Повторная привязка DNS — это метод обхода политики того же источника путем манипулирования разрешением DNS.

Как браузер блокирует общую перекрестную атаку?

Здесь браузер понимает, что страница ответа от источника злоумышленника запрашивает страницу из другого источника (т.е. с локального хоста) ³ . Поскольку это «непростой запрос» с «независимым происхождением», браузер по умолчанию блокирует запрос.

Чтобы получить доступ к локальному серверу, нам нужно обойти SOP

Нам на помощь приходит DNS Rebinding……

Сценарий атаки

При первоначальном разрешении DNS злоумышленник.com разрешается в 6.6.6.6² . Таким образом, браузер отправляет запрос на 6.6.6.6 и получает ответ злоумышленника. Ответ злоумышленника может содержать повторный запрос на выборку для Attacker.com. Здесь, поскольку страница из источника злоумышленника запрашивает ресурс из источника злоумышленника, следовательно, тот же источник⁵ .

При настройке DNS-сервера злоумышленник установит TTL (Time-To-Live) на небольшое значение (например, 2 секунды)² .

Таким образом, браузер при выполнении запроса на выборку для attacker.com снова запрашивает у DNS-сервера разрешение Attacker.com ⁵ , которое теперь разрешается в 127.0.0.1⁶ (злоумышленник установит две записи A в конфигурации DNS-сервера).

Затем браузер выполняет следующий запрос на странице злоумышленника, который представляет собой запрос ресурса DELETE на адрес 127.0.0.1 ⁸ . Поскольку это запрос к локальному хосту того же происхождения, что и 127.0.0.1, браузер выполняет его без блокировки.
Ресурс удаляется⁹

Как я могу быстро раскрутить DNS-сервер?

Вы можете использовать приложениеhttp://lock.cmpxchg8b.com/rebinder.html(также доступен исходный код)

Любой другой сценарий атаки?

1. Запутанная серверная инфраструктура

Ограничения для злоумышленника / смягчение последствий для разработчика

1. Если требуется аутентификация

2. При наличии SSL-сертификата

3. Если сервер проверяет заголовок хоста

4. Если пользовательский обработчик протокола (например: chrome:// ) определен и используется для доступа к локальным приложениям

Использованная литература:

• DEF CON 25 — Люк Янг
• Веб-приложение для разрешения URI или DNS атаки от Тэвиса Орманди
• Награда за обнаружение ошибок | 2000 долларов за обход SSRF с помощью перепривязки DNS от Leet Cipher.
• Лекция Feross об атаках с повторной привязкой данных

• Джеральд Дуссо — Состояние атак повторной привязки DNS и сингулярность происхождения — Конференция DEF CON 27
• SSRF через перепривязку DNS (CVE-2022–4096) от Basavaraj
• Инструмент сингулярности