ਸਾਰੇ DNS ਰੈਜ਼ੋਲਵਰਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਵਾਲਾ NXNSAtack ਹਮਲਾ

ਤੇਲ ਅਵੀਵ ਯੂਨੀਵਰਸਿਟੀ ਅਤੇ ਹਰਜ਼ਲੀਆ (ਇਜ਼ਰਾਈਲ) ਵਿੱਚ ਅੰਤਰ-ਅਨੁਸ਼ਾਸਨੀ ਕੇਂਦਰ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਵਿਕਸਤ ਹੋਇਆ ਹੈ ਹਮਲੇ ਦਾ ਨਵਾਂ ਤਰੀਕਾ NXNSAttack (PDF), ਤੁਹਾਨੂੰ ਕਿਸੇ ਵੀ DNS ਰੈਜ਼ੋਲਵਰ ਨੂੰ ਟ੍ਰੈਫਿਕ ਐਂਪਲੀਫਾਇਰ ਵਜੋਂ ਵਰਤਣ ਦੀ ਇਜ਼ਾਜਤ ਦਿੰਦੇ ਹੋਏ, ਪੈਕੇਟਾਂ ਦੀ ਗਿਣਤੀ ਦੇ ਹਿਸਾਬ ਨਾਲ 1621 ਗੁਣਾ ਤੱਕ ਦੀ ਐਂਪਲੀਫਿਕੇਸ਼ਨ ਦਰ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹੋਏ (ਰੈਜ਼ੋਲਵਰ ਨੂੰ ਭੇਜੀ ਗਈ ਹਰੇਕ ਬੇਨਤੀ ਲਈ, ਤੁਸੀਂ ਪੀੜਤ ਦੇ ਸਰਵਰ ਨੂੰ ਭੇਜੀਆਂ ਜਾ ਰਹੀਆਂ 1621 ਬੇਨਤੀਆਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ) ਅਤੇ ਟ੍ਰੈਫਿਕ ਦੇ ਮਾਮਲੇ ਵਿੱਚ 163 ਗੁਣਾ ਤੱਕ.

ਸਮੱਸਿਆ ਪ੍ਰੋਟੋਕੋਲ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨਾਲ ਸਬੰਧਤ ਹੈ ਅਤੇ ਸਾਰੇ DNS ਸਰਵਰਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਜੋ ਮੁੜ-ਵਰਤੀ ਪੁੱਛਗਿੱਛ ਪ੍ਰਕਿਰਿਆ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ, ਸਮੇਤ ਬੰਨ੍ਹ (ਸੀਵੀਈ -2020-8616), ਗੰਢ (ਸੀਵੀਈ -2020-12667), PowerDNS (ਸੀਵੀਈ -2020-10995), ਵਿੰਡੋਜ਼ DNS ਸਰਵਰ и ਬੇਅੰਤ (CVE-2020-12662), ਨਾਲ ਹੀ Google, Cloudflare, Amazon, Quad9, ICANN ਅਤੇ ਹੋਰ ਕੰਪਨੀਆਂ ਦੀਆਂ ਜਨਤਕ DNS ਸੇਵਾਵਾਂ। ਫਿਕਸ ਨੂੰ DNS ਸਰਵਰ ਡਿਵੈਲਪਰਾਂ ਨਾਲ ਤਾਲਮੇਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਨ੍ਹਾਂ ਨੇ ਆਪਣੇ ਉਤਪਾਦਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ ਇੱਕੋ ਸਮੇਂ ਅਪਡੇਟ ਜਾਰੀ ਕੀਤੇ ਸਨ। ਹਮਲੇ ਦੀ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਲਾਗੂ ਕੀਤੀ ਗਈ ਹੈ
ਅਨਬਾਊਂਡ 1.10.1, ਗੰਢ ਰੈਜ਼ੋਲਵਰ 5.1.1, PowerDNS ਰੀਕਰਸਰ 4.3.1, 4.2.2, 4.1.16, BIND 9.11.19, 9.14.12, 9.16.3.

ਹਮਲਾ ਹਮਲਾਵਰ ਦੁਆਰਾ ਬੇਨਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ 'ਤੇ ਅਧਾਰਤ ਹੈ ਜੋ ਪਹਿਲਾਂ ਅਣਦੇਖੇ ਜਾਅਲੀ NS ਰਿਕਾਰਡਾਂ ਦੀ ਇੱਕ ਵੱਡੀ ਗਿਣਤੀ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹਨ, ਜਿਸ ਨੂੰ ਨਾਮ ਨਿਰਧਾਰਨ ਸੌਂਪਿਆ ਜਾਂਦਾ ਹੈ, ਪਰ ਜਵਾਬ ਵਿੱਚ NS ਸਰਵਰਾਂ ਦੇ IP ਪਤਿਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਗਲੂ ਰਿਕਾਰਡਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤੇ ਬਿਨਾਂ। ਉਦਾਹਰਨ ਲਈ, ਹਮਲਾਵਰ ਹਮਲਾਵਰ.com ਡੋਮੇਨ ਲਈ ਜ਼ਿੰਮੇਵਾਰ DNS ਸਰਵਰ ਨੂੰ ਕੰਟਰੋਲ ਕਰਕੇ sd1.attacker.com ਨਾਮ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਇੱਕ ਪੁੱਛਗਿੱਛ ਭੇਜਦਾ ਹੈ। ਹਮਲਾਵਰ ਦੇ DNS ਸਰਵਰ ਨੂੰ ਹੱਲ ਕਰਨ ਵਾਲੇ ਦੀ ਬੇਨਤੀ ਦੇ ਜਵਾਬ ਵਿੱਚ, ਇੱਕ ਜਵਾਬ ਜਾਰੀ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ IP NS ਸਰਵਰਾਂ ਦਾ ਵੇਰਵਾ ਦਿੱਤੇ ਬਿਨਾਂ ਜਵਾਬ ਵਿੱਚ NS ਰਿਕਾਰਡਾਂ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹੋਏ ਪੀੜਤ ਦੇ DNS ਸਰਵਰ ਨੂੰ sd1.attacker.com ਪਤੇ ਦੇ ਨਿਰਧਾਰਨ ਨੂੰ ਸੌਂਪਦਾ ਹੈ। ਕਿਉਂਕਿ ਜ਼ਿਕਰ ਕੀਤੇ NS ਸਰਵਰ ਦਾ ਪਹਿਲਾਂ ਸਾਹਮਣਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਸਦਾ IP ਪਤਾ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਰੈਜ਼ੋਲਵਰ ਟਾਰਗੇਟ ਡੋਮੇਨ (victim.com) ਦੀ ਸੇਵਾ ਕਰਨ ਵਾਲੇ ਪੀੜਤ ਦੇ DNS ਸਰਵਰ ਨੂੰ ਇੱਕ ਪੁੱਛਗਿੱਛ ਭੇਜ ਕੇ NS ਸਰਵਰ ਦਾ IP ਪਤਾ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ।

ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਹਮਲਾਵਰ ਗੈਰ-ਮੌਜੂਦ ਫਰਜ਼ੀ ਪੀੜਤ ਸਬਡੋਮੇਨ ਨਾਮਾਂ (fake-1.victim.com, fake-2.victim.com,... fake-1000) ਦੇ ਨਾਲ ਗੈਰ-ਦੁਹਰਾਉਣ ਵਾਲੇ NS ਸਰਵਰਾਂ ਦੀ ਇੱਕ ਵੱਡੀ ਸੂਚੀ ਦੇ ਨਾਲ ਜਵਾਬ ਦੇ ਸਕਦਾ ਹੈ। ਪੀੜਤ.com). ਰੈਜ਼ੋਲਵਰ ਪੀੜਤ ਦੇ DNS ਸਰਵਰ ਨੂੰ ਇੱਕ ਬੇਨਤੀ ਭੇਜਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ, ਪਰ ਇੱਕ ਜਵਾਬ ਪ੍ਰਾਪਤ ਕਰੇਗਾ ਕਿ ਡੋਮੇਨ ਨਹੀਂ ਮਿਲਿਆ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਹ ਸੂਚੀ ਵਿੱਚ ਅਗਲੇ NS ਸਰਵਰ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਉਦੋਂ ਤੱਕ ਜਦੋਂ ਤੱਕ ਇਸ ਨੇ ਸਾਰੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਨਹੀਂ ਕੀਤੀਆਂ। ਹਮਲਾਵਰ ਦੁਆਰਾ ਸੂਚੀਬੱਧ NS ਰਿਕਾਰਡ। ਇਸ ਅਨੁਸਾਰ, ਇੱਕ ਹਮਲਾਵਰ ਦੀ ਬੇਨਤੀ ਲਈ, ਰੈਜ਼ੋਲਵਰ NS ਮੇਜ਼ਬਾਨਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰੀਆਂ ਬੇਨਤੀਆਂ ਭੇਜੇਗਾ। ਕਿਉਂਕਿ NS ਸਰਵਰ ਨਾਮ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਗੈਰ-ਮੌਜੂਦ ਸਬਡੋਮੇਨਾਂ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹਨ, ਉਹਨਾਂ ਨੂੰ ਕੈਸ਼ ਤੋਂ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਹਮਲਾਵਰ ਤੋਂ ਹਰੇਕ ਬੇਨਤੀ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਪੀੜਤ ਦੇ ਡੋਮੇਨ ਦੀ ਸੇਵਾ ਕਰਨ ਵਾਲੇ DNS ਸਰਵਰ ਨੂੰ ਬੇਨਤੀਆਂ ਦੀ ਇੱਕ ਭੜਕਾਹਟ ਹੁੰਦੀ ਹੈ।

ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਸਮੱਸਿਆ ਦੇ ਜਨਤਕ DNS ਹੱਲ ਕਰਨ ਵਾਲਿਆਂ ਦੀ ਕਮਜ਼ੋਰੀ ਦੀ ਡਿਗਰੀ ਦਾ ਅਧਿਐਨ ਕੀਤਾ ਅਤੇ ਇਹ ਨਿਰਧਾਰਿਤ ਕੀਤਾ ਕਿ CloudFlare ਰੈਜ਼ੋਲਵਰ (1.1.1.1) ਨੂੰ ਸਵਾਲਾਂ ਨੂੰ ਭੇਜਣ ਵੇਲੇ, ਪੈਕੇਟਾਂ ਦੀ ਗਿਣਤੀ (ਪੀਏਐਫ, ਪੈਕੇਟ ਐਂਪਲੀਫਿਕੇਸ਼ਨ ਫੈਕਟਰ) ਨੂੰ 48 ਗੁਣਾ ਵਧਾਉਣਾ ਸੰਭਵ ਹੈ, ਗੂਗਲ. (8.8.8.8) - 30 ਵਾਰ, FreeDNS (37.235.1.174) - 50 ਵਾਰ, OpenDNS (208.67.222.222) - 32 ਵਾਰ। ਲਈ ਵਧੇਰੇ ਧਿਆਨ ਦੇਣ ਯੋਗ ਸੂਚਕਾਂ ਨੂੰ ਦੇਖਿਆ ਜਾਂਦਾ ਹੈ
ਪੱਧਰ3 (209.244.0.3) - 273 ਵਾਰ, Quad9 (9.9.9.9) - 415 ਵਾਰ
SafeDNS (195.46.39.39) - 274 ਵਾਰ, Verisign (64.6.64.6) - 202 ਵਾਰ,
ਅਲਟਰਾ (156.154.71.1) - 405 ਵਾਰ, ਕੋਮੋਡੋ ਸਕਿਓਰ (8.26.56.26) - 435 ਵਾਰ, DNS.Watch (84.200.69.80) - 486 ਵਾਰ, ਅਤੇ Norton ConnectSafe (199.85.126.10 ਵਾਰ)। BIND 569 'ਤੇ ਅਧਾਰਤ ਸਰਵਰਾਂ ਲਈ, ਬੇਨਤੀਆਂ ਦੇ ਸਮਾਨਤਾ ਦੇ ਕਾਰਨ, ਲਾਭ ਦਾ ਪੱਧਰ 9.12.3 ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਗੰਢ ਰੈਜ਼ੋਲਵਰ 1000 ਵਿੱਚ, ਲਾਭ ਦਾ ਪੱਧਰ ਲਗਭਗ ਕਈ ਗੁਣਾ (5.1.0-24) ਹੈ, ਦੇ ਨਿਰਧਾਰਨ ਤੋਂ ਬਾਅਦ। NS ਨਾਮ ਕ੍ਰਮਵਾਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਇੱਕ ਬੇਨਤੀ ਲਈ ਮਨਜ਼ੂਰ ਨਾਮ ਰੈਜ਼ੋਲੂਸ਼ਨ ਕਦਮਾਂ ਦੀ ਸੰਖਿਆ 'ਤੇ ਅੰਦਰੂਨੀ ਸੀਮਾ 'ਤੇ ਟਿਕੇ ਰਹਿੰਦੇ ਹਨ।

ਦੋ ਮੁੱਖ ਰੱਖਿਆ ਰਣਨੀਤੀਆਂ ਹਨ। DNSSEC ਵਾਲੇ ਸਿਸਟਮਾਂ ਲਈ ਪ੍ਰਸਤਾਵਿਤ ਵਰਤੋਂ ਆਰਐਫਸੀ -8198 DNS ਕੈਸ਼ ਬਾਈਪਾਸ ਨੂੰ ਰੋਕਣ ਲਈ ਕਿਉਂਕਿ ਬੇਨਤੀਆਂ ਬੇਤਰਤੀਬੇ ਨਾਮਾਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਵਿਧੀ ਦਾ ਸਾਰ DNSSEC ਦੁਆਰਾ ਰੇਂਜ ਚੈਕਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਧਿਕਾਰਤ DNS ਸਰਵਰਾਂ ਨਾਲ ਸੰਪਰਕ ਕੀਤੇ ਬਿਨਾਂ ਨਕਾਰਾਤਮਕ ਜਵਾਬ ਪੈਦਾ ਕਰਨਾ ਹੈ। ਇੱਕ ਸਰਲ ਪਹੁੰਚ ਨਾਮਾਂ ਦੀ ਸੰਖਿਆ ਨੂੰ ਸੀਮਤ ਕਰਨਾ ਹੈ ਜੋ ਇੱਕ ਸਿੰਗਲ ਡੈਲੀਗੇਟਿਡ ਬੇਨਤੀ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ, ਪਰ ਇਹ ਵਿਧੀ ਕੁਝ ਮੌਜੂਦਾ ਸੰਰਚਨਾਵਾਂ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਕਰ ਸਕਦੀ ਹੈ ਕਿਉਂਕਿ ਸੀਮਾਵਾਂ ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਨਹੀਂ ਹਨ।

ਸਰੋਤ: opennet.ru