Переплет DNS: как это работает?
Я провел некоторое исследование атак на связывание DNS и не могу понять, как происходит реальное связывание. Самым полезным ресурсом было это видео Роберта Хансена.
Единственное, чего я не совсем понял: должен ли злоумышленник владеть DNS-сервером, чтобы атака работала? Если да, должен ли целевой объект отправлять запросы на сервер злоумышленника? Или он работает с любым доступным DNS, и во внутреннем браузере есть что-то, что вызывает повторное связывание?
1 ответ
Злоумышленник должен иметь свой собственный DNS-сервер, который будет последним прыжком в поиске DNS своего доменного имени. Это то, что скомпрометировано. Этот сервер имеет очень маленький TTL на DNS-записи, которую он обслуживает, и будет обслуживать фактическую DNS-запись на сайте в первый раз, а вредоносная DNS-запись указывает на какой-то скрытый сервер во второй раз, когда он вызывается (обычно злонамеренным java-скрипт обслуживается на сайте).