DNS Rebind Toolkit

Demo | Security Advisory | Enthaltene Payloads | FAQ

HAFTUNGSAUSSCHLUSS: Diese Software dient nur zu Bildungszwecken. Diese Software sollte nicht für illegale Aktivitäten verwendet werden. Der Autor ist nicht verantwortlich für ihre Verwendung. Sei kein Arsch.

DNS Rebind Toolkit ist ein Frontend-JavaScript-Framework zur Entwicklung von DNS-Rebinding-Exploits gegen anfällige Hosts und Dienste in einem lokalen Netzwerk (LAN). Es kann verwendet werden, um Geräte wie Google Home, Roku, Sonos-WLAN-Lautsprecher, WLAN-Router, „intelligente“ Thermostate und andere IoT-Geräte anzugreifen. Mit diesem Toolkit kann ein entfernter Angreifer die Firewall eines Routers umgehen und direkt mit Geräten im Heimnetzwerk des Opfers interagieren, private Informationen exfiltrieren und in einigen Fällen sogar die anfälligen Geräte selbst steuern.

Der Angriff erfordert, dass ein Opfer im Zielnetzwerk lediglich einem Link folgt oder eine HTML-Anzeige mit einem bösartigen Iframe angezeigt bekommt. Von dort aus wird der Webbrowser des Opfers wie ein Proxy verwendet, um direkt auf andere Hosts zuzugreifen, die mit seinem Heimnetzwerk verbunden sind. Diese Zielmaschinen und -dienste wären für den Angreifer aus dem Internet andernfalls nicht erreichbar. Der entfernte Angreifer weiß möglicherweise nicht, um welche Dienste es sich handelt oder welche IP-Adressen sie im Netzwerk des Opfers belegen, aber DNS Rebind Toolkit erledigt das, indem es Hunderte wahrscheinlicher IP-Adressen per Brute-Force durchprobiert.

Unter der Haube nutzt dieses Tool einen öffentlichen whonow-DNS-Server, der auf rebind.network:53 läuft, um den DNS-Rebinding-Angriff auszuführen und den Webbrowser des Opfers dazu zu bringen, die Same-Origin-Policy zu verletzen. Von dort aus nutzt es WebRTC, um die private IP-Adresse des Opfers preiszugeben, z. B. 192.168.1.36. Es verwendet die ersten drei Oktette dieser lokalen IP-Adresse, um das Subnetz des Netzwerks zu erraten, und injiziert dann 256 Iframes von 192.168.1.0-255, die einen Payload an jeden Host liefern, der möglicherweise im Netzwerk-Subnetz liegt.

Dieses Toolkit kann verwendet werden, um eigene DNS-Rebinding-Angriffe zu entwickeln und einzusetzen. Im Verzeichnis payloads/ sind mehrere reale Angriffs-Payloads enthalten. Diese Payloads umfassen Informations-Exfiltration (und Rickroll-Unfug) gegen einige beliebte IoT-Geräte, darunter Google Home und Roku-Produkte.

Dieses Toolkit ist das Produkt unabhängiger Sicherheitsforschung zu DNS-Rebinding-Angriffen. Die ursprüngliche Forschung kannst du hier lesen.

Erste Schritte

# clone the repo
git clone https://github.com/brannondorsey/dns-rebind-toolkit.git
cd dns-rebind-toolkit

# install dependencies
npm install

# run the server using root to provide access to privileged port 80 
# this script serves files from the www/, /examples, /share, and /payloads directories
sudo node server

Standardmäßig stellt server.js Payloads bereit, die Google Home, Roku, Sonos-Lautsprecher, Phillips-Hue-Lampen und Radio-Thermostat-Geräte angreifen, deren Dienste auf den Ports 8008, 8060, 1400, 80 bzw. 80 laufen. Wenn du eines dieser Geräte in deinem Heimnetzwerk hast, navigiere zu http://rebind.network für eine nette Überraschung ;). Öffne die Entwicklerkonsole und sieh zu, wie diese Dienste harmlos ausgenutzt werden, wodurch Daten von ihnen gestohlen und an server.js exfiltriert werden.

API und Verwendung

Dieses Toolkit bietet zwei JavaScript-Objekte, die zusammen verwendet werden können, um DNS-Rebinding-Angriffe zu erstellen:

• DNSRebindAttack: Dieses Objekt wird verwendet, um einen Angriff auf einen anfälligen Dienst zu starten, der auf einem bekannten Port läuft. Es erzeugt für jede IP-Adresse, die du als Ziel wählst, einen Payload. DNSRebindAttack-Objekte werden verwendet, um mehrere DNSRebindNode-Objekte zu erstellen, zu verwalten und mit ihnen zu kommunizieren. Jeder von DNSRebindAttack gestartete Payload muss ein DNSRebindNode-Objekt enthalten.
• DNSRebindNode: Dieses statische Klassenobjekt sollte in jede HTML-Payload-Datei aufgenommen werden. Es wird verwendet, um einen Dienst anzugreifen, der auf einem Host läuft. Es kann mit dem DNSRebindAttack-Objekt kommunizieren, das es erzeugt hat, und es enthält Hilfsfunktionen zur Ausführung des DNS-Rebinding-Angriffs (mit DNSRebindNode.rebind(...)) sowie zum Exfiltrieren von während des Angriffs entdeckten Daten an server.js (DNSRebindNode.exfiltrate(...)).

Diese beiden Skripte werden zusammen verwendet, um einen Angriff gegen unbekannte Hosts in einem firewallgeschützten LAN auszuführen. Ein grundlegender Angriff sieht so aus:

1. Der Angreifer sendet dem Opfer einen Link zu einer bösartigen HTML-Seite, die den Angriff startet: z. B. http://example.com/launcher.html. launcher.html enthält eine Instanz von DNSRebindAttack.
2. Das Opfer folgt dem Link des Angreifers oder besucht eine Seite, auf der http://example.com/launcher.html als Iframe eingebettet ist. Dadurch beginnt der DNSRebindAttack auf launcher.html mit dem Angriff.
3. DNSRebindAttack verwendet einen WebRTC-Leak, um die lokale IP-Adresse des Opferrechners herauszufinden (z. B. 192.168.10.84). Der Angreifer nutzt diese Informationen, um einen Bereich von IP-Adressen im LAN des Opfers als Ziel auszuwählen (z. B. 192.168.10.0-255).
4. launcher.html startet den DNS-Rebinding-Angriff (mit DNSRebindAttack.attack(...)) gegen einen Bereich von IP-Adressen im Subnetz des Opfers, wobei ein einzelner Dienst angegriffen wird (z. B. die undokumentierte Google-Home-REST-API, die auf Port 8008 verfügbar ist).
5. In einem vom Benutzer definierten Intervall (standardmäßig 200 Millisekunden) bettet DNSRebindAttack einen Iframe mit payload.html in die Seite launcher.html ein. Jeder Iframe enthält ein DNSRebindNode-Objekt, das einen Angriff auf Port 8008 eines einzelnen Hosts ausführt, der im Bereich der angegriffenen IP-Adressen definiert ist. Dieser Injektionsprozess wird fortgesetzt, bis für jede IP-Adresse, die vom Angriff angegriffen wird, ein Iframe injiziert wurde.
6. Jede injizierte payload.html-Datei verwendet DNSRebindNode, um einen Rebind-Angriff zu versuchen, indem sie mit einem whonow-DNS-Server kommuniziert. Bei Erfolg wird die Same-Origin-Policy verletzt und payload.html kann direkt mit dem Google-Home-Produkt kommunizieren. Normalerweise ist payload.html so geschrieben, dass es ein paar API-Aufrufe an das Zielgerät macht und die Ergebnisse an server.js auf example.com exfiltriert, bevor der Angriff beendet und das Skript zerstört wird.

Beachte: Wenn ein Benutzer ein Google-Home-Gerät mit unbekannter IP-Adresse in seinem Netzwerk hat und ein Angriff gegen das gesamte Subnetz 192.168.1.0/24 gestartet wird, wird der Rebind-Angriff eines DNSRebindNodes erfolgreich sein und 254 werden fehlschlagen.

Beispiele

Ein Angriff besteht aus drei koordinierten Skripten und Dateien: