DNS Spoofing o DNS cache Poison

DNS Spoofing chiamato anche con il nome di DNS cache poisoning , è un a informatica di hacking in cui corrotta Domain Name System di dati viene introdotto nel resolver DNS ‘s della cache , in maniera tale che  il name server restituisce un record errato ,  per  esempio l’ indirizzo IP verso il computer dell’aggressore  in modo da dirottarne il traffico.

Nello specifico un server Domain Name System traduce un nome di dominio alfanumerico  in un indirizzo IP numerico il quale viene  utilizzato al fine di   instradare le comunicazioni tra nodi . Nel caso  il server non conosca  una traduzione richiesta, lo richiederà a un altro server e il processo continuerà in modo ricorsivo . Per aumentare le prestazioni, un server in genere ricorderà (memorizza nella cache) queste traduzioni per un certo periodo di tempo. Ciò significa che se riceve un’altra richiesta per la stessa traduzione, può rispondere senza la necessità di chiedere ad altri server, fino alla scadenza della cache.

Funzionamento DNS Cache con schema aggressore di un maleintezionato DNS SPoofing o Poison Cache

Quando un server DNS ha ricevuto una traduzione errata o compromessa e la memorizza nella cache per l’ottimizzazione delle prestazioni, viene considerato avvelenato e fornisce i dati errati ai client. Se un server DNS “avvelenato”, potrebbe restituire un indirizzo IP errato, ovviamente tutto questo al fine di deviare  il traffico su un altro computer che spesso è proprio un utente malintezionato.

Questo è uno schema del funzionamento normale del DNS Cache

Ovviamente questo è solamente il caso principale, ne esistono diverse

Questo invece è uno scherma di funzionamento nel caso un aggressore abbia avvelenato la vostra cache

DNS server’s request: what are the address records for subdomain.attacker.example?

subdomain.attacker.example. IN A

Attacker’s response:

Answer:
(no response)

Authority section:
attacker.example. 3600 IN NS ns.target.example.

Additional section:
ns.target.example. IN A w.x.y.z

Sezione aggiuntiva:
ns.target.example. IN A wxyz

Un server vulnerabile, che non abbia le opportune difese contro questo tipo di attacco finirebbe per memorizzare cache il record A aggiuntivo (indirizzo IP) per ns.target.example , consentendo all’autore dell’attacco di risolvere le query sull’intero dominio target.example .

Questo finirebbe per reindirizzare il record NS su un altro dominio di destinazione . La seconda variante  di questo tipo di attacco di Poison cache DNS comporta il reindirizzamento del nameserver di un altro dominio non correlato alla richiesta originale a un indirizzo IP specificato dall’aggressore. 

Richiesta del server DNS: quali sono i record di indirizzo per subdomain.attacker.example ?

subdomain.attacker.example. IN UN
Risposta dell’attaccante:

Risposta:
(nessuna risposta)

Sezione dell’autorità:
target.example. 3600 IN NS ns.attacker.example.

Sezione aggiuntiva:
ns.attacker.example. IN A wxyz
Un server vulnerabile memorizzerebbe nella cache le informazioni di autorità non correlate per il record NS di target.example (voce nameserver), consentendo all’aggressore di risolvere le query sull’intero dominio target.example .