HARD CORE SECURITY LAB

Ten przestarzały, bezpołączeniowy i pozbawiony odpowiednich mechanizmów autoryzacji protokół, może być wykorzystywany do szeregu niebezpiecznych ataków. Zapytania DNS zawierające fałszywy adres źródłowy (adres ofiary) mogą być wykorzystywane do przeprowadzania ataków typu DDOS. W takim przypadku ofiara zostaje zarzucona nie zamówionymi przez siebie odpowiedziami od serwerów DNS, co może doprowadzić do wyczerpania jej zasobów. DNS podatny jest również na ataki typu man in the middle, co pozwala na przysyłanie fałszywych odpowiedzi do komputera ofiary i w efekcie wymuszenie odwiedzenia sfałszowanej strony WWW, najczęściej w celu kradzieży haseł ofiary.

Znacznie rzadziej rozważa się jednak system DNS jako potencjalne źródło informacji dla intruza na etapie rekonesansu przeprowadzanego przed atakiem, a jak najbardziej DNS może być wykorzystywany również w ten sposób. Dzieje się tak, ponieważ system DNS, obok nazw mnemonicznych i adresów IP przechowuje szereg innych informacji o poszczególnych organizacjach.

Najprostszy przykład wydobywania informacji z systemu DNS stanowi skorzystanie z programu Nslookup. Dzięki tej dostępnej zarówno w systemach Windows, jak i Linux komendzie, możemy uzyskać między innymi następujące informacje:

• adres IP sprawdzanego serwera;
• nazwę serwera;
• aliasy serwera.

Techniki bazujące na wydobywaniu informacji z DNS jesteśmy w stanie wykonać nie tylko dla pojedynczego adresu IP, ale dla całych zakresów adresów lub całych organizacji. Możliwe jest to na przynajmniej kilka sposobów, spośród których najciekawsze to:

• transfer stref DNS (ang. DNS zone transfers);
• skorzystanie z dedykowanych serwisów internetowych, takich jak serversniff.net;
• Nmap –sL .

Jeszcze prostsze okazuje się skorzystanie z serwisu serversniff.net. Pośród wielu innych narzędzi, w sekcji Nameserver znajdziemy opcję NS-Report pozwalającą na wygenerowanie dla zadanej domeny niezwykle wyczerpującego raportu zawierającego wszelkie dostępne na jej temat informacje. Serwis jest w stanie odkryć serwery pocztowe związane z daną domeną (poprzez wpisy w rekordach typu MX), strukturę sieci pracującej w danej domenie (poprzez wpisy w rekordach typu NS oraz A), nazwy, aliasy, wersje serwerów DNS oraz możliwość nieautoryzowanych transferów stref DNS (i jeśli jest to możliwe dokonać transferu całej strefy). Jakby tego było mało, serwis jest w stanie dodatkowo wygenerować schemat struktury sieci oraz serwerów pocztowych dla danej domeny. Serwis ten potrafi również wykonać schemat strefy DNS, wystarczy w sekcji Nameserver wybrać opcję Subdomains i wpisać interesującą nas domenę. Obok wyników tekstowych, pojawi się również graficzne przedstawienie całej strefy DNS.

Warto również zwrócić uwagę na funkcję Hostnames on IP. Opcja ta pozwala na odnalezienie wszystkich serwisów pracujących pod zadanym adresem IP. Dla adresu 79.125.4.36 (maszyna hostująca serwis hakin9.org) zwracana jest długa lista innych serwisów pracujących (prawdopodobnie) na tej samej maszynie firmy hostingowej. Tego rodzaju informacja oczywiście również może być użyteczna dla crackerów. Załóżmy, że cracker chciałby uzyskać dostęp do jednego z tych 150 serwisów hostowanych na danej maszynie fizycznej. Jeśli włamywacz nie będzie w stanie odnaleźć żadnej luki umożliwiającej mu na dostęp do interesującego go serwisu, może wpaść na pomysł pośredniego dostania się do interesujących go zasobów. Wystarczy, że uda mu się odnaleźć w jednym z pozostałych serwisów lukę umożliwiającą dostęp do systemu operacyjnego samego serwera, tym samym uzyska dostęp do innych przechowywanych przez niego zasobów.

Widać więc wyraźnie, że serversniff.net to potężne narzędzie do zbierania zwiadowczych informacji o danej organizacji na podstawie informacji zawartych w bazach DNS, do tego łatwo dostępne i banalnie proste w obsłudze... jest to więc wymarzone narzędzie dla crackera, jak i dla administratorów bezpieczeństwa informatycznego.

Artykuł autorski HCSL - Wojciech Smol