DNS rebinding, envenenamento de cache, endpoints de metadados de nuvem e as faixas de IP que uma ferramenta de consulta segura precisa se recusar a retornar.
Os registros que você encontrará em quase toda zona
Saiba como os registros DNS CAA indicam os emissores de certificados permitidos para um domínio e como evitar erros comuns de configuração.
Uma consulta DNS recursiva, um salto de cada vez
Navegador
quer example.com
Resolvedor
seu provedor / 1.1.1.1
Raiz + TLD
quem opera o .com?
Autoritativo
a resposta real
Cada salto desta cadeia é em si uma consulta DNS, depois armazenada em cache
Entenda o que fazem as assinaturas DNSSEC e os registros DS e DNSKEY, como a validação funciona e como uma configuração errada pode causar respostas SERVFAIL.
Toda faixa IPv4 tem um equivalente IPv6
Do ponto de vista da segurança, o IPv6 não é só “IPv4 com mais endereços”: algumas de suas diferenças mudam de fato o modelo de ameaças.
Vencendo a corrida com uma resposta forjada
Atacante
corre contra a resposta real
Resposta forjada
chega primeiro
Cache do resolvedor
envenenado para todos que o compartilham
Forjar respostas de DNS para desviar tráfego é um dos truques mais antigos das redes e a razão de existirem o DNSSEC e as defesas modernas dos resolvedores.
Espaço de endereços público vs. privado
IP público
192.0.2.10
globalmente único, roteável de qualquer lugar
Faixas privadas
não roteáveis na internet pública
10.0.0.0/8, 192.168.0.0/16 e suas vizinhas existem justamente para nunca serem globalmente únicas — veja por que isso importa para o DNS.
O SSRF transforma um servidor em um proxy involuntário
Atacante
elabora uma URL de requisição
Servidor vulnerável
acessa a URL, enganado por SSRF
169.254.169.254
o endpoint de metadados
Credenciais
devolvidas ao atacante
Um único endereço IP, aparentemente não roteável, dá às instâncias de nuvem acesso a credenciais e configurações, e é um alvo comum de SSRF.
O mesmo endereço, quatro formas de escrevê-lo
A falsificação de requisição no servidor (SSRF) muitas vezes começa com um simples nome de domínio que o seu servidor foi induzido a resolver e acessar.
O mesmo domínio, duas respostas diferentes
Primeira requisição
resolve para um IP público
Validação
passa: parece seguro
O TTL expira
segundos depois
Segunda requisição
resolve para 127.0.0.1
Um domínio que resolve para um endereço seguro e depois para um interno: o DNS rebinding transforma o próprio DNS em superfície de ataque.