DNS rebinding, отравление кэша, облачные эндпоинты метаданных и диапазоны IP-адресов, которые безопасный инструмент проверки не должен возвращать.
Записи, которые встретятся почти в каждой зоне
Как записи DNS Certification Authority Authorization называют разрешённых эмитентов сертификатов и как избежать типичных ошибок конфигурации CAA.
Рекурсивный DNS-запрос: шаг за шагом
Браузер
нужен example.com
Резолвер
ваш провайдер / 1.1.1.1
Корень + TLD
кто отвечает за .com?
Авторитетный
настоящий ответ
Каждый шаг цепочки — тоже DNS-запрос, и его ответ потом кэшируется
Что делают подписи DNSSEC, записи DS и DNSKEY, как работает проверка и почему ошибки настройки приводят к ответам SERVFAIL.
У каждого диапазона IPv4 есть эквивалент в IPv6
С точки зрения безопасности IPv6 — это не просто «IPv4 с большим числом адресов»: некоторые его отличия действительно меняют модель угроз.
Выигрыш в гонке с поддельным ответом
Атакующий
опережает настоящий ответ
Поддельный ответ
приходит первым
Кэш резолвера
отравлен для всех его пользователей
Подделка DNS-ответов для перенаправления трафика — один из старейших сетевых приёмов и причина появления DNSSEC и современных защит резолверов.
Публичное и приватное адресное пространство
Публичный IP
192.0.2.10
глобально уникален — маршрутизируется отовсюду
Приватные диапазоны
не маршрутизируются в публичном интернете
10.0.0.0/8, 192.168.0.0/16 и соседние диапазоны существуют именно для того, чтобы не быть глобально уникальными, и вот почему это важно для DNS.
SSRF превращает сервер в невольного прокси
Атакующий
готовит URL запроса
Уязвимый сервер
обманут SSRF, запрашивает его
169.254.169.254
эндпоинт метаданных
Учётные данные
возвращаются атакующему
Один на вид нерутируемый IP-адрес открывает облачным инстансам доступ к учётным данным и конфигурации и часто становится целью SSRF-атак.
Один и тот же адрес — четыре способа записи
Подделка запросов на стороне сервера часто начинается с обычного доменного имени, которое ваш сервер обманом заставили разрешить и запросить.
Один домен — два разных ответа
Первый запрос
разрешается в публичный IP
Проверка
пройдена — выглядит безопасно
Истекает TTL
через несколько секунд
Второй запрос
разрешается в 127.0.0.1
Домен, который сначала разрешается в безопасный адрес, а затем во внутренний: DNS rebinding превращает сам DNS в поверхность атаки.