Auditar sistemas vulnerables a DNS rebinding

2 enero, 2023 IP Externa

Blog sobre seguridad informática. Con temas como: Auditoria, Test penetración, Malware, Informática Forense, Antivirus, SCADA, DDoS, SQL injection, OSINT…

Singularity es una herramienta para realizar ataques de DNS rebinding . Incluye los componentes necesarios para, volver a vincular la dirección IP del nombre DNS del servidor de ataque, a la dirección IP de la máquina de destino y para servir cargas de ataque, para explotar software vulnerable en la máquina de destino.

Como funciona

DNS rebinding cambia la dirección IP de un nombre de máquina controlada por el atacante a la dirección IP de una aplicación de destino, omitiendo la política del mismo origen y permitiendo así que el navegador realice solicitudes arbitrarias a la aplicación de destino y lea sus respuestas. El servidor DNS Singularity responde con registros de tiempo de vida breve (TTL), lo que minimiza el tiempo de almacenamiento en caché de la respuesta. Cuando la víctima busca la interfaz del administrador de Singularity, el servidor DNS de Singularity responde primero con la dirección IP de Singularity, donde se aloja el código del lado del cliente (carga útil). Cuando se agota el tiempo de espera del registro DNS, el servidor DNS Singularity responde con la dirección IP del host de destino (por ejemplo, 127.0.0.1) y el navegador de la víctima puede acceder a la aplicación de destino, eludiendo la política del mismo origen del navegador. También es posible activar el enlace DNS antes de que caduque un registro DNS en caché, dependiendo de la plataforma de destino y utilizando una combinación de técnicas que se describen en secciones posteriores.

Singularity incluye cargas útiles de muestra para explotar varias versiones de software vulnerables, desde la simple captura de una página de inicio hasta la ejecución remota de código. Su objetivo es proporcionar un marco para facilitar la explotación de software vulnerable a los ataques de DNS rebinding y crear conciencia sobre cómo funcionan y cómo protegerse de ellos.

Características principales

Singularity proporciona una pila completa de entrega de ataques de DNS rebinding:
- Servidor DNS personalizado para volver a vincular el nombre DNS y la dirección IP
- Servidor HTTP (interfaz web del administrador) para servir páginas HTML y código JavaScript a los objetivos y administrar los ataques
- Varias cargas de muestra de ataques , que van desde la captura de la página de inicio de una aplicación de destino hasta la ejecución remota de código. Estas cargas útiles se pueden adaptar fácilmente para realizar ataques nuevos y personalizados.
- Admite valores DNS CNAME en la especificación de destino además de las direcciones IP para evadir las soluciones de filtrado de DNS o para apuntar a recursos internos para los que se desconoce la dirección IP.
Un escáner de puertos HTTP simple, rápido y eficiente para identificar servicios vulnerables.
La automatización de ataques permite automatizar completamente el escaneo y la explotación de servicios vulnerables en una red.
Hook and Control permite usar los navegadores web de las víctimas como servidores proxy HTTP para acceder a los recursos de la red interna, para explorar de forma interactiva y explotar aplicaciones que de otro modo serían inaccesibles con su propio navegador.

Singularity admite las siguientes cargas de ataque:

Solicitud de búsqueda básica ( simple-fetch-get.js): esta carga útil de muestra realiza una solicitud GET al directorio raíz (‘/’) y muestra la respuesta del servidor utilizando la fetchAPI. El objetivo de esta carga útil es funcionar como solicitud de ejemplo para hacer contribuciones adicionales lo más fácil posible.
automático : esta carga intenta automáticamente detectar servicios conocidos y explotarlos utilizando otras cargas enumeradas en esta sección o que fueron desarrolladas y agregadas a Singularity por los usuarios.
Chrome DevTools RCE ( exposed-chrome-devtools.js): esta carga demuestra una vulnerabilidad de ejecución remota de código (RCE) en Microsoft VS Code corregido en la versión 1.19.3. Esta carga útil se puede adaptar para explotar cualquier software que exponga Chrome Dev Tools localhost.
Etcd k / v dump ( etcd.js): esta carga recupera las claves y los valores del almacén de valores-clave etcd .
pyethapp ( pyethapp.js): Explota la implementación de Python del cliente de Ethereum Pyethapp para obtener la lista de direcciones eth propias y recuperar el saldo de la primera dirección eth.
Rails Console RCE ( rails-console-rce.js): realiza un ataque de ejecución remota de código (RCE) en la consola web de Rails .
AWS Metadata Exfil ( aws-metadata-exfil.js): obliga a un navegador sin cabeza a filtrar metadatos de AWS que incluyen claves privadas a un host determinado. Verifique el contenido de la carga útil para obtener detalles adicionales sobre cómo configurar el ataque.
Duplicati RCE ( duplicati-rce.js): esta carga explota al cliente de copia de seguridad Duplicati y realiza un ataque de ejecución remota de código (RCE). Para que este ataque funcione, el parámetro targetURL en el archivo payload-duplicati-rce.html debe actualizarse para que apunte a una copia de seguridad de Duplicati válida que contenga la carga útil real de RCE, un script de shell.
WebPDB ( webpdb.js): una carga útil genérica de RCE para explotar PDB, un depurador de python expuesto a través de websockets.
Hook and Control ( hook-and-control.js): secuestra los navegadores de destino y úsalos para acceder a recursos inaccesibles desde tu propio navegador u otros clientes HTTP. Puede recuperar la lista de navegadores enganchados en el subdominio «soohooked» del host del administrador Singularity en el puerto 3129 de forma predeterminada, por ejemplo, http://soohooked.rebinder.your.domain:3129/ . Para autenticarse, envíe el valor secreto volcado a la consola por el servidor Singularity al inicio.
Jenkins Script Console ( jenkins-script-console.js): esta carga explota la Jenkins Script Console y muestra las credenciales almacenadas.
Docker API ( docker-api.js): esta carga aprovecha la API de Docker y muestra el /etc/shadowarchivo del host Docker.