Che cos’è il trasferimento di zona DNS?
Il trasferimento di zona DNS, noto anche come query DNS di tipo AXFR, è un processo attraverso il quale un server DNS passa una copia di parte del suo database a un altro server DNS. La porzione di database che viene replicata è nota come zona.
Un trasferimento di zona utilizza il protocollo TCP (Transmission Control Protocol) e prende la forma di una transazione client-server.
Il client che richiede un trasferimento di zona può essere un server slave o un server secondario, che richiede dati da un server master o un server primario.
Quando avviene di solito un trasferimento di zona DNS?
Un trasferimento di zona avviene di solito quando si installa un nuovo server DNS come server DNS secondario.
Un trasferimento completo di tutte le informazioni della zona avrà luogo per replicare i record già esistenti per quella zona. Questo processo richiede tempo e risorse. Così sono stati sviluppati i trasferimenti DNS incrementali.
Nel trasferimento incrementale, il server recupera solo i record di risorse che sono cambiati all’interno di una zona in modo da rimanere sincronizzato con il server DNS primario.
Quando si usa il trasferimento incrementale il record SOA viene confrontato per vedere se sono stati fatti dei cambiamenti. Se il server primario ha un numero di versione SOA più alto di quello del server secondario, viene avviato un trasferimento di zona.
Se il numero di versione dei record SOA è lo stesso, non viene avviato un trasferimento di zona.
Quando sono state apportate modifiche al file di zona sul server primario e c’è una lista di notifica DNS, il server primario notifica immediatamente al server secondario che il file di zona è stato modificato. La lista di notifica è una lista di indirizzi IP che specificano quali server di nomi secondari sono autorizzati ad accedere alle informazioni di zona sul server di nomi primario ai fini del trasferimento di zona.
Ecco un esempio che mostra come eseguire un trasferimento di zona DNS usando dig:
Comando:
dig axfr @nsztm1.digi.ninja zonetransfer.me Qui, nsztm1.digi.ninja è il nameserver e zonetransfer.me è il nome del dominio.
Questi record DNS sono spiegati più avanti.
Registro SOA
Le informazioni memorizzate in una zona DNS iniziano con un record SOA (Start Of Authority).
Questo record contiene informazioni su:
-
il nome del server
-
il nome dell’amministratore della zona
-
la versione attuale del record SOA
-
il numero di secondi che un nameserver secondario deve aspettare prima di controllare eventuali aggiornamenti
-
il numero di secondi da aspettare prima di riprovare un trasferimento di zona fallito
-
il numero massimo di secondi in cui un nameserver secondario può usare i dati prima di doverli aggiornare o farli scadere
-
il numero di secondi predefinito per il time-to-live (TTL) dei record di risorse.
Qui:
-
zonetransfer.me è il nome del dominio
-
nsztm1.digi.ninja.è il name server primario
-
robin.digi.ninja. rappresenta la persona responsabile del dominio
-
l’indirizzo email (scambiare il primo . per una @)
-
2014101601- L’attuale numero di serie SOA per il dominio
-
172800- Numero di secondi che un name server secondario dovrebbe attendere tra le richieste di modifica
-
900- Numero di secondi che un name server primario dovrebbe attendere se non riesce ad aggiornare correttamente
-
1209600- Numero di secondi in cui un name server secondario può affermare di avere informazioni autorevoli
-
3600- TTL minimo
MX record
Un Mail eXchange record (MX record) specifica il mail server responsabile di accettare messaggi email per conto di un nome di dominio. Qui la vittima usa il servizio di posta di Google. Questa è un’informazione utile quando si eseguono attacchi di ingegneria sociale.
TXT record
Un record Text (TXT) è un tipo di record di risorse nel Domain Name System (DNS) usato per fornire la possibilità di associare un testo arbitrario con un host o nomi, come informazioni leggibili dall’uomo, rete, data center o altre informazioni contabili.
I record TXT possono contenere informazioni preziose. Da questo record TXT, abbiamo ottenuto un id email e un numero di telefono.
RV record
Un record SRV (Service) mostra la posizione del server SIP, identifica un servizio mostrando il protocollo, l’host e la porta su cui gira.
Questo punta a un server chiamato _sip._tcp.zonetransfer.me in ascolto sulla porta TCP 5060 per Session Initiation Protocol (SIP) e www.zonetransfer.me è l’host che fornisce il servizio. La priorità data qui è 0, e il peso è 0.
A record
Un record mappa un nome di dominio al suo indirizzo IP corrispondente. Dal record A abbiamo ottenuto tre IP del centro dati e tre IP dell’ufficio che danno un totale di 6 obiettivi.
CNAME
Un record Canonical Name (CNAME) è usato per mappare un alias da un nome di dominio a un altro nome di dominio. Da questo, possiamo vedere un server di test e staging.
Impatto della vulnerabilità del trasferimento di zona DNS
Il trasferimento di zona DNS non offre autenticazione. Quindi, qualsiasi cliente o qualcuno che si spaccia per un cliente può chiedere ad un server DNS una copia dell’intera zona.
Questo significa che, a meno che non venga introdotto un qualche tipo di protezione, chiunque è in grado di ottenere una lista di tutti gli host per un particolare dominio, il che gli dà un sacco di potenziali vettori di attacco.
Come prevenire la vulnerabilità del DNS Zone Transfer?
- Solo permettere un trasferimento di zona da IP affidabili. Il seguente è un esempio di come risolvere questo problema nel server DNS BIND.
Navigare in /etc/named.conf e aggiungete questi:
ACL trusted-servers { 173.88.21.10; // ns1 184.144.221.82; // ns2 }; zone securitytrails.com { type master; file "zones/zonetransfer.me"; allow-transfer { trusted-servers; }; }; - Usa Transaction SIGnatures (TSIG) per i trasferimenti di zona
identifica le vulnerabilità prima che gli hacker le sfruttino.