Avvelenamento da cache DNS e snooping

Question

Avvelenamento da cache DNS e snooping

#1 da (2 voti)

0

Sto provando a fare due cose qui. Il primo è avvelenare la cache di un server DNS di destinazione. Una scansione ha suggerito che la rete che sto attaccando sia vulnerabile a CVE-1999-0024. La mia comprensione di questa vulnerabilità è che mi permette di "dire" al server DNS sulla rete di destinazione che: myevilsite1.com = 1.2.3.4 e che di conseguenza tutti i client che richiedono internamente il sito myevilsite1.com dal lato interno di il server DNS riceverà qualsiasi IP che indichi al server DNS di memorizzare nella cache. Non capisco esattamente come funzioni questo attacco e mi piacerebbe anche testarlo (e validarlo se di seguito è un test adatto). Qualcuno potrebbe spiegare come posso condurre un attacco del genere?

Il secondo è confermare che ha funzionato usando lo snooping della cache del server DNS: Per fare questo sto usando il seguente comando in nmap (voglio solo controllare che questo sia un modo valido per testare):

nmap -sU -p 53 --script dns-cache-snoop.nse --script-args 'dns-cache-snoop.mode=timed,dns-cache-snoop.domains={myevilsite1.com,google.com,bing.com}' 1.2.3.4

Spero che qualcuno possa aiutarti! Grazie!

dns

posta NULLZ 27.02.2013 - 00:52

fonte

1 risposta

Leggi altre domande sui tag dns

come funziona la minaccia di tracciamento dei cookie? Monitora il traffico

score 2 · Accepted Answer

Il plug-in di nmap che stai usando solo per testare lo snooping, puoi vedere se un utente (usando questo server DNS) ha eseguito una richiesta DNS.

Questo è testato, usando nmap, in 2 possibili scnearios:

Temporizzato : misurerà la differenza di tempo tra una richiesta memorizzata nella cache (più veloce), rispetto a una normale richiesta DNS (più lenta). In questo modo, sa se il dominio è stato memorizzato nella cache e quindi "visitato" prima.
Ricorsivo : se il tuo DNS lo supporta, una richiesta DNS con il flag RD impostato su 0 verrà soddisfatta solo se il dominio è memorizzato nella cache del tuo server DNS (e quindi visitato prima).

Il test migliore è quello di testare i domini probabilmente usati dal dominio di destinazione. Nmap cerca di default i primi 50 domini più popolari, quindi potrebbe essere una buona scommessa.

Da un punto di vista del comando, la pagina della mappa dice che l'attacco a tempo può funzionare solo una volta in modo affidabile, poiché inserisce i dati nella cache DNS. Direi di provare con le impostazioni predefinite

nmap -sU -p 53 --script dns-cache-snoop.nse --script-args 'dns-cache-snoop.mode=nonrecursive' 1.2.3.4

Spero che questo aiuti!