Data : What is the IP of www.google.com?
很明显,攻击者必须ns.victim.com的源端口作为目标端口发送伪造的DNS回复,包的内容就像: 复制内容到剪贴板 代码:Source address : ns.google.com
Destination address : ns.victim.com
Source port : 53
Destination port : 1256
Data : The IP of www.google.com is 81.81.81.81
所以如果我们没有嗅探又要怎样猜测源端口呢?“不幸”的是,对大多数DNS服务器来说,源端口是不会为每个客户端而改变的,因此攻击者可以很简单地通过看ns.victim.com的目前源端口来得到。比方说,如果他有一个域名服务器,他只要请求DNS查找他的域的一个站名,得到的返回查询包就会包含现在在的被ns.victim.com用来发送DNS请求的源端口。
好,现在我知道如何得到源端口了,你可能会对攻击的成功率好奇。这也是我正要讲的。我们的C代码也有所改动: 复制内容到剪贴板 代码:#define POSSIBILITIES 65535.0
void main (void)
{
float chances;
int i, j;
for (i = 0; i
{
for (j = 1, chances = 1; j
   chances *= (float)((POSSIBILITIES - j) / POSSIBILITIES);
printf("For %d fake replies, chances are %fn", i, 1-chances);
}
}
结果如下:

Queries 50 100 150 200 250 300 350 400 500 550 650 750
Chances 0.0185 0.0728 0.1569 0.2621 0.3785 0.4961 0.6069 0.7048 0.8517 0.9008 0.9604 0.9865

我们可以看到,650个构造回复有0.960411的概率成功,近乎100%!
欲知更多详细信息,我建议阅读以下文章:
http://www.kb.cert.org/vuls/id/457875
http://www.securityfocus.com/guest/17905

D)总结

在这篇文章里,我用www.google.com做例子,并不是因为我真的对其的重定向攻击感兴趣。这个问题在你访问你的银行账户,在线购书网站甚至是网页电子邮件时尤为重要。

而对于网站管理者来说,可行的防范措施有:

    [li]对高速缓存器加以限制,保证不保留额外的记录。[/li]
    [li]不要用或依赖DNS构架安全体系。[/li]
    [li]使用SSL之类的加密技术,所以即使被攻击,难度也会加大(见Man in the Middle中的文章)
    [/li]

如有任何想法、评论或批评,欢迎电邮致:

[email protected]

Spacefox,
SecureSphereCrew,

[email protected]

Conan,
CBlog,

2007 April

文章来源于lcx.cc:DNS(域名服务器)欺骗技术

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年4月2日20:35:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   DNS(域名服务器)欺骗技术http://cn-sec.com/archives/317835.html

发表评论

匿名网友 填写信息