2k19 में DNS रिबॉन्डिंग, या पोर्न साइट पर जाकर वास्तव में कैसे पसीना आना चाहिए

सभी को नमस्कार! आज हम DNS विद्रोह नामक एक पुराने और लगभग भूल गए हमले के बारे में बात करना चाहते हैं। इसके बारे में पहली बात 2007 में वापस शुरू हुई, लेकिन तब व्यावहारिक सूचना सुरक्षा के क्षेत्र के विशेषज्ञों ने इस हमले के संचालन की ख़ासियत के साथ-साथ छोटे मूर्त परिणामों के संबंध में इस पर उचित ध्यान नहीं दिया, जैसा कि तब लग रहा था। आज हम उन्हें विपरीत रूप से समझाने की कोशिश करेंगे, और आप, विशेष रूप से, यह प्रदर्शित करके कि आधुनिक दुनिया में इस हमले को दूसरी हवा मिली है और अब यह इतना हानिरहित नहीं लगता है।

DNS विद्रोह क्या है?

निम्नलिखित योजना पर विचार करें:

हमारे पास स्थानीय नेटवर्क पर आईपी 192.168.0.2 के साथ एक पीड़ित का कंप्यूटर है, और इसमें आईपी पते 192.168.0.1 के साथ एक राउटर भी है। 13.37.13.37 और डोमेन नाम hacker.com (साथ ही, डोमेन के बारे में जानकारी रखने वाला हमारा स्वयं का DNS सर्वर आईपी-शनिक पर घूम रहा है) के साथ सर्वर का प्रबंधन करने वाले हमलावर का लक्ष्य स्थानीय नेटवर्क पर राउटर तक पहुंच प्राप्त करना है।

DNS रिबॉन्डिंग तकनीक का उपयोग करने के लिए, हमें पीड़ित को हमारी दुर्भावनापूर्ण साइट पर लुभाने की आवश्यकता है। मान लीजिए हम सफल हुए।

आइए अब विस्तार से जांच करें कि हमला कैसे काम करता है।

सबसे पहले, ब्राउज़र DNS सर्वर को ए-रिकॉर्ड अनुरोध के साथ एक्सेस करता है:

DNS सर्वर की श्रृंखला हमारे सर्वर की ओर ले जाती है, जो बदले में, एक मानक प्रतिक्रिया देता है जिसमें दुर्भावनापूर्ण साइट का सही आईपी पता होता है, और इस मामले में हमें टीटीएल की भी आवश्यकता होती है, जो 59 इंगित करता है।

अगला, ब्राउज़र प्राप्त आईपी के लिए एक मानक HTTP अनुरोध करता है।

अगले चरण में, सर्वर HTML पेज के साथ जावास्क्रिप्ट कोड के साथ प्रतिक्रिया करता है जो हमारे स्वयं के डोमेन तक पहुंचता है।

अब, जब तक टीटीएल समाप्त नहीं हो जाता है और उपयोगकर्ता साइट पर है, तब तक ऊपर दी गई जावास्क्रिप्ट को निष्पादित किया जाएगा। TTL खत्म होने के बाद, ब्राउज़र फिर से A-record का अनुरोध करेगा।

इस समय, हमारी जावास्क्रिप्ट चलना जारी है, और DNS सर्वर जो हम प्रबंधित करते हैं, वह ए रिकॉर्ड के साथ स्थानीय नेटवर्क से आईपी पते के साथ जवाब देगा, जहां हमलावर पहुंचना चाहता है।

चूंकि डोमेन, पोर्ट और प्रोटोकॉल अपरिवर्तित रहते हैं, एसओपी का उल्लंघन नहीं किया जाता है, और परिणामस्वरूप, ब्राउज़र pew.hacker.com डोमेन का उपयोग करता है, हालांकि, यह पहले से ही प्रतिष्ठित और अप्राप्य राउटर पर दस्तक देगा।

नतीजतन, हम शांति से राउटर से एक प्रतिक्रिया प्राप्त करते हैं और पहले से लोड किए गए जावास्क्रिप्ट कोड में संबंधित कार्यक्षमता को एम्बेड करके इसे खुद को रीडायरेक्ट करते हैं।

तो, चलो ऊपर संक्षेप:

• उपयोगकर्ता साइट पर जाता है, एक वास्तविक आईपी पता और एक छोटा टीटीएल प्राप्त करता है
• साइट पर रहते हुए, ब्राउज़र उसी डोमेन पर कॉल करता है जहां उपयोगकर्ता स्थित है। जैसे ही कैश समाप्त होता है, ब्राउज़र फिर से डोमेन आईपी का अनुरोध करता है।
• इसके अलावा, हमारा DNS सर्वर वास्तविक पते के बजाय, आंतरिक सेवा का आईपी पता (हमारे मामले में, राउटर) जारी करता है
• अनुरोध के बाद डोमेन से राउटर तक जाने के बाद, परिणाम हमें उपयोगकर्ता द्वारा पहले से लोड किए गए जावास्क्रिप्ट द्वारा भेजा जाता है।

हमने इसका पता लगाया! कई लोगों के पास एक उचित प्रश्न हो सकता है: "तो क्या?", क्योंकि ऑपरेशन के लिए आपको सेवाओं के आंतरिक आईपी पते को जानना होगा, उपयोगकर्ता को एक निश्चित समय के लिए रखना होगा, आदि।

हां, हालांकि, स्ट्रीमिंग सेवाओं, वीडियो होस्टिंग, अच्छी पुरानी पोर्न साइटों और अन्य प्लेटफार्मों के आगमन के साथ जहां लोग लंबे समय तक लटके रहते हैं, हमलावर के पास हमले को अंजाम देने के लिए पर्याप्त समय होगा। पतों के लिए, वे अक्सर मानक या आसानी से अनुमानित हैं।

लेकिन यह सब सिद्धांत में है, लेकिन व्यवहार में क्या है? हमने 2019 में 4 सबसे अधिक प्रासंगिक क्षेत्रों का चयन किया, जहां डीएनएस विद्रोही हमले से संबंधित घटनाएं थीं, ये हैं:

• IoT
• क्रिप्टो जेब
• डेस्कटॉप अनुप्रयोग
• बादल

आइए प्रत्येक विषय को क्रम से देखें और पता करें कि क्या वास्तव में सब कुछ इतना हानिरहित है?

IOT

गूगल का घर

Google होम, Google का एक स्मार्ट सहायक है। इस उपकरण में एक एपीआई है (या अतीत में) जो डिवाइस को नियंत्रित करने के लिए किसी भी प्रमाणीकरण की आवश्यकता नहीं है। यह कई सुविधाएँ प्रदान करता है, जैसे:

• खेल सामग्री
• स्कैन
• रिबूट
• वाईफ़ाई नेटवर्क, आदि से कनेक्शन।

नमूना हमला परिदृश्य: एक हमलावर निकटतम वाईफ़ाई बिंदुओं के निर्देशांक प्राप्त करके एक उपयोगकर्ता का नामकरण कर सकता है। जाहिर है, कोई भी वीपीएन आपको बचा नहीं सकता है।

सोनोस वाईफाई स्पीकर

सोनोस के ये कॉलम UPnP स्थानीय नेटवर्क पर एक वेब सर्वर बढ़ाते हैं, जो कई दिलचस्प पृष्ठों तक पहुँच प्रदान करता है:

• 192.168.1.76:1400/support/review - कुछ यूनिक्स कमांड के आउटपुट को स्पिट करता है
• 192.168.1.76:1400/tools - आपको कुछ यूनिक्स कमांड चलाने की अनुमति देता है

इस मामले में, हमलावर आंतरिक नेटवर्क के टोपोलॉजी को स्कैन करने के लिए ट्रेसरूट कमांड को निष्पादित करने की क्षमता रखता है।

रेडियो थर्मोस्टेट CT50

यह हमारे पसंदीदा मामलों में से एक है। इस थर्मोस्टेट मॉडल में बिना किसी प्राधिकरण के एक एपीआई भी है और यह आपको बदलने की अनुमति देता है:

• जलवायु मोड
• तापमान
• बैकलाइट मोड और अन्य सेटिंग्स

नतीजतन, एक हमलावर अपने शिकार को बहुत पसीना दे सकता है, लेकिन गंभीरता से बोलना, थर्मोस्टैट पर ऐसा हमला, उदाहरण के लिए, एक चिकित्सा सुविधा में बल्कि अप्रिय परिणाम हो सकते हैं।

रोकू टी.वी.

Roku टीवी में अभी भी एक ही बीमारी है - प्रमाणीकरण के बिना एक एपीआई।

एपीआई आपको इसकी अनुमति देता है:

• विभिन्न एप्लिकेशन चलाएं
• सामग्री खेलें
• सिस्टम पर खोज क्वेरी करें, आदि।

इस मामले में, उपयोगकर्ता को धमकी देने वाला अधिकतम संवेदनशील डेटा का रिसाव है, जो अप्रिय भी है।

कोई भी वाईफ़ाई राउटर

लगभग सभी के पास आज यह IoT डिवाइस है। यह कोई रहस्य नहीं है कि कई सामान्य उपयोगकर्ता अपने राउटर के व्यवस्थापक पैनल से मानक पासवर्ड नहीं बदलते हैं। DNS रिबंडिंग की मदद से, कुछ भी हमें मानक क्रेडेंशियल्स के साथ लॉगिन करने और व्यवस्थापक पैनल तक पहुंच प्राप्त करने की कोशिश करने से रोकता है। यदि स्थानीय IP नहीं मिल सकता है, तो WebRTC बचाव में आता है।

IoT सारांश

IoT के साथ काम करने पर DNS रिबॉन्डिंग द्वारा प्रदान की जाने वाली कुछ विशेषताओं पर हम प्रकाश डालते हैं:

• उपयोगकर्ता को पता लगाने की क्षमता
• स्थानीय नेटवर्क को स्कैन करने की क्षमता
• नकली उपयोगकर्ता
• कुछ भी, IoT डिवाइस की कार्यक्षमता पर निर्भर करता है

क्रिप्टो जेब

geth

अब बात करते हैं cryptocurrency wallets की। पहले मामले की जांच इथेरियम पर्स के लिए एक ग्राहक है जिसे गेथ कहा जाता है। यहां पंडोरा का बॉक्स JSON-RPC सेवा में है। आरंभ करने के लिए, आइए जानें कि यह क्या है। JSON-RPC JSON प्रारूप में एक दूरस्थ प्रक्रिया कॉल प्रोटोकॉल है। यह सब कुछ इस तरह दिखता है:

अधिकांश ग्राहक इस सेवा को लोकलहोस्ट पर चलाते हैं: 8545, और यह, बदले में, दिलचस्प कार्यों का एक सेट प्रदान करता है, जैसे कि eth_sendTransaction और इतने पर।

अब इसका एक उदाहरण है कि आप उपयोगकर्ता के ज्ञान के बिना और DNS रिबाइंडिंग हमले का उपयोग किए बिना उसका बैलेंस और वॉलेट पता कैसे प्राप्त कर सकते हैं:

EOSIO keosd वॉलेट

अगली पंक्ति में हमारे पास EOSIO-wallets के लिए एक क्लाइंट है। केओस्ड खुद लोकलहोस्ट पर शुरू होता है: 8900 और स्वचालित रूप से प्राधिकरण डेटा दर्ज करने के बाद 15 मिनट के लिए किसी भी आवेदन कार्यों पर हस्ताक्षर करता है। एपीआई में देरी होने पर, आप फिर से दिलचस्प कार्यक्षमता पा सकते हैं। स्पष्टता के लिए, नीचे दिखाए गए अनुरोध का उपयोग करके, आप उपयोगकर्ता की सार्वजनिक कुंजी प्राप्त कर सकते हैं:

क्रिप्टो जेब का सारांश:

• एक हमलावर उपयोगकर्ता के पैसे चुरा सकता है
• एक हमलावर विभिन्न उपयोगकर्ता सेटिंग्स को संशोधित कर सकता है
• उपयोगकर्ता को पता लगाने की क्षमता

डेस्कटॉप अनुप्रयोग

पारेषण ग्राहक

मैं प्रसारण अनुप्रयोगों से संबंधित घटनाओं के ब्लॉक को ट्रांसमिशन टोरेंट क्लाइंट में अपेक्षाकृत सनसनीखेज भेद्यता के साथ शुरू करना चाहूंगा।

यहाँ समस्या उसी JSON-RPC में है, जिसकी हमने थोड़ी अधिक जाँच की थी। इस मामले में, यह आपको उपयोगकर्ता सेटिंग्स बदलने की अनुमति देता है, उदाहरण के लिए, फ़ाइलों को डाउनलोड करने के लिए फ़ोल्डर बदलें:

एक तरफ, यह कुछ भी गंभीर नहीं लगता है, लेकिन यदि आप फ़ोल्डर के बजाय हमलावर द्वारा नियंत्रित smb शेयर निर्दिष्ट करते हैं (यदि ग्राहक विंडोज क्लाइंट का उपयोग करता है), तो आप उपयोगकर्ता हैश को इंटरसेप्ट कर सकते हैं, जिसका उपयोग भविष्य में किया जा सकता है।

uTorrent वेब क्लाइंट

इस कॉमरेड की अपनी शस्त्रागार में समान JSON-RPC सेवा है जो आपको उपयोगकर्ता कॉन्फ़िगरेशन फ़ाइलों को बदलने की अनुमति देती है, साथ ही साथ डाउनलोड फाइलें भी।

इस मामले में प्रमाणीकरण की आवश्यकता है, लेकिन क्रेडेंशियल http://localhost:19575/users.conf । इसका उपयोग कैसे किया जा सकता है?

सबसे पहले, निम्नलिखित अनुरोध करें:

टोकन प्राप्त करने के बाद, हम डाउनलोड फ़ोल्डर को उस फ़ोल्डर में बदलते हैं जहां सिस्टम शुरू होने पर चलने वाले प्रोग्राम स्थित होते हैं:

और अंत में, हम आवश्यक पेलोड डाउनलोड करने के लिए कमांड देते हैं:

परिणामस्वरूप, evil.exe अगले रिबूट के बाद लॉन्च किया जाएगा।

Minikube

मिनिक्यूब स्थानीय कंप्यूटर पर एक वर्चुअल मशीन में सिंगल-मोड कुबेरनेट क्लस्टर को कॉन्फ़िगर करने और चलाने के लिए एक कमांड-लाइन उपयोगिता है।

यह हमेशा 192.168.99.100 पर लटका रहता है, और वेब आधारित इंटरफ़ेस पोर्ट 3000 पर उपलब्ध है। नतीजतन, एक हमलावर के पास मुख्य सिस्टम के साथ एक साझा फ़ोल्डर के साथ एक दुर्भावनापूर्ण कंटेनर बनाने का अवसर है।

सबसे पहले, आपको csrf टोकन प्राप्त करने की आवश्यकता है।

अगला, आपको एक कंटेनर बनाने की आवश्यकता है, और इसके लिए निम्नलिखित अनुरोध भेजें:

देखते हैं वह क्या करता है। इसमें, हम इंगित करते हैं कि कंटेनर को शुरू करते समय हमें रिवर्स-शेल को अग्रेषित करने की आवश्यकता होती है, और मुख्य सिस्टम से उपयोगकर्ता फ़ोल्डर भी माउंट करते हैं:

रूबी ऑन रेल्स

रेल्स फ्रेमवर्क पर रूबी के लिए एक मणि है जो आपको रूबी कोड को सीधे ब्राउज़र में निष्पादित करने की अनुमति देता है।

आइए जानने की कोशिश करें कि हमें इसके लिए क्या चाहिए?

पहले हमें एक गैर-मौजूद पृष्ठ पर जाने की आवश्यकता है:

अगला, हम ब्राउज़र के माध्यम से कंसोल तक पहुंचने का प्रयास करते हैं:

खैर, आखिरकार, हम कैलकुलेटर एप्लिकेशन लॉन्च करने के लिए अनुरोध करते हैं (इस उदाहरण में, मैक ओएस एक्स के लिए वेक्टर):

बर्फ़ीला तूफ़ान डेस्कटॉप अनुप्रयोग

न केवल डेवलपर्स और नियमित उपयोगकर्ताओं को डीएनएस विद्रोह जैसे हमले की आशंका है, बल्कि गेमर्स भी। यहां हम फिर से 1120 पोर्ट पर लोकलहोस्ट पर इस केस में चिपके JSON-RPC सेवा समस्या का सामना करते हैं। सेवा अपडेट, सेटिंग्स और अन्य विभिन्न सर्विसिंग विकल्पों को बनाना संभव बनाती है।

इस मामले में, प्रमाणीकरण का समर्थन किया जाता है, लेकिन लोकलहोस्ट से अनुरोध करके इसे पारित करना मुश्किल नहीं है:

नतीजतन, आप कुछ समान हासिल कर सकते हैं:

अधिक विवरण यहां पाया जा सकता है ।

डेस्कटॉप अनुप्रयोग सारांश:

• एक हमलावर मुख्य प्रणाली पर आरसीई प्राप्त कर सकता है (वीएम एस्केप के बारे में भी मत भूलना)
• एक हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है, आदि।

बादल

खैर, और अंत में, सबसे दिलचस्प बात बनी हुई है - बादल। लब्बोलुआब यह है कि क्लाउड सेवाओं का उपयोग अक्सर सॉफ्टवेयर को होस्ट करने के लिए किया जाता है जो साइट पर आने वाले उपयोगकर्ताओं का विश्लेषण करता है। उदाहरण के लिए, रेफ़र हैडर से लिंक पर क्लिक करके एक बिना सिर वाले ब्राउज़र के साथ उस संसाधन का पता लगाना जिसमें से ग्राहक साइट पर गया था। इस हमले के वेक्टर का भी उपयोग किया जा सकता है, क्योंकि संक्षेप में एक हेडलेस ब्राउज़र एक ग्राफिकल इंटरफ़ेस के बिना एक पूर्ण वेब ब्राउज़र है, लेकिन डोम, जेएस और अन्य सभी के लिए समर्थन के साथ।

अपने मेढ़े पर लौटना, हम इस मामले में क्या कर सकते हैं? दरअसल, एक हमले के लिए, हमें पृष्ठ पर उपयोगकर्ता (इस मामले में, बॉट) में देरी करने की आवश्यकता है। खैर, इसके लिए हम उस पृष्ठ पर एक छवि का उपयोग कर सकते हैं जिसकी सामग्री-लंबाई एक से अधिक वास्तव में है। नतीजतन, बॉट सोचेंगे कि तस्वीर अभी तक अपलोड नहीं की गई है और हमारे पेज पर मौजूद रहेगी, और फिर हम अपनी मानक DNS रिबॉन्डिंग तकनीक का उपयोग करते हैं।

परिणामस्वरूप, चूंकि हम एक प्रॉक्सी से अनुरोध भेजेंगे, इसलिए हम बहुत सारी मजेदार चीजें कर सकते हैं। उदाहरण के लिए:

• आंतरिक नेटवर्क को स्कैन करें
• आंतरिक सेवाओं में प्रवेश करें (सैद्धांतिक रूप से)
• अन्य सेवाओं, आदि से प्राधिकरण डेटा चोरी।

चलो सीधे अमेज़न पर चलते हैं। AWS EC2 में इंस्टेंस मेटाडेटा सेवा जैसी विशेषताएं हैं। यह किसी भी EC2 इकाई को 169.254.169.254 पर स्थित REST API का उपयोग करने की अनुमति देता है, जो उदाहरण के बारे में जानकारी का खुलासा करता है।

उदाहरण के लिए, यहाँ विभिन्न बादलों के लिए समान सेवाओं की एक छोटी सूची है:

• AWS http://169.254.169.254/latest/user-data
• Google क्लाउड http://169.254.169.254/computeMetadata/v1/
• डिजिटल महासागर http://169.254.169.254/metadata/v1.json
• ओपनस्टैक / रैकस्पेस http://169.254.169.254/openstack
• Azure http://169.254.169.254/metadata/instance
• ओरेकल क्लाउड http://169.254.169.254/opc/v1/instance/

अब एक ऐसे मामले को देखते हैं जिसमें हम AWS में शामिल हैं।

सबसे पहले, बॉट एपीआई के लिए एक अनुरोध करते हैं:

जवाब में, हम गोपनीय जानकारी प्राप्त कर सकते हैं, उदाहरण के लिए, मशीन शुरू होने पर चलने वाली स्क्रिप्ट में क्रेडिट:

अगला, हम उस नोड का नाम निकाल सकते हैं जिसके साथ हम काम करना जारी रखेंगे:

अगला, हम पहले से ही ज्ञात नाम और - बिंगो द्वारा निम्नलिखित अपील करेंगे!

हमने विभिन्न उपयोगकर्ता जानकारी प्राप्त की, जैसे AccessKeyId, SecretAccessKey, टोकन, आदि।

इस डेटा को प्राप्त करने के बाद, हम इसे कंसोल क्लाइंट के माध्यम से प्राधिकरण के लिए उपयोग कर सकते हैं:

कुल परिणाम:

आइए DNS रिबॉन्डिंग अटैक का उपयोग करते समय उन सामान्य कमजोर बिंदुओं पर ध्यान दें, जिन पर हमने गौर किया:

• प्रमाणीकरण के बिना एपीआई
• प्रमाणीकरण के बिना स्थानीय सेवाएं
• अनुरोध करने के लिए होस्ट पैरामीटर को अनदेखा करना
• Https के बजाय http का उपयोग करना

इस प्रकार, व्यावहारिक सूचना सुरक्षा के क्षेत्र में विशेषज्ञों के विभिन्न तर्कों के बावजूद, इस प्रकार का एक हमला IoT, क्लाउड सेवाओं, क्रिप्टोकरेंसी और इसी तरह के युग में नए सिरे से पैदा होता है, भले ही हमलावर की तरफ से ग्राहक को देरी करने की आवश्यकता के बावजूद, क्योंकि ऑनलाइन सिनेमा की दुनिया में, वीडियो होस्टिंग और अन्य सेवाएं जो उपयोगकर्ता को सामग्री प्रदान करती हैं, ऐसा करना मुश्किल नहीं है। इसलिए, ऑनलाइन दुनिया में यात्रा करते समय सावधान रहें, जब एक और स्मार्ट सहायक खरीदते हैं, और जब विकासशील होते हैं, तो निश्चित रूप से।

सूत्रों का कहना है:

• https://medium.com/@brannondorsey/attacking-private-networks-from-the-internet-with-dns-rebinding-ea7098a2d325
• https://blog.hacker.af/how-your-ethereum-can-be-stolen-using-dns-rebinding
• https://medium.com/coinmonks/the-call-is-coming-from-inside-the-house-dns-rebinding-in-eosio-keosd-wallet-e11deae05974
• https://github.com/transmission/transmission/pull/468
• https://labs.mwrinfosecurity.com/advisories/minikube-rce/
• http://benmmurphy.imtqy.com/blog/2016/07/11/rails-webconsole-dns-rebinding/
• https://bugs.chromium.org/p/project-zero/issues/detail?id=1471&desc=3#maincol
• https://labs.mwrinfosecurity.com/blog/from-http-referer-to-aws-security-credentials/