DNS Hacking y 
    Prevencion de 
    Intrusos
    Por: Xianur0

                
Estructura de Dominio
        Un dominio esta estructurado de la siguiente forma:


                                      ...
Dialogo DNS


                       Cual es la IP de www.gob.mx?
                                           
            ...
Dialogo Recursivo DNS
                                                             Preguntare


                 Cual es l...
Tipos de registros DNS
                              ya que un DNS no solo almacena IPs..
A = Address – Este registro se u...
Tipos de registros DNS
HINFO = Host INFOrmation – Contiene Informacion del Hardware y del Software del servidor,

TXT = Te...
AXFR                           Si, las tengo 
                                                             en mi cache



...
Ejemplo Real de un ataque AXFR (La tool esta en el blog)




                             
Registros Invalidos DNS
                                         Un Cliente solicita la IP de 
              Vaya soy 
   ...
Registros Invalidos DNS

           Si usamos un poco de Ingenieria social: creamos un 
           socket en el puerto 80....
DNS Brute Force
Esto es usado para averiguar subdominios que no estan a cierta vista (Muchos administradores 
ocultan dato...
Ejemplo Real de un DNS Bruteforce (Ver blog para 
    obtener la herramienta).




                               
Antes de pasar al siguiente tema que es DNS ID Hacking, 
    vamos a ver unos conceptos previos: 

    Primero por que es ...
DNS ID Hacking

                Cual es la IP de www.gob.mx? (ID = 444)
                                                  ...
DNS ID Hacking
                                                     IP de www.gob.mx? 
             IP de www.gob.mx?     ...
Seguridad Adicional

      Fake DNS Server Fingerprint
    ●

    ● DomainKeys Identified Mail

    ● DNSSEC




         ...
DNS Server Fingerprint




Para evitar esto podemos editar el archivo named.conf.options  (esto en bind)
                 ...
Resultado: Fake DNS Server Fingerprint




                      
DomainKeys Identified Mail


    DomainKeys es una tecnología propuesta por Yahoo! para 
    quot;probar y proteger la ide...
Como Funciona DKIM?
                                                                     Mensaje 
                        ...
DNSSEC
DNSEC ofrece:
        Protección entre servidores
–
            TSIG/SIG0 (Transaction SIGnature): permite la auten...
Espero que sea de utilidad 
    estas presentaciones para 
    entender mas el mundo de 
    la seguridad en DNS, se 
    ...
Próxima SlideShare
Cargando en…5
×

DNS Hacking y Prevencion de Intrusos

4.567 visualizaciones

Publicado el

DNS Hacking y Prevencion de Intrusos Por Xianur0

0 comentarios
1 recomendación
Estadísticas
Notas
  • Sé el primero en comentar

Sin descargas
Visualizaciones
Visualizaciones totales
4.567
En SlideShare
0
De insertados
0
Número de insertados
496
Acciones
Compartido
0
Descargas
125
Comentarios
0
Recomendaciones
1
Insertados 0
No insertados

No hay notas en la diapositiva.

DNS Hacking y Prevencion de Intrusos

  1. 1. DNS Hacking y  Prevencion de  Intrusos Por: Xianur0    
  2. 2. Estructura de Dominio Un dominio esta estructurado de la siguiente forma: MX Gob Unam Www Www jornada .... ... Esto quiere decir que primero hay un servidor principal que se encarga de almacenar la direccion de los dns encargados de ciertos dominio (en este caso mx) y despues el dns del dominio     consultado.
  3. 3. Dialogo DNS Cual es la IP de www.gob.mx?   La IP es: 200.77.236.16 ns1.gobierno­ Cliente digital.gob.mx En este ejemplo de dialogo Dns: un cliente intenta acceder a la pagina  www.gob.mx, pero al no sabe cual es su IP consulta al dns encargado de  resolver dicho dominio (ns1.gobierno­digital.gob.mx).    
  4. 4. Dialogo Recursivo DNS Preguntare Cual es la IP de www.gob.mx?   La IP es: 200.77.236.16 Cliente DNS Recursivo El Cliente consulta a  un DNS Recursivo, el  cual actuara como  cliente para resolver la  consulta dada, y para  ello reenvia la consulta  ns1.gobierno­ Cual es la IP de www.gob.mx? recivida a otro servidor  DNS, y seguido de  digital.gob.mx La IP es: 200.77.236.16 esto, le entrega el      resultado al cliente
  5. 5. Tipos de registros DNS ya que un DNS no solo almacena IPs.. A = Address – Este registro se usa para traducir nombres de hosts a direcciones IP. Ejemplo: www.gob.mx. 17442 IN A 200.77.236.16 CNAME = Canonical Name – Se usa para crear nombres de hosts adicionales, o alias, para los hosts  de un dominio. Ejemplo: www.gmail.com. 17291 IN CNAME mail.google.com. NS = Name Server – Contiene la informacion de los servidores DNS de un dominio dato. Ejemplo: google.com. 276835 IN NS ns4.google.com. MX = Mail Exchange – Contiene la Lista de Servidores de Correo. Ejemplo: google.com. 2408  IN MX 10 smtp4.google.com. PTR = Pointer – Sirve para Traducir IP a Host: Ejemplo: 200.77.236.16 = www.google.com  SOA = Start of authority – Proporciona información sobre la zona. Ejemplo: google.com. 86400 IN SOA ns1.google.com. dns­admin.google.com. 2009041401  7200 1800 1209600 300    
  6. 6. Tipos de registros DNS HINFO = Host INFOrmation – Contiene Informacion del Hardware y del Software del servidor, TXT = TeXT ­  Permite a los dominios identificarse de modos arbitrarios. metroflog.com. 38764 IN TXT quot;spf2.0/pra ip4:216.139.255.0/25 ip4:216.139.214.8/30  ip4:216.139.214.12/30 ip4:216.139.214.16/30  ip4:216.139.216.244/30 ip4:216.139.216.248/30   ip4:216.139.239.168/30 ip4:216.139.239.172/30 ip4:216.139.208.208/30 mx ~allquot; LOC = LOCalización ­ Permite indicar las coordenadas del dominio. SRV = SeRVicios ­ Permite indicar los servicios que ofrece el dominio. SPF = Sender Policy Framework ­  En este registro se especifica cual o cuales hosts están autorizados a  enviar correo desde el dominio dado.     
  7. 7. AXFR Si, las tengo  en mi cache Estas son las Zonas DNSPrimario DNS Maestro Zona: son los  registros que  Me dejas ver  Me dejas ver  contiene un  las Zonas? las Zonas? DNS sobre  cierto dominio  (anterior  pagina). DNS Secundario Atacante Solucion: Configurar allow­transfer en las zonas de los respectivos DNS     Solucion: 
  8. 8. Ejemplo Real de un ataque AXFR (La tool esta en el blog)    
  9. 9. Registros Invalidos DNS Un Cliente solicita la IP de  Vaya soy  “localhost.php.net” la cual es: 127.0.0.1  localhost.php.net!! Cual es la ip de localhost.php.net? Victima DNS 127.0.0.1 Resultado: Navegador quiero  entrar a   localhost.algo.net PC Usuario Hola localhost.algo.net Mi cookie es: ...... El cliente se consultara a si mismo    
  10. 10. Registros Invalidos DNS Si usamos un poco de Ingenieria social: creamos un  socket en el puerto 80... Hola  localhost.web.net Navegador Hack tool Pagina Falsa Tenemos un poco de phishing de la nueva era (es dificil  pensar que estando en un subdominio de la web, sea falsa,  ademas de que es dificil que un antivirus lo detecte). O bien si hay cookies mal configuradas tenemos robo de  credenciales. Solucion: Eliminar los Registros DNS Inutiles    
  11. 11. DNS Brute Force Esto es usado para averiguar subdominios que no estan a cierta vista (Muchos administradores  ocultan datos en subdominios por que “nadie los ve”). Cual es la IP de  intranet.victima.com? DNS Atacante La IP es: xxx.xxx.xxx.xxx Cual es la IP de admin.victima.com? DNS Atacante No Existe! Solucion: Crear un Registro A llamado: “*” con la respectiva IP del dominio por  defecto. Por Ejemplo:     * IN A 74.125.67.100
  12. 12. Ejemplo Real de un DNS Bruteforce (Ver blog para  obtener la herramienta).    
  13. 13. Antes de pasar al siguiente tema que es DNS ID Hacking,  vamos a ver unos conceptos previos:  Primero por que es que cuando realizamos una consulta, el  servidor dns no la confunde con otra? Por el ID, cada paquete lleva un identificador numerico que evita  que se confunda el paquete con otro, ademas de que dificulta  que una persona intente envenenar la cache dns falsificando el  origen de los paquetes (se edita la parte del origen en el paqutete  y se envia, y por el mal diseño del protocolo UDP, no hay forma  de comprobar que realmente haya venido esa consulta de dicha  IP [leer sobre DNS Smurf Attack], por ello recomiendo usar DNS  sobre UDP, es mas seguro y nos evitamos desagradables  momentos). Y ya que solo el ID nos detiene, por que no un ataque de  cumpleaños?    
  14. 14. DNS ID Hacking Cual es la IP de www.gob.mx? (ID = 444) ns1.gobierno­ Cliente   digital.gob.mx La IP es: 200.77.236.16 (ID = 444) Cual es la IP de www.gob.mx? (ID = 445) DNS Muerto por  Cliente DDoS   La IP es: 74.125.67.100 (ID = 445) Atacante Resultado: El Cliente piensa que la IP de www.gob.mx es la de google     Para dejarlo mas claro pasar a la siguiente grafica...
  15. 15. DNS ID Hacking IP de www.gob.mx?  IP de www.gob.mx? (ID = 344)  Cliente dns.victima.com ns1.gobierno­digital.gob.mx La IP es:  200.77.236.16 La IP es:  La IP es:  200.77.236.16  La IP es:  (ID = 344) La IP de www.gob.mx es 74.125.67.100 (ID = 342) La IP de www.gob.mx es 74.125.67.100 (ID = 343) La IP de www.gob.mx es 74.125.67.100 (ID = 344) Atacante dns.victima.com Ya esta por demas claro lo de arriba, asi que lo dejare asi... solo falta agregar que la respuesta de “Atacante” tiene que ir al mismo puerto por el cual fue consultado el DNS original Solucion: Configurar el allow­recursion solo para los dominios que lo necesiten y usar puertos al      azar (asi es mas dificil que un atacante adivine a cual puerto enviar la respuesta DNS).
  16. 16. Seguridad Adicional  Fake DNS Server Fingerprint ● ● DomainKeys Identified Mail ● DNSSEC    
  17. 17. DNS Server Fingerprint Para evitar esto podemos editar el archivo named.conf.options  (esto en bind)     colocando el parametro “version” con el valor que queramos mostrar.
  18. 18. Resultado: Fake DNS Server Fingerprint    
  19. 19. DomainKeys Identified Mail DomainKeys es una tecnología propuesta por Yahoo! para  quot;probar y proteger la identidad del remitente del email.quot; Utiliza  SHA­256 como hash criptográfico. ● ● RSA como sistema de cifrado de clave pública. ● y codificar el hash cifrado usando Base64.    
  20. 20. Como Funciona DKIM? Mensaje  real? From:  To:  admin@victima.com usuario@yahoo.com default._domainkey.victima.com TXT dns1.victima.com k=rsa; p=Key; (Esta es la key para el  dominio, el mail al no contenerla,  sera mandado a spam por ser falso).    
  21. 21. DNSSEC DNSEC ofrece: Protección entre servidores – TSIG/SIG0 (Transaction SIGnature): permite la autenticación entre ● servidores, asegurando la transferencia de zonas. Protección datos. – KEY/SIG/NXT: establece mecanismos de autenticación e integridad de ● datos DS: permite un mecanismo de seguridad distribuida basado en el ● establecimiento de redes de confianza (Chains of Trust) Una infraestructura de distribución de claves públicas – Posible utilidad en el establecimiento de túneles IPSEC dinámicos. ●    
  22. 22. Espero que sea de utilidad  estas presentaciones para  entender mas el mundo de  la seguridad en DNS, se  despide su amigo Xianur0. http://xianur0.blogspot.com    

×