DNS 水責め攻撃から DNS 権威サーバを守る たった 1つのステキな方法 how to defend DNS authoritative server against DNS WaterTorture

1. DNS 水責め攻撃から
DNS 権威サーバを守る
たった 1つのステキな方法
2015/02/07
@otsuka752 (@twovs)

2. (参考) DNS 水責め攻撃
• 未熟なDNSと今後どう付き合うべきか
委任／移転通知インジェクション攻撃と
DNS Water Torture（Slow Drip）攻撃を題材として考える
http://jprs.jp/tech/material/iw2014-lunch-L3-01.pdf
• DNS水責め（Water Torture）攻撃について
http://2014.seccon.jp/dns/dns_water_torture.pdf
• DNSセキュリティの基礎
http://www.e-ontap.com/dns/ipsj-tokai.pdf

3. やること
QNAME = ${RANDOM}.www.example.jp
の問い合わせパケットを DROP
(攻撃パケットが DNS 権威サーバや(攻撃パケットが DNS 権威サーバや
DNS 権威サーバのプロセスに届く前に DROP)
QNAME = www.example.jp
の問い合わせパケットは DROP しない

4. 答え
$ sudo iptables -A 'INPUT|FORWARD' -j DROP -p udp --dport 53 ¥
-m bpf --bytecode "18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0
0,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 70,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7
58161015,64 0 0 4,21 0 5 124090465,64 0 0 8,21 0 3
1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6 0 0 0,"

5. --bytecode(1/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0

6. --bytecode(2/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0
bytecode は 18行

7. --bytecode(3/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0
ldx 4*([0]&0xf) ; IP Header length[Byte]
ld #20 ; UDP + DNS Header length[Byte]
add x
tax

8. ldx 4*([0]&0xf)
IP Header length[Byte]
UDP + DNS Header length
20[Byte]

9. --bytecode(4/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0
lb_0:
ldb [x + 0] ; ${RANDOM} の文字数
add x
add #1
tax ; ${RANDOM} 直後までの offset
ld [x + 0]

10. ${RANDOM} 直後
までの offset
${RANDOM} の文字数
ここでは 0x0c = 12

11. --bytecode(5/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0
jneq #0x03777777, lb_1 ; 0x03www でなければ DROP
ld [x + 4]
jneq #0x07657861, lb_1 ; 0x07exa
ld [x + 8]
jneq #0x6d706c65, lb_1 ; mple
ld [x + 12]
jneq #0x026a7000, lb_1 ; 0x02jp0x00

12. 4[Byte] ずつ比較して
一致しなければ DROP

13. --bytecode(6/6)
18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4 0
0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5
124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0
ret #1 ; accept
lb_1:
ret #0 ; drop

14. 注意(1/2)
*.*.www.example.jp
*.*.*.www.example.jp
*.wWw.eXAMple.Jp (大文字小文字混在)*.wWw.eXAMple.Jp (大文字小文字混在)
上記は DROP されないので
それぞれ個別に filter を記述する

15. 注意(2/2)
*.*.www.example.jp の場合
"22,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4
0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21
0 7 58161015,64 0 0 4,21 0 5 124090465,64 0 0 8,21 0 3
1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6 0 0 0,"
*.*.*.www.example.jp の場合
"26,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0 0 0,12 0 0 0,4
0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12
0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21
0 5 124090465,64 0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1
40529920,6 0 0 1,6 0 0 0,"

16. 実行例(1/4)
bpf モジュール(libxt_bpf.so)は
ubuntu 14.04.1 や CentOS 7 では標準対応
$ uname -a
Linux ubu14-04-1 3.13.0-45-generic #74-Ubuntu SMP Tue Jan 13
19:36:28 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux
$ cat /etc/debian_version
jessie/sid
$ iptables -V
iptables v1.4.21

17. 実行例(2/4)
*.www.example.jp の問い合わせを DROP
$ sudo iptables -A FORWARD -j DROP -p udp --dport 53 ¥
-m bpf --bytecode "18,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0
0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 00 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64 0
0 4,21 0 5 124090465,64 0 0 8,21 0 3 1836084325,64 0 0
12,21 0 1 40529920,6 0 0 1,6 0 0 0,”

18. 実行例(3/4)
*.*.www.example.jp と *.*.*.www.example.jp
$ sudo iptables -A FORWARD -j DROP -p udp --dport 53 ¥
-m bpf --bytecode "22,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0
0 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 00 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0
0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5 124090465,64 0
0 8,21 0 3 1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6 0
0 0,“
$ sudo iptables -A FORWARD -j DROP -p udp --dport 53 ¥
-m bpf --bytecode "26,177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80 0
0 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0
0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7
58161015,64 0 0 4,21 0 5 124090465,64 0 0 8,21 0 3
1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6 0 0 0,“
$ sudo iptables -nL FORWARD

19. 実行例(4/4)
DROP udp -- 0.0.0.0/0 0.0.0.0/0
udp dpt:53match bpf 177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80
0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7 58161015,64
0 0 4,21 0 5 124090465,64 0 0 8,21 0 3 1836084325,64 0 0
12,21 0 1 40529920,6 0 0 1,6 0 0 0
DROP udp -- 0.0.0.0/0 0.0.0.0/0DROP udp -- 0.0.0.0/0 0.0.0.0/0
udp dpt:53match bpf 177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80
0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7
0 0 0,64 0 0 0,21 0 7 58161015,64 0 0 4,21 0 5 124090465,64
0 0 8,21 0 3 1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6
0 0 0
DROP udp -- 0.0.0.0/0 0.0.0.0/0
udp dpt:53match bpf 177 0 0 0,0 0 0 20,12 0 0 0,7 0 0 0,80
0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7
0 0 0,80 0 0 0,12 0 0 0,4 0 0 1,7 0 0 0,64 0 0 0,21 0 7
58161015,64 0 0 4,21 0 5 124090465,64 0 0 8,21 0 3
1836084325,64 0 0 12,21 0 1 40529920,6 0 0 1,6 0 0 0

20. 便利ツール群
BPF Tools - packet analyst toolkit
https://github.com/cloudflare/bpftools
• ipset 対応
• iptables の追加・削除の shell script を生成• iptables の追加・削除の shell script を生成
• debug 用に tcpdump 用のフィルタを生成
• pcap ファイルからルール生成のツール群

21. ENDEND