DNS rebinding, envenenamiento de caché, endpoints de metadatos de la nube y los rangos de IP que una herramienta de consulta segura debe negarse a devolver.
Los registros que encontrarás en casi toda zona
Aprende cómo los registros DNS CAA nombran a los emisores de certificados permitidos y cómo evitar errores comunes de configuración.
Una consulta DNS recursiva, salto a salto
Navegador
quiere example.com
Resolvedor
tu ISP / 1.1.1.1
Raíz + TLD
¿quién gestiona .com?
Autoritativo
la respuesta real
Cada salto de la cadena es otra consulta DNS, y luego se guarda en caché
Descubre qué hacen las firmas DNSSEC y los registros DS y DNSKEY, cómo funciona la validación y cómo un error de configuración causa respuestas SERVFAIL.
Cada rango IPv4 tiene un equivalente IPv6
Desde el punto de vista de la seguridad, IPv6 no es solo «IPv4 con más direcciones»: algunas de sus diferencias cambian de verdad el modelo de amenazas.
Ganar la carrera con una respuesta falsificada
Atacante
compite con la respuesta real
Respuesta falsificada
llega primero
Caché del resolvedor
envenenada para todos los que la comparten
Falsificar respuestas DNS para desviar el tráfico es uno de los trucos más antiguos de las redes, y la razón de que existan DNSSEC y las defensas modernas.
Espacio de direcciones público frente a privado
IP pública
192.0.2.10
única en el mundo, enrutable desde cualquier sitio
Rangos privados
no enrutables en internet público
10.0.0.0/8, 192.168.0.0/16 y sus vecinos existen precisamente para no ser únicos a nivel global: por qué eso importa para el DNS.
El SSRF convierte un servidor en un proxy involuntario
Atacante
fabrica una URL de solicitud
Servidor vulnerable
la obtiene, engañado por SSRF
169.254.169.254
el endpoint de metadatos
Credenciales
devueltas al atacante
Una única dirección IP de aspecto no enrutable da a las instancias en la nube acceso a credenciales y configuración, y es un objetivo habitual de SSRF.
La misma dirección, cuatro formas distintas de escribirla
El SSRF suele empezar con algo tan simple como un nombre de dominio que se engaña a tu servidor para que resuelva y solicite.
El mismo dominio, dos respuestas distintas
Primera solicitud
resuelve a una IP pública
Validación
se supera: parece segura
Vence el TTL
segundos después
Segunda solicitud
resuelve a 127.0.0.1
Un dominio que resuelve primero a una dirección segura y después a una interna: el DNS rebinding convierte el propio DNS en una superficie de ataque.