研究人员演示新DNS重定向攻击技术

IOActive公司的一位渗透测试安全研究员Dan Kaminsky在上星期举行的RSA会议上演示了如何利用网页攻击人们以为很安全的设备。他演示了一个网站如何登录一台家用路由器并且修改一些关键的设置，如管理员口令和用于访问可信赖的网站的服务器。

Kaminsky没有利用木马或其它专门用于渗透防火墙保护的恶意软件。他演示了一个浏览器如何实现上述同样目标的方法。他的演示使用了一种名为“DNS重定向”的攻击技术，利用欺骗性的IP地址突破网络的防御。

网站本身的政策是阻止不同网站上载的网页和数据修改其它网站上载的网页和数据。DNS重定向攻击可用来破坏这个政策，单一的目的地可以有一个以上与它有关的IP地址，并且因为没有任何阻止一个网站把自己与其他任何人的IP地址关联起来，DNS重定向攻击可以欺骗一个浏览器允许一个网站访问它在正常情况下不能访问的一台服务器或者其它资源。

Kaminsky解释说，这种技术实际上突破了这个网络的整个安全模式。bar.com网站曾指向在欧洲的服务器，接下来这个网站又指向了大厅里的一台打印机。他说，我们依靠这个网络的安全模式防止这种事情的发生。

为了演示正在实施的这种攻击，Kaminsky访问了一个网站，这个指定的网站打开了一台D-Link无线路由器基于网络浏览器的设置页。当然，我们知道这种攻击需要这台设备使用软弱的或者不存在的管理员口令。但是，这并不是重点。这种技术还能够用破坏与一个IP地址关联的防火墙、数据库和其它资源。(值得指出的是使用弱口令的或者不存在的管理员口令是很普遍的。)

当然，安全弱点并不是一家厂商的错误，甚至也不是少数几家厂商的错误。这是在过去的几十年里参与构造网络的所有的人的集体错误。允许浏览器发现一个网站的那些协议同样可以用来偷偷地越过一家公司的防火墙窃取企业的宝贵资源。

DNS重定向并不是白帽和黑帽黑客用来强制进入路由器和其它连接到网络的设备的唯一方法。跨站脚本攻击XSS一直是已知的能够做这种事情的攻击。跨站脚本攻击XSS允许攻击者向可信赖的网站嵌入恶意代码。黑客组织GNU Citizen今年1月称，即插即用功能使许多家用路由器都有安全漏洞，把连接到网络的计算机引诱到一个陷阱网站就可以控制这些路由器。

Kaminsk说，这些攻击方法需要设计安全漏洞才可能实现，如设计在路由器或者在软件组件中安全漏洞，如Adobe flash软件中的漏洞等。这就意味着这些安全漏洞能够在短时间内修复。Adobe本周三(4月9日)就推出了Flash软件的升级版本，阻止了使用即插即用功能对路由器的攻击。

这个升级版本的软件还可以减少DNS重定向攻击引起的破坏。Kaminsky以前能够控制许多使用大量协议的设备，包括远程桌面、Windows文件共享和甲骨文数据库调用等。现在，这种攻击仅限于有网络接口的设备。许多合法的网站把自己的各种服务分配给一个以上的IP地址，从而使所谓的DNS连通不可用。浏览器厂商最终将被迫安装控件。但是，Kaminsk表示浏览器厂商已经很长时间没有这样做了。

同时，IT管理员在决定把各种设备连接到网络之前应该认真考虑这个安全漏洞。家庭用户应该使自己的路由器有一个强大的口令。除此之外，人们还要学着了解DNS重定向攻击，这个安全漏洞不会短时间内消失。