Wat is DNS zone transfer?
DNS-zoneoverdracht, ook bekend als DNS query type AXFR, is een proces waarbij een DNS-server een kopie van een deel van zijn database doorgeeft aan een andere DNS-server. Het gedeelte van de database dat wordt gerepliceerd staat bekend als een zone.
Een zoneoverdracht maakt gebruik van het Transmission Control Protocol (TCP) en heeft de vorm van een client-server transactie.
De client die om een zoneoverdracht verzoekt kan een slaveserver of secundaire server zijn, die gegevens aanvraagt van een masterserver of een primaire server.
Wanneer vindt een DNS zone transfer meestal plaats?
Een zone transfer vindt meestal plaats wanneer u een nieuwe DNS server als secundaire DNS server in gebruik neemt.
Een volledige transfer van alle zone informatie zal plaatsvinden om de reeds bestaande records voor die zone te repliceren. Dit is een tijdrovend en resource-intensief proces. Daarom werden incrementele DNS-transfers ontwikkeld.
Bij de incrementele overdracht haalt de server alleen de resource records op die binnen een zone zijn gewijzigd, zodat hij gesynchroniseerd blijft met de primaire DNS-server.
Bij gebruik van incrementele overdracht wordt het SOA-record vergeleken om te zien of er wijzigingen zijn aangebracht. Als de primaire naamserver een hoger SOA-versienummer heeft dan de secundaire naamserver, wordt een zoneoverdracht geïnitieerd.
Als het SOA-records versienummer hetzelfde is, wordt geen zoneoverdracht geïnitieerd.
Als er wijzigingen zijn aangebracht in het zonebestand op de primaire naamserver en er is een DNS-kennisgevingslijst, meldt de primaire naamserver onmiddellijk aan de secundaire naamserver dat het zonebestand is gewijzigd. Vervolgens krijgt deze de opdracht een zoneoverdracht te starten zonder te wachten tot het verversinterval is verstreken.
De notify-lijst is een lijst met IP-adressen die aangeeft welke secundaire naamservers toegang mogen hebben tot zone-informatie op de primaire naamserver ten behoeve van de zoneoverdracht.
Hier volgt een voorbeeld van hoe een DNS-zoneoverdracht met dig kan worden uitgevoerd:
Commando:
dig axfr @nsztm1.digi.ninja zonetransfer.me Hier is nsztm1.digi.ninja de nameserver en zonetransfer.me is de domeinnaam.
Deze DNS-records worden hieronder verder toegelicht.
SOA-record
Informatie die is opgeslagen in een DNS-zone begint met een SOA-record (Start Of Authority).
Dit record bevat informatie over:
-
de naam van de server
-
naam van de beheerder van de zone
-
de huidige versie van het SOA-record
-
het aantal seconden dat een secundaire naamserver moet wachten alvorens te controleren op eventuele updates
-
het aantal seconden dat moet worden gewacht voordat een mislukte zoneoverdracht opnieuw wordt geprobeerd
-
het maximale aantal seconden dat een secundaire naamserver gegevens kan gebruiken voordat deze moeten worden ververst of verlopen
-
het standaardaantal seconden voor het time-to-live (TTL)-bestand op bronrecords.
Hier:
-
zonetransfer.me is de naam van domein
-
nsztm1.digi.ninja.is de primaire naamserver
-
robin.digi.ninja. vertegenwoordigt de persoon die verantwoordelijk is voor het domein
-
het e-mailadres (verwissel de eerste . voor een @)
-
2014101601- Het huidige SOA-serienummer voor het domein
-
172800- Aantal seconden dat een secundaire naamserver moet wachten tussen het doen van wijzigingsverzoeken
-
900- Aantal seconden dat een primaire naamserver moet wachten als deze niet goed vernieuwt
-
1209600- Aantal seconden dat een secundaire naamserver kan beweren over gezaghebbende informatie te beschikken
-
3600- Minimale TTL
MX record
Een Mail eXchange record (MX record) specificeert de mailserver die verantwoordelijk is voor het accepteren van e-mailberichten uit naam van een domeinnaam. Hier gebruikt het slachtoffer de e-maildienst van Google. Dit is nuttige informatie bij het uitvoeren van eventuele social engineering-aanvallen.
TXT record
Een Text (TXT) record is een type resource record in het Domain Name System (DNS) dat wordt gebruikt om de mogelijkheid te bieden willekeurige tekst aan een host of namen te koppelen, zoals voor mensen leesbare informatie, netwerk, datacenter of andere boekhoudkundige informatie.
TXT records kunnen waardevolle informatie bevatten. Uit dit TXT record, hebben we een e-mail id en een telefoonnummer.
SRV record
Een SRV (Service) record toont de locatie van de SIP-server, identificeert een dienst door het protocol, host, en de poort waarop het draait te tonen.
Dit wijst naar een server met de naam _sip._tcp.zonetransfer.me die luistert op TCP-poort 5060 voor Session Initiation Protocol (SIP) en www.zonetransfer.me is de host die de dienst levert. De hier gegeven prioriteit is 0, en het gewicht is 0.
A record
Een record koppelt een domeinnaam aan het bijbehorende IP-adres. Uit A-record hebben we drie datacenter-IP’s en drie kantoor-IP’s gehaald, wat een totaal van 6 doelen oplevert.
CNAME
Een Canonical Name (CNAME)-record wordt gebruikt om een alias van een domeinnaam aan een andere domeinnaam toe te wijzen. Hieruit kunnen we een test- en staging-server afleiden.
Impact of DNS Zone Transfer Vulnerability
DNS zone transfer biedt geen authenticatie. Dus elke client of iemand die zich voordoet als client kan een DNS-server om een kopie van de hele zone vragen.
Dit betekent dat, tenzij er een beveiliging wordt geïntroduceerd, iedereen een lijst van alle hosts voor een bepaald domein kan krijgen, wat veel potentiële aanvalsvectoren oplevert.
Hoe voorkom je de kwetsbaarheid van DNS-zoneoverdracht?
- Maak alleen een zoneoverdracht mogelijk vanaf vertrouwde IP-adressen. Hieronder ziet u een voorbeeld van hoe u dit kunt verhelpen in de BIND DNS-server.
Navigeer naar /etc/named.conf en voeg het volgende toe:
ACL trusted-servers { 173.88.21.10; // ns1 184.144.221.82; // ns2 }; zone securitytrails.com { type master; file "zones/zonetransfer.me"; allow-transfer { trusted-servers; }; }; - Gebruik Transaction SIGnatures (TSIG) voor zoneoverdrachten
identificeer kwetsbaarheden voordat hackers ze uitbuiten.