 描述
敌人服务内容的DNS服务器的IP地址是解决对手的控制。初始接触后通过web浏览器(或类似的客户端),敌人改变其名称解析的IP地址,地址在目标组织,不能公开访问。这允许web浏览器检查内部地址代表的对手。
扩展描述
Web浏览器执行安全区域基于DNS名称为了防止cross-zone披露的信息。因为相同的名称解析为这两个IP地址,浏览器将IP地址相同的安全区域,允许地址之间的信息流动。这允许敌人发现一个企业的内部网络敏感信息。如果有电脑之间的信任关系与目标浏览器和内部机器对手识别,额外的攻击是可能的。这种攻击与嫁接攻击的不同之处在于,对手是恶意的DNS服务器的合法所有者,所以不需要外部DNS服务的妥协行为。
攻击的可能性
典型的严重性
执行流程
探索
识别潜在的DNS重新绑定目标:敌人出版他们自己的服务器上的内容与自己的名字和DNS服务器。吸引HTTP流量和探索重新绑定在浏览器漏洞,旧版本的flash播放器。
| 技术 |
| 对手使用网络广告来吸引受害者访问对手的DNS。探索web浏览器或flash播放器的版本在HTTP请求。 |
实验
建立初始目标对对手DNS的访问:第一次目标访问对手的内容时,对手的名字必须解决一个IP地址。对手的DNS服务器执行这一决议,提供一个短的生存时间(TTL)为了防止目标缓存值。 重新绑定域名解析到目标地址:目标使对手的后续请求的内容和对手的DNS服务器必须再次查询,但这一次DNS服务器返回一个地址的内部目标的组织,不会从外部源访问。 确定DNS的可利用性重新绑定访问目标地址:对手可以使用脚本内容检索的目标从原始消息的敌人漏出的数据命名内部地址。
利用
访问和漏出的数据在受害者的安全区域:对手可以使用脚本内容检索的目标从原始消息的对手从内部漏出数据地址。这允许敌人发现一个企业的内部网络敏感信息。
| 技术 |
| 对手试图使用受害者的浏览器作为一个HTTP代理其他资源内部目标的安全地带。这使得两个IP地址放在相同的安全地带。 |
| 对手试图扫描并访问所有的受害者的本地网络内部主机发送多个短暂的IP地址。 |
先决条件
| 目标浏览器必须从敌人控制的DNS名称访问内容服务器。网络广告经常被用于此目的。目标浏览器必须遵守TTL值返回的敌人和对手re-resolve DNS名称后的首次接触。 |
技能要求
|
(级别:中等) 设置DNS服务器和对手的web服务器。写一个恶意脚本允许受害人连接到web服务器。 |
所需资源
| 敌人必须服务于一些受害者最初访问web内容。这些内容必须包括可执行内容,查询对手的DNS名称(提供第二个DNS解析),然后执行后续攻击的内部系统。敌人也需要一个定制的DNS服务器提供一个IP地址的DNS名称注册,但解决后续请求由一个内部客户的网络客户端地址。 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
完整性 |
修改数据 |
|
|
保密 |
读取数据 |
|
|
授权 |
执行未经授权的命令 |
|
|
问责制
身份验证
授权
不可抵赖性 |
获得特权 |
|
|
访问控制
授权 |
旁路保护机制 |
|
缓解措施
| 设计:IP将导致浏览器记录给定的名称解析的IP地址,并继续使用这个地址不管TTL设置DNS的回应。不幸的是,这是不符合一些合法网站的设计。 |
| 实现:拒绝与恶意主机HTTP请求头。 |
| 实现:使用DNS解析器,防止外部名称解决内部地址。 |
例子,实例
| 敌人会注册一个域名,与IP地址1.3.5.7如www.evil.com,代表它自己的DNS服务器(1.3.5.2),并使用HTTP流量钓鱼链接或电子邮件。而不是发送一个普通TTL记录,DNS服务器发送一个很短的TTL记录(例如,1秒),防止DNS响应缓存的条目(www.evil.com, 1.3.5.7)在受害者的浏览器(192.168.1.10)。对手的服务器首先对受害者与JavaScript等恶意脚本,包含服务器的IP地址(1.3.5.7)。对手使用XMLHttpRequest (XHR)直接发送HTTP请求或HTTPS请求到对手的服务器和负载响应。恶意脚本允许敌人重新绑定主机名的IP地址(192.168.1.2)的目标服务器在防火墙后面。然后服务器响应到对手的真正目标,这是一个内部主机IP(192.168.1.2)在同一个域的受害者(192.168.1.10)。因为相同的名称解析为这两个IP地址,浏览器将两个IP地址(1.3.5.7和192.168.1.2)在相同的安全区域,并允许地址之间的信息流动。此外,对手可以实现扫描和访问所有内部主机在受害者的本地网络(每个)通过发送多个短暂的IP地址。 |
引用
|
[ref - 119]科林杰克逊,亚当·巴斯,安德鲁·圆粒金刚石Weidong邵和丹Boneh。“保护浏览器从DNS重新绑定攻击”。ACM CCS 07年的诉讼。 |
|
|
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-05-01
(版本2.10) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Weaknesses |
| 2017-08-04
(版本2.11) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Attack_Phases、Attack_Prerequisites Attacker_Skills_or_Knowledge_Required、描述总结,Examples-Instances, Payload_Activation_Impact Resources_Required |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| Examples-Instances Attack_Phases更新,Attacker_Skills_or_Knowledge_Required、描述总结,有效载荷,Related_Attack_Patterns Solutions_and_Mitigations |
| 2019-04-04
(版本3.1) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新后的后果,Related_Attack_Patterns |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述 |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述,Extended_Description |
| 2022-09-29
(版本3.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
