DNSリバインディング攻撃とは

概要

罠サイトと罠DNSサーバを運営する攻撃者が、
短期間にドメイン（FQDN）に対応するIPアドレスを変更することで
SameOriginPolicyの範囲内で脆弱性サイトへjsによる攻撃を行う。

ステークホルダー

攻撃者
攻撃者運営のDNS（TTL/キャッシュ生存期間を5秒程度に設定）
攻撃者運営の罠サイト（evil.example.com）（192.0.2.1）
脆弱性サイト（weak.example.jp）（198.51.100.1）
被害者

攻撃の流れ

被害者が罠サイト（evil.example.com）を閲覧
攻撃用JavaScript（※）が被害者に送信される
※例えば「evil.example.com」上の特定コンテンツにアクセスし、得られた情報を192.0.2.1(evil)に返す、など。
攻撃者がDNSのAレコードを操作し、evil.example.comが198.51.100.1(weak)を指すように変更する。
この時点で、evil.example.com上で実行できるJavaScriptは、脆弱性サイト198.51.100.1(weak)に対する操作ができる状態となる。
そのタイミングに沿って罠スクリプトが発火すれば、198.51.100.1(weak)上の個人情報の取得など、攻撃が成立する。

対策

特性上、攻撃は必ず罠サイトのホスト（evil.example.com）から行われるのが肝。

apacheのVirtualHostは、未定義のホスト（SeverName）に対するリクエストが来た場合、
最初の定義がデフォルトとして適用される。

これを利用して、最初にdummyのVirtualHostを定義しておくことで、
罠サイト（evil.example.com）からのアクセスに対しては404を返すことが出来る。

# ダミーVirtualHost
<VirtualHost *:80>
ServerName dummy.example.jp # 正規のホスト名以外ならなんでもok
DocumentRoot /var/www/dummy
ErrorDocument 404 /index.html
</VirtualHost>

# 正規のVirtualHost
<VirtualHost *:80>
ServerName weak.example.jp
DocumentRoot /var/www/html
</VirtualHost>

tips

weak.example.jpに対して、ホストを偽装（evil.example.com）してアクセス可能かどうか、
つまりDNSリバインディング可能かどうかチェックできる。

curl -v -H 'Host: evil.example.com' http://$(dig weak.example.jp | grep -v '^;' | grep 'A' | awk '{print $5}')

参考

DNSリバインディング
http://itpro.nikkeibp.co.jp/article/COLUMN/20130218/456766/?ST=security&P=1

間違いだらけの「かんたんログイン」実装法 (3/3)
http://www.atmarkit.co.jp/ait/articles/1103/01/news125_3.html

DNSのTTL設定とは?
http://kazamidori.net/kaoru/2007/03/ttl1.html