rbndr

Servicio simple de Rebinding DNS

rbndr es un servidor de nombres muy simple y no conforme para probar software contra vulnerabilidades de DNS rebinding. El servidor responde a consultas seleccionando aleatoriamente una de las direcciones especificadas en el nombre de host y devolviéndola como respuesta con un ttl muy bajo.

https://en.wikipedia.org/wiki/DNS_rebinding

El DNS rebinding es una forma de vulnerabilidad TOCTOU (tiempo de verificación, tiempo de uso). Lo usarías si tienes un servicio que utiliza comprobaciones "preflight" incorrectamente para modificar propiedades de seguridad. Por ejemplo, considera un (ficticio) plugin de navegador que tiene una api como esta:

AllowUntrustedAccess("foobar.com");
SendArbitraryRequests("foobar.com");

Y AllowUntrustedAccess() simplemente envía una solicitud HTTP preflight al host:

GET /CanIDisableSecurity HTTP/1.1

Si el servicio devuelve 200, entonces el plugin permite a la página de origen acceso completo a ese nombre de host. Esto podría ser una vulnerabilidad de seguridad, porque puedes especificar un nombre de host rbndr que cambiará entre un host que controlas y un host que no controlas. El plugin podría permitir acceso completo a una dirección ip arbitraria (por ejemplo, un servicio interno, o localhost) incluso si ese servicio normalmente no permitiría la comprobación preflight.

Esto puede sonar poco realista, pero así es exactamente como funcionaban Adobe Flash, Oracle Java y muchos otros productos en el pasado, y muchos otros productos todavía funcionan así.

Lee sobre cómo Adobe intentó resolver este problema en Flash aquí, https://www.adobe.com/devnet/flashplayer/articles/fplayer9_security.html

Para software que es vulnerable a esta clase de ataque, rbndr es una forma sencilla de probar sin tener que modificar /etc/hosts o configurar tu propio servidor de nombres. Si el software asocia el resultado solo con el nombre de host y no con el nombre de host y la dirección ip, entonces puedes concederte acceso a cualquier dirección ip.

El formato para los nombres de host es simplemente

<ipv4 en base-16>.<ipv4 en base-16>.rbndr.us

Pero puedes usar este sitio web para convertir desde puntos cuádruples si lo prefieres:

https://lock.cmpxchg8b.com/rebinder.html

Por ejemplo, para cambiar entre 127.0.0.1 y 192.168.0.1 los codificarías como dwords, y luego usarías:

7f000001.c0a80001.rbndr.us

Probémoslo:

$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1

Como puedes ver, el servidor devuelve aleatoriamente una de las direcciones. Podrías hacer algo como esto (en pseudocódigo):

// Keep calling api until it resolves to the address you control and you get granted access
while (AllowUntrustedAccesss("7f000001.c0a80001.rbndr.us") != true)
  ;

// Access granted, now wait for it to re-bind
while (ConnectToPort("7f000001.c0a80001.rbndr.us", 123) != true)
 ;
 
 // Now you have access to localhost:123 even though localhost did not opt-in to reduced security.
 SomethingEvil();