勉強前イメージ
DNSの応答を利用して、その人になりすます的な攻撃？
調査
DNS rebinding attack とは
DNSを使用して同一生成元ポリシーを回避して、重要な情報など取得する攻撃である
同一生成元ポリシー というのは あるオリジンで読み込まれたリソースが異なるオリジン(クロスオリジン)のリソースへの通信・アクセスに制約をかけるもの で、
要するに、 DNSを使用して別のオリジンにデータを送信してデータを取得する 攻撃です。
例
例としては、
フィッシングメールなどで被害者に偽サイトに誘導、偽サイトに悪意のあるスクリプトを設置しておいて
再度アクセスさせるとDNSが別IPを返し、そのサイトで入力された情報を悪意のあるサイトへ送信する方法である。
図としては以下になります。
ここでは、偽サイトと本物サイトを例としてますが、全部がそうじゃないと思います。
まず登場人物のご紹介
- 被害者 : データを盗まれる被害者
- 偽サイト : 偽サイト.com で、IPは a.a.a.a
- 本物サイト : 本物サイト.com で、IPは b.b.b.b
- 被害者をフィッシングサイトなどの誘導で 偽サイト.com にアクセスさせる
- DNSサーバは 偽サイト.com のIPアドレスは a.a.a.a と返す
ただし、このときのTTL値は1秒などとても短い期間にしておく - 被害者は a.a.a.a の 偽サイト.com にアクセス
- 偽サイト.com は 被害者に悪意のあるJavaScript を送る
送られた被害者は、偽サイト.comにアクセスし、得た内容はa.a.a.aに送信させるスクリプトを設置される - 再度 偽サイト.com にアクセスしようとしたらDNSキャッシュが切れてIPアドレスが分からなかったので、再度DNSサーバに問い合わせ
- DNSサーバは 偽サイト.com のIPアドレスは b.b.b.b と先ほどとは違う本物サイトのIPアドレスを返す
- 被害者は a.a.a.a の 偽サイト.com(実情は本物サイト.com) にアクセスを行い、ログインなどし重要情報を入力
- 7で入力した値は 4の
偽サイト.comにアクセスし、得た内容はa.a.a.aに送信させるスクリプトにより 偽サイト.comに送信され、重要情報が盗まれる
勉強後イメージ
元々のイメージとは違ったね....
調べたらなるほど？ってなるけど思いつく人すごいなーって思う(小並感)
DNSサーバ側で1回目はTTL値1sでこのIP、2回目はTTL値変えてこのIP、みたいなのどうやってんやろ