[转帖]DNS（域名服务器）欺骗技术

文章作者：spacefox,  secure sphere crew
译文作者：conan, os3 (open source software society) / cicc singapore(center of international cooperation for computerization in singapore)
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

概述：什么是dns欺骗？
dns欺骗是一门改变dns原始指向ip的艺术。为了更好的理解，让我们先来看一个例子。如果你想用浏览器去google搜索一些信息，毫无疑问的你会在地址栏里输入 www.google.com的网址然后回车。

那么在这背后又有什么事情正在进行着呢？一般而言，你的浏览器将会向dns服务器发送一个请求，从而要求得到与www.google.com相匹配的ip地址，dns服务器则会告诉你的浏览器google的ip地址，接着你的浏览器会连接并显示主页内容。哦，等一下，你打开的网页说google因无钱支付网站费用而转让给csite的消息。你可能会非常吃惊，并打电话告诉你的好朋友。当然你的朋友一定会笑你疯掉了，因为你的朋友是可以登陆google并进行搜索的。还确信正在和你通信的ip地址是友好的吗？说不定你已成圈中之羊。当你在浏览器地址里输入http:// 66.249.89.99并回车时，你又会发现，其实www.google.com还健在。

其实刚刚就是dns劫持攻击时目击者可能看到的情形。

quote:
试想如果跳转的页面被无声无息地挂着马又会多糟糕

非常急切地相要知道着其中地玄机吧？是不是dns服务器给了我们一个错误地ip地址？可能是吧。至少，这是我们脑中最符合逻辑地答案。

事实上，有两种方法可以实现dns劫持攻击。让我们来看看第一种，“dns id欺骗”技术。

a)dns 高速缓冲存储器麻痹（dns cache poisoning）
可以想象，dns服务器不可能将所有现存的域名或ip地址存储在本身的存储空间里。这就是为什么dns服务器有一个高速缓冲存储器（cache），它使得服务器可以存储dns记录一一段时间。

事实上，一台dns服务器只会记录本身所属域中的授权的主机，如果它想要知道其它的，在自身域以外主机的信息，就必须向信息持有者（另一台dns服务器）发送请求，同时，为了不每次都发送请求，这台dns服务器会将另一台dns服务器返回的信息又记录下来。

那么现在，我们就来看看是怎么麻痹dns的缓存的。

攻击者有自己的域（attacker.net）和一个已被攻陷的dns服务器（ns.attacker.net）。注意！我说的是被攻陷的dns服务器，因为攻击者已经自定义了他自己的dns服务器的记录，比如，记录可以是www.google.com=81.81.81.81

1)攻击者向你的dns服务器发送请求查询www.attacker.net




2)你的dns服务器不知道这台主机的ip地址，因为他不属于本身域，所有你的dns服务器就会问此主机的所属域的dns服务器。



3)这时被黑dns服务器就会回复你的dns服务器，在此同时它也会给出它所有的记录（包括连接www.google.com的记录）
注意，这个过程叫做zone transfer.


4)这是你的dns服务器还没有被麻痹。攻击者得到了自己的ip地址，但是他的目标不是得到自己网络服务器的地址，而是逼迫zone transfer进行以使你的dns服务器麻痹直到其缓存不会被清楚或更新。



5)现在如果你再问你的dns服务器关于www.google.com的ip地址，它会告诉你172.50.50.50，这也正是攻击者的服务器所在！现在，攻击者就能为所欲为，例如挂马什么的……当然这也对google造成了相当的损失！

b)dns id欺骗（dns id spoofing）
我们可以看到，当主机x要与主机y联系是需要近来的ip地址。然而在绝大多数情况下，x只有y的名字，这样，dns协议就是来解决名字到ip地址的问题的。

因此，x就会向它所在域的dns服务器询问y的ip地址。其间，主机x分配一个随即数，这个数也将会出现在从dns服务器返回的信息里。当x收到回复后，x会对比两个数字，如果一致，则收到信息被视为有效。

那这样一个模型是否安全呢？并非十分安全。任何人都可以组织一次攻击来获得这个id。举例说如果你用lan，别人就可以利用嗅探器捕获你的请求id，然后根据这个id伪造一个回复信息……但是信息里含有攻击者所选的ip地址。然后，不加识别的，x会吧攻击者提供的ip地址当作y的。

顺便提一句，dns协议的提出请求是依赖于udp的（只有在zone transfer时才用tcp），这也就意味着发送一个伪造的包是极其简单的，因为没有syn/ack号（不像tcp，udp没有提供一个小型防ip欺骗的防护）






但是，这样的攻击是被局限的。在我以上的例子中，攻击者用嗅探器拦获id，回复构造过的包给受害主机。

换句话说，即使攻击者拦截了请求，数据包还是会传去dns服务器，而dns服务器也照样会回复（除非攻击者拦截并阻止对网关的请求或实施arp缓存麻痹才可能在转换网络中攻击）。

这就意味着攻击者必须在真dns服务器前回复，即为了攻击成功，攻击者必须和被攻击者同一个lan，只有这样他才可以获得快速的ping并且捕获对方的数据包。

实践举例（仅作测试目的）

看怎么劫持我们本地网络连接：

1、麻痹被攻击者的arp缓存（具体的工具和说明可以在http://www.arp-sk.org上找到）

2、此时，目标主机的出口数据包将会重定向到你的主机上，但是还必须转发给真正的网关。我们可以用类似winroute pro的工具来实现。

3、为了实施dns id欺骗我们用valgasu开发的工具windnsspoof（在使用这个工具前请先安装winpcap，见http://winpcap.polito.it）

命令行下输入类似的命令：
wds -n www.google.com -i 123.123.123.123 -g 00-c0-26-dd-59-cf –v

这个命令会使目标主机的www.google.com指向123.123.123.123。

其中00-c0-26-dd-59-cf是网关或dns服务器的mac地址。


tips: 在windows nt内核下，查询远程ip的mac地址可以在cmd里用nbtstat  -a xxx.xxx.xxx.xxx命令

警告：记住！在未授权的情况下使用这些手段是被禁止的！

c)借助生日悖论的精确攻击

什么是“生日悖论”？

“生日悖论”得名于一个能产生奇怪现象的数学模型，即如果有23人在一起，那么很有可能其中的两人有相同的生日。其实要理解也不是那么困难。

假设现在你在一个派对问某人他的生日，那么他跟你不同生日的几率就是364/365=0.997，则相同的概率就是1-364/365=0.003。

现在，如果你再问另外一个人，他的生日不同于前一人且不同于你的概率就是(364/365)*(363/365)=0.992，所以我们至少可以推得我们中两人有相同生日的概率为1-0.992=0.008。

如果我们继续这样的推算，很快就能算得23人中有两人的生日相同的概率高达50％。我们可以通过以下的c代码看出概率是如何趋近于1的。

copy code
#define possibilities 365.0
void main (void)
{
float chances;
int i, j;
for (i = 1; i < 100; i++)
{
  for (j = 1, chances = 1; j < i; j++)
    chances *= (float)((possibilities - j) / possibilities);
  printf("for %d people, chances are %f\n", i, 1-chances);
}
}


没法编译的朋友可以看下面的结果：
people
2
9
16
23
30
37
44
65
79

chances
0.0027
0.0946
0.2836
0.5073
0.7063
0.8487
0.9329
0.9977
0.9999



没法编译的朋友可以看下面的结果：


生日悖论普遍的应用于检测哈希函数:n-位长度的哈希表可能发生碰撞测试次数不是2n次而是只有2n/2次。这一结论被应用到破解密码学散列函数的生日攻击中

生日问题所隐含的理论已经在[schnabel 1938]名字叫做capture-recapture的统计试验得到应用，来估计湖里鱼的数量。

好，下面我们还是回到我的攻击测试上来，在上述的最为普遍的dns欺骗攻击中，是在窃听（嗅探）网络以便得到来自x的id号码，然后回复以相同的id只是含有攻击者提供的ip。

就像我之前说的，这种攻击需要嗅探网络中的x生成的dns数据。那这是不是意味着攻击者不能不用嗅探器实施攻击呢？

试着“猜猜”id怎么样？

为什么不呢，但是id号是用两字节构成的，这意味着有65535个可能的值！也就是说攻击者如果想要成功攻击的话，他要构造出65535个不同id号的伪造回复，这样里面至少有且仅有一个包是可用的。

如果这样的攻击的话，我们需要相当好的带宽，而且最重要的是我们不知道何时发送伪造的回复。他就必须先知道对方有个请求，然后紧接着及时地（在真的来自dns服务器的回复之前）发送回复。

让我们来从另一个角度看问题，我们知道是有可能性去直接麻痹dns服务器的。回忆一下，攻击者是想dns服务器询问解析www.attacker.net，多亏有从ns.attacker.net来的恶意记录zone transfer，攻击者才可以麻痹dns服务器的高速缓存器。值得重提的是，这种攻击的局限在于攻击者必须在运行自己带有恶意记录的dns服务器。

这样的分析之下，如果攻击者没有办法嗅探你的网络数据或者没有自己的服务器，是不是就是说你就远离dns劫持技术了？

答案是，完全不是这样。

我之前提到过，dns协议是用udp回复，udp是非连接状态的协议，是没有像tcp三次握手的过程的。所以，这也就使得可以非常容易地用你选的任意ip发送udp包。所以为什么攻击者在可以从任意dns服务器发送伪造包的情况下要辛辛苦苦地架设起自己地dns服务器呢？他可以直接询问受害者的dns服务器解析www.google.com，然后立即发送含伪造ip的包给www.google.com的域名服务器。

好，这样时间刚好，这样是可行的，所以问题就只有受害者的dns服务器将要向ns.google.com发送一次请求来得到www.google.com的ip，同时有一个请求的id号。所以又一次的，攻击者就必须发送65535个含ns.google.com的伪造包来做为受害者域名服务器的源地址。至少有一个包是吻合的。所以看来这个可能会成功。

下面就是最有趣的部分了……如果攻击者向受害者的dns服务器发送了100份请求来解析www.google.com会发生什么呢？那么ns.victim.com也将会向ns.google.com发送100份请求，那然后如果我们发送100个从ns.google.com到ns.victim.com的伪造回复会怎样呢？如果你已经理解了刚刚提到的生日悖论原理，你就应该懂得相比之下冲撞（猜对）的概率已经有了可观的提高。










除此之外，还有个必须注意的小细节——源端口！

试想，ns.victim.com将要向ns.google.com发送请求，udp头就应该像这样：


copy code
source address : ns.victim.com
destination address : ns.google.com
source port : 1256 (choosed randomly and > 1024)
destination port : 53 (dns port)
data : what is the ip of www.google.com?


很明显，攻击者必须ns.victim.com的源端口作为目标端口发送伪造的dns回复，包的内容就像：

copy code
source address : ns.google.com
destination address : ns.victim.com
source port : 53
destination port : 1256
data : the ip of www.google.com is 81.81.81.81


所以如果我们没有嗅探又要怎样猜测源端口呢？“不幸”的是，对大多数dns服务器来说，源端口是不会为每个客户端而改变的，因此攻击者可以很简单地通过看ns.victim.com的目前源端口来得到。比方说，如果他有一个域名服务器，他只要请求dns查找他的域的一个站名，得到的返回查询包就会包含现在在的被ns.victim.com用来发送dns请求的源端口。
好，现在我知道如何得到源端口了，你可能会对攻击的成功率好奇。这也是我正要讲的。我们的c代码也有所改动：

copy code
#define possibilities 65535.0
void main (void)
{
float chances;
int i, j;
for (i = 0; i < 800; i+=50)
{
  for (j = 1, chances = 1; j < i; j++)
    chances *= (float)((possibilities - j) / possibilities);
  printf("for %d fake replies, chances are %f\n", i, 1-chances);
}
}


结果如下：
queries
50
100
150
200
250
300
350
400
500
550
650
750

chances
0.0185
0.0728
0.1569
0.2621
0.3785
0.4961
0.6069
0.7048
0.8517
0.9008
0.9604
0.9865


我们可以看到，650个构造回复有0.960411的概率成功，近乎100％！
欲知更多详细信息，我建议阅读以下文章：
http://www.kb.cert.org/vuls/id/457875
http://www.securityfocus.com/guest/17905

d)总结

在这篇文章里，我用www.google.com做例子，并不是因为我真的对其的重定向攻击感兴趣。这个问题在你访问你的银行账户，在线购书网站甚至是网页电子邮件时尤为重要。

而对于网站管理者来说，可行的防范措施有：

对高速缓存器加以限制，保证不保留额外的记录。

不要用或依赖dns构架安全体系。

使用ssl之类的加密技术，所以即使被攻击，难度也会加大（见man in the middle中的文章）

如有任何想法、评论或批评，欢迎电邮致:
spacefox@securesphere.net

spacefox,
securespherecrew, zzjqf17@hotmail.com

conan,
cblog,

2007 april