DNS Rebinding est une méthode de contournement de la politique de même origine en manipulant la résolution DNS

Comment une attaque cross-origin générale est bloquée par le navigateur ?

Ici, le navigateur comprend que la page de réponse de l'origine de l'attaquant demande une page d'une autre origine (c'est-à-dire de localhost) ³ . Puisqu'il s'agit d'une 'requête non simple' avec 'cross-origin', le navigateur bloque la requête par défaut.

Afin d'accéder au serveur local, nous devons contourner le SOP

Voici DNS Rebinding à notre secours ……

Scénario d'attaque

Lors de la résolution DNS initiale, l'attaquant.com se résout en 6.6.6.6 ² . Ainsi, le navigateur envoie une demande à 6.6.6.6 et reçoit la réponse de l'attaquant . La réponse de l'attaquant peut contenir à nouveau une demande de récupération à l'attaquant .

Lors de la configuration du serveur DNS, l'attaquant définira le TTL(Time-To-Live) sur une petite valeur (ex : 2sec)² .

Ainsi, le navigateur lors de l'exécution de la requête d'extraction à l'attaquant.com, il demande à nouveau au serveur DNS la résolution de l'attaquant.com ⁵ qui se résout maintenant en 127.0.0.1⁶ (l'attaquant définira deux enregistrements A dans la configuration du serveur DNS).

Le navigateur exécute alors la requête suivante dans la page de l'attaquant qui est une requête de ressource DELETE à 127.0.0.1 ⁸ . Puisqu'il s'agit d'une requête à l'hôte local qui a la même origine que 127.0.0.1, le navigateur l'exécute sans blocage.
La ressource est supprimée⁹

Comment puis-je faire tourner un serveur DNS rapidement ?

Vous pouvez utiliser l'applicationhttp://lock.cmpxchg8b.com/rebinder.html(code source également disponible)

Un autre scénario d'attaque ?

1. Infrastructure côté serveur déroutante

Contraintes pour l'attaquant / atténuations pour le développeur

1. Si une authentification est requise

2. Si certificat SSL présent

3. Si le serveur vérifie l'en-tête de l'hôte

4. Si un gestionnaire de protocole personnalisé (par exemple : chrome:// ) est défini et utilisé pour accéder aux applications locales

Les références:

• DEF CON 25 — Luke Young
• Application Web pour la résolution URI ou DNS d'attaque par Tavis Ormandy
• Prime aux bogues | 2000 $ pour le contournement SSRF à l'aide de la reliure DNS par Leet Cipher
• Conférence sur les attaques de data-rebinding par Feross

• Gérald Doussot — État des attaques DNS Rebinding & Singularité d'origine — Conférence DEF CON 27
• SSRF via DNS Rebinding (CVE-2022–4096) par Basavaraj
• Outil de singularité