Domain IP Lookup

Sicherheit

DNS-Rebinding, Cache-Poisoning, Cloud-Metadaten-Endpunkte und die IP-Bereiche, die ein sicheres Lookup-Tool nicht zurückgeben darf.

Die Einträge, die Ihnen in fast jeder Zone begegnen

AHostname zu einer IPv4-Adresse
AAAAHostname zu einer IPv6-Adresse
CNAMEHostname zu einem anderen Hostnamen
MXDomain zu ihren Mailservern, nach Priorität
TXTDomain zu beliebigem Text – SPF, DKIM, Verifizierung
NSDomain zu den Nameservern, die für sie antworten
Sicherheit

Was ist ein CAA-Record? Steuern, welche CAs Zertifikate ausstellen

Wie DNS-Records zur Certification Authority Authorization zulässige Zertifikatsaussteller benennen und wie Sie typische CAA-Konfigurationsfehler vermeiden.

4 Min. Lesezeit

Eine rekursive DNS-Abfrage, Schritt für Schritt

Browser

fragt example.com an

Resolver

Ihr ISP / 1.1.1.1

Root + TLD

wer betreibt .com?

Autoritativ

die echte Antwort

Jeder Schritt in dieser Kette ist selbst eine DNS-Abfrage und wird danach zwischengespeichert

Sicherheit

DNSSEC erklärt: So werden DNS-Antworten authentifiziert

Was DNSSEC-Signaturen sowie DS- und DNSKEY-Records leisten, wie die Validierung funktioniert und warum Fehlkonfigurationen SERVFAIL-Antworten auslösen.

4 Min. Lesezeit

Jeder IPv4-Bereich hat ein IPv6-Pendant

Loopback127.0.0.0/8 in IPv4 – ::1 in IPv6
Privat10.0.0.0/8 usw. in IPv4 – fc00::/7 in IPv6
Link-Local169.254.0.0/16 in IPv4 – fe80::/10 in IPv6
Sicherheit

IPv6-Sicherheit: Diese Punkte sollten Sie nicht ignorieren

Sicherheitstechnisch ist IPv6 nicht bloß „IPv4 mit mehr Adressen“ – einige Unterschiede verändern das Bedrohungsmodell tatsächlich.

3 Min. Lesezeit

Das Rennen mit einer gefälschten Antwort gewinnen

Angreifer

schlägt die echte Antwort

Gefälschte Antwort

trifft zuerst ein

Resolver-Cache

für alle Nutzer vergiftet

Sicherheit

DNS-Spoofing und Cache-Poisoning: Ein praktischer Überblick

Gefälschte DNS-Antworten zur Umleitung von Traffic sind einer der ältesten Netzwerktricks – und der Grund, warum es DNSSEC und moderne Resolver-Schutzmaßnahmen gibt.

3 Min. Lesezeit

Öffentlicher vs. privater Adressraum

Öffentliche IP

192.0.2.10

global eindeutig – überall routbar

Private Bereiche

10.0.0.0/8172.16.0.0/12192.168.0.0/16

im öffentlichen Internet nicht routbar

Sicherheit

Warum private IP-Bereiche nie öffentlich auflösen sollten

10.0.0.0/8, 192.168.0.0/16 und ihre Nachbarn existieren gerade deshalb, damit sie nie global eindeutig sind -- und warum das für DNS wichtig ist.

3 Min. Lesezeit

SSRF macht einen Server zum unfreiwilligen Proxy

Angreifer

baut eine Anfrage-URL

Anfälliger Server

ruft sie ab, SSRF-getäuscht

169.254.169.254

der Metadaten-Endpunkt

Zugangsdaten

gehen an den Angreifer

Sicherheit

Cloud-Metadaten-Endpunkte: die unterschätzte Angriffsfläche

Eine einzige, scheinbar nicht routbare IP-Adresse gibt Cloud-Instanzen Zugriff auf Zugangsdaten und Konfiguration – und ist ein beliebtes SSRF-Ziel.

3 Min. Lesezeit

Dieselbe Adresse, vier verschiedene Schreibweisen

127.0.0.1Übliche Punkt-Dezimal-Notation
2130706433Dieselbe Adresse als einfache Ganzzahl
0x7f.0.0.1Dieselbe Adresse hexadezimal
127.1Dieselbe Adresse in Kurzform
Sicherheit

SSRF-Angriffe erklärt: Wie DNS ausgenutzt wird

Server-Side Request Forgery beginnt oft mit nichts weiter als einem Domainnamen, den Ihr Server durch eine Täuschung auflöst und anfragt.

3 Min. Lesezeit

Dieselbe Domain, zwei verschiedene Antworten

Erste Anfrage

löst zu öffentlicher IP auf

Validierung

bestanden – wirkt sicher

TTL läuft ab

Sekunden später

Zweite Anfrage

löst zu 127.0.0.1 auf

Sicherheit

Was ist DNS-Rebinding und warum ist es wichtig?

Eine Domain löst einmal zu einer sicheren und später zu einer internen Adresse auf – DNS-Rebinding macht DNS selbst zur Angriffsfläche.

3 Min. Lesezeit