DNS Rebind Toolkit

Демо | Уведомление о безопасности | Встроенные полезные нагрузки | FAQ

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Данное программное обеспечение предназначено только для образовательных целей. Оно не должно использоваться для незаконной деятельности. Автор не несет ответственности за его использование. Не будьте засранцем.

DNS Rebind Toolkit — это клиентский JavaScript-фреймворк для разработки эксплойтов DNS Rebinding против уязвимых хостов и сервисов в локальной сети (LAN). Он может использоваться для атак на такие устройства, как Google Home, Roku, колонки Sonos WiFi, WiFi-роутеры, «умные» термостаты и другие IoT-устройства. С помощью этого инструментария удаленный злоумышленник может обойти брандмауэр роутера и напрямую взаимодействовать с устройствами в домашней сети жертвы, извлекая конфиденциальную информацию, а в некоторых случаях даже управляя уязвимыми устройствами.

Атака требует, чтобы жертва в целевой сети просто перешла по ссылке или увидела HTML-рекламу, содержащую вредоносный iframe. Затем браузер жертвы используется как прокси для прямого доступа к другим хостам в ее домашней сети. Эти целевые машины и сервисы в противном случае были бы недоступны злоумышленнику из Интернета. Удаленный злоумышленник может не знать, что это за сервисы или какие IP-адреса они занимают в сети жертвы, но DNS Rebind Toolkit решает эту проблему путем перебора сотен вероятных IP-адресов.

Под капотом этот инструмент использует публичный DNS-сервер whonow, работающий на rebind.network:53, для выполнения атаки перепривязки DNS и обмана браузера жертвы, заставляя его нарушить политику одинакового происхождения. Затем он использует WebRTC для утечки частного IP-адреса жертвы, например 192.168.1.36. Используя первые три октета этого локального IP-адреса, он определяет подсеть сети и вставляет 256 iframe-ов, от 192.168.1.0 до 255, доставляя полезную нагрузку на каждый хост, который может находиться в этой подсети.

Этот инструментарий можно использовать для разработки и развертывания собственных атак перепривязки DNS. В комплект входит несколько реальных атакующих полезных нагрузок в каталоге payloads/. Эти полезные нагрузки включают атаки по извлечению информации (а также шалости с rickroll) против нескольких популярных IoT-устройств, включая продукты Google Home и Roku.

Этот инструментарий является результатом независимого исследования безопасности атак DNS Rebinding. Вы можете прочитать об этом исследовании здесь.

Начало работы

# клонируем репозиторий
git clone https://github.com/brannondorsey/dns-rebind-toolkit.git
cd dns-rebind-toolkit

# устанавливаем зависимости
npm install

# запускаем сервер с правами root для доступа к привилегированному порту 80
# этот скрипт обслуживает файлы из каталогов www/, /examples, /share и /payloads
sudo node server

По умолчанию server.js обслуживает полезные нагрузки для Google Home, Roku, колонок Sonos, лампочек Phillips Hue и устройств Radio Thermostat, работающих на портах 8008, 8060, 1400, 80 и 80 соответственно. Если у вас есть одно из этих устройств в домашней сети, перейдите по адресу http://rebind.network — вас ждет сюрприз ;). Откройте консоль разработчика и наблюдайте, как эти сервисы безвредно эксплуатируются, а данные из них крадутся и передаются на server.js.

API и использование

Этот инструментарий предоставляет два объекта JavaScript, которые можно использовать вместе для создания атак перепривязки DNS:

• DNSRebindAttack: Этот объект используется для запуска атаки на уязвимый сервис, работающий на известном порту. Он порождает по одной полезной нагрузке для каждого IP-адреса, который вы выбираете для атаки. Объекты DNSRebindAttack используются для создания, управления и связи с несколькими объектами DNSRebindNode. Каждая полезная нагрузка, запущенная DNSRebindAttack, должна содержать объект DNSRebindNode.
• DNSRebindNode: Этот статический объект класса должен быть включен в каждый файл HTML-полезной нагрузки. Он используется для атаки на один сервис, работающий на одном хосте. Он может связываться с породившим его объектом DNSRebindAttack и имеет вспомогательные функции для выполнения атаки перепривязки DNS (с помощью DNSRebindNode.rebind(...)) и для эксфильтрации данных, обнаруженных во время атаки, на server.js (DNSRebindNode.exfiltrate(...)).

Эти два скрипта используются вместе для выполнения атаки на неизвестные хосты в защищенной брандмауэром локальной сети. Базовая атака выглядит так:

1. Злоумышленник отправляет жертве ссылку на вредоносную HTML-страницу, которая запускает атаку: например, http://example.com/launcher.html. launcher.html содержит экземпляр DNSRebindAttack.
2. Жертва переходит по ссылке злоумышленника или посещает страницу, на которой http://example.com/launcher.html встроен как iframe. Это заставляет DNSRebindAttack на launcher.html начать атаку.
3. DNSRebindAttack использует утечку WebRTC для обнаружения локального IP-адреса машины жертвы (например, 192.168.10.84). Злоумышленник использует эту информацию для выбора диапазона IP-адресов для атаки в локальной сети жертвы (например, 192.168.10.0-255).
4. launcher.html запускает атаку перепривязки DNS (с помощью DNSRebindAttack.attack(...)) против диапазона IP-адресов в подсети жертвы, нацеливаясь на один сервис (например, недокументированный REST API Google Home доступный на порту 8008).
5. С интервалом, определенным пользователем (по умолчанию 200 миллисекунд), DNSRebindAttack встраивает один iframe, содержащий payload.html, на страницу launcher.html. Каждый iframe содержит один объект DNSRebindNode, который выполняет атаку на порт 8008 одного хоста из диапазона атакуемых IP-адресов. Этот процесс внедрения продолжается, пока не будет внедрен iframe для каждого IP-адреса, который является целью атаки.
6. Каждый внедренный файл payload.html использует DNSRebindNode для попытки атаки перепривязки, связываясь с DNS-сервером whonow. Если это удается, политика одинакового происхождения нарушается, и payload.html может напрямую связываться с устройством Google Home. Обычно payload.html написан таким образом, чтобы выполнить несколько вызовов API к целевому устройству и эксфильтровать результаты на server.js, запущенный на example.com, после чего атака завершается и он уничтожается.

Обратите внимание: если у пользователя есть одно устройство Google Home в сети с неизвестным IP-адресом, и атака запускается на всю подсеть 192.168.1.0/24, то одна атака перепривязки DNSRebindNode будет успешной, а 254 — неудачными.

Примеры

Атака состоит из трех скоординированных скриптов и файлов: