rbndr

Service simple de rebinding DNS

rbndr est un serveur de noms très simple, non conforme, pour tester les logiciels contre les vulnérabilités de rebinding DNS. Le serveur répond aux requêtes en sélectionnant aléatoirement l'une des adresses spécifiées dans le nom d'hôte et en la renvoyant comme réponse avec un TTL très bas.

https://en.wikipedia.org/wiki/DNS_rebinding

Le rebinding DNS est une forme de vulnérabilité TOCTOU (time of check, time of use). Vous l'utiliseriez si vous avez un service qui utilise incorrectement les vérifications de pré-vol (preflight) pour modifier les propriétés de sécurité. Par exemple, considérez un plugin de navigateur (fictif) qui a une API comme celle-ci :

AllowUntrustedAccess("foobar.com");
SendArbitraryRequests("foobar.com");

Et AllowUntrustedAccess() envoie simplement une requête HTTP de pré-vol au serveur :

GET /CanIDisableSecurity HTTP/1.1

Si le service renvoie 200, alors le plugin accorde à la page hôte un accès complet à ce nom d'hôte. Cela peut être une vulnérabilité de sécurité, car vous pouvez spécifier un nom d'hôte rbndr qui basculera entre un hôte que vous contrôlez et un hôte que vous ne contrôlez pas. Le plugin pourrait permettre un accès complet à une adresse IP arbitraire (par exemple, un service interne ou localhost) même si ce service n'autoriserait normalement pas la vérification de pré-vol.

Cela peut sembler irréaliste, mais c'est exactement ainsi qu'Adobe Flash, Oracle Java et beaucoup d'autres produits ont fonctionné par le passé, et beaucoup d'autres produits fonctionnent encore.

Lisez comment Adobe a tenté de résoudre ce problème dans Flash ici, https://www.adobe.com/devnet/flashplayer/articles/fplayer9_security.html

Pour les logiciels vulnérables à cette classe d'attaque, rbndr est un moyen simple de tester sans avoir à modifier /etc/hosts ou à configurer votre propre serveur de noms. Si le logiciel associe le résultat uniquement au nom d'hôte et non au nom d'hôte et à l'adresse IP, alors vous pouvez vous accorder l'accès à n'importe quelle adresse IP.

Le format des noms d'hôte est simplement

<ipv4 in base-16>.<ipv4 in base-16>.rbndr.us

Mais vous pouvez utiliser ce site web pour convertir depuis les quad-pointeurs (dotted quads) si vous préférez :

https://lock.cmpxchg8b.com/rebinder.html

Par exemple, pour basculer entre 127.0.0.1 et 192.168.0.1, vous les encoderiez en dwords, puis utiliseriez :

7f000001.c0a80001.rbndr.us

Testons-le :

$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 127.0.0.1
$ host 7f000001.c0a80001.rbndr.us
7f000001.c0a80001.rbndr.us has address 192.168.0.1

Comme vous pouvez le voir, le serveur renvoie aléatoirement l'une des adresses. Vous pourriez faire quelque chose comme ceci (en pseudo-code) :

// Keep calling api until it resolves to the address you control and you get granted access
while (AllowUntrustedAccesss("7f000001.c0a80001.rbndr.us") != true)
  ;

// Access granted, now wait for it to re-bind
while (ConnectToPort("7f000001.c0a80001.rbndr.us", 123) != true)
 ;
 
 // Now you have access to localhost:123 even though localhost did not opt-in to reduced security.
 SomethingEvil();