DNS Rebinding è un metodo per aggirare la stessa politica di origine manipolando la risoluzione DNS

In che modo un attacco multiorigine generale viene bloccato dal browser?

In questo caso, il browser comprende che la pagina di risposta dall'origine dell'attaccante sta richiedendo una pagina da un'altra origine (ad esempio da localhost) ³ . Poiché si tratta di una "richiesta non semplice" con "origine incrociata", il browser blocca la richiesta per impostazione predefinita.

Per accedere al server locale, dobbiamo bypassare SOP

Ecco che arriva il DNS Rebinding in nostro soccorso……

Scenario di attacco

Alla risoluzione DNS iniziale, attacker.com si risolve in 6.6.6.6 ² . Pertanto, il browser invia una richiesta a 6.6.6.6 e riceve la risposta dell'attaccante. La risposta dell'attaccante potrebbe contenere nuovamente una richiesta di recupero a attacker.com .

Durante la configurazione del server DNS, l'attaccante imposterà il TTL (Time-To-Live) su un valore basso (ad esempio: 2sec)² .

Quindi, il browser durante l'esecuzione della richiesta di recupero ad attacker.com, chiede nuovamente al server DNS la risoluzione di attacker.com ⁵ che ora si risolve in 127.0.0.1⁶ (l'attaccante imposterà due record A nella configurazione del server DNS).

Il browser esegue quindi la richiesta successiva nella pagina dell'attaccante che è una richiesta di risorsa DELETE a 127.0.0.1 ⁸ . Poiché si tratta di una richiesta all'host locale che ha la stessa origine di 127.0.0.1, il browser la esegue senza bloccarla.
La risorsa viene eliminata⁹

Come posso avviare rapidamente un server DNS?

Puoi usare l'applicazionehttp://lock.cmpxchg8b.com/rebinder.html(disponibile anche il codice sorgente)

Qualsiasi altro scenario di attacco?

1. Infrastruttura lato server confusa

Vincoli per l'attaccante/mitigazioni per lo sviluppatore

1. Se è richiesta l'autenticazione

2. Se presente certificato SSL

3. Se il server verifica l'intestazione Host

4. Se un gestore di protocollo personalizzato (ad esempio: chrome:// ) è definito e utilizzato per accedere alle applicazioni locali

Riferimenti:

• DEFCON 25 — Luke Young
• Applicazione Web per la risoluzione di URI o DNS di attacco di Tavis Ormandy
• Ricompensa bug | $ 2000 per il bypass SSRF utilizzando il rebinding DNS di Leet Cipher
• Conferenza sugli attacchi Data-Rebinding di Feross

• Gerald Doussot — State of DNS Rebinding Attacks & Singularity of Origin — Conferenza DEF CON 27
• SSRF tramite DNS Rebinding (CVE-2022–4096) di Basavaraj
• Strumento di singolarità