Vad är DNS Zone Transfer?
DNS zonöverföring, även känd som DNS-frågetyp AXFR, är en process genom vilken en DNS-server överför en kopia av en del av sin databas till en annan DNS-server. Den del av databasen som replikeras kallas zon.
En zonöverföring använder Transmission Control Protocol (TCP) och har formen av en klient-server-transaktion.
Klienten som begär en zonöverföring kan vara en slaveserver eller en sekundär server som begär data från en huvudserver eller en primär server.
När en DNS-zonöverföring vanligtvis sker?
En zonöverföring sker vanligtvis när du startar en ny DNS-server som sekundär DNS-server.
En fullständig överföring av all zoninformation kommer att ske för att replikera de redan existerande posterna för den zonen. Detta en tids- och resurskrävande process. Därför utvecklades inkrementella DNS-överföringar.
I den inkrementella överföringen hämtar servern endast de resursposter som har ändrats inom en zon så att den förblir synkroniserad med den primära DNS-servern.
När man använder sig av den inkrementella överföringen jämförs SOA-posten för att se om några ändringar har gjorts. Om den primära namnservern har ett högre SOA-versionnummer än den sekundära namnservern inleds en zonöverföring.
Om SOA-posternas versionnummer är detsamma inleds ingen zonöverföring.
När ändringar har gjorts i zonfilen på den primära namnservern och det finns en DNS-meddelandelista meddelar den primära namnservern omedelbart den sekundära namnservern att zonfilen har ändrats. Den instruerar sedan den att inleda en zonöverföring utan att vänta på att uppdateringsintervallet löper ut.
Notify-listan är en lista med IP-adresser som anger vilka sekundära namnservrar som tillåts få tillgång till zoninformation på den primära namnservraren i syfte att överföra zoner.
Här är ett exempel som visar hur man utför en DNS-zonöverföring med hjälp av dig:
Kommando:
dig axfr @nsztm1.digi.ninja zonetransfer.me Här är nsztm1.digi.ninja namnserver och zonetransfer.me är domännamnet.
Dessa DNS-poster förklaras närmare nedan.
SOA record
Information som lagras i en DNS-zon börjar med en SOA-post (Start Of Authority).
Denna post innehåller information om:
-
namnet på servern
-
namnet på zonens administratör
-
den aktuella versionen av SOA-posten
-
det antal sekunder som en sekundär namnserver ska vänta innan den kontrollerar om det finns uppdateringar
-
antal sekunder som en sekundär namnserver ska vänta innan den gör ett nytt försök vid en misslyckad zonöverföring
-
det maximala antalet sekunder som en sekundär namnserver kan använda data innan den antingen måste uppdateras eller upphöra att gälla
-
det förvalda antalet sekunder för tid-to-live-filen (TTL) för resursposter.
.
Här:
-
zonetransfer.me är namnet på domänen
-
nsztm1.digi.ninja.är den primära namnservern
-
robin.digi.ninja. står för den person som ansvarar för domänen
-
mejladressen (byt första . för ett @)
-
2014101601- Domänens aktuella SOA-serienummer
-
172800- Antal sekunder som en sekundär namnserver ska vänta mellan begäran om ändringar
-
900- Antal sekunder som en primär namnserver ska vänta om den misslyckas med att uppdatera på rätt sätt
-
1209600- Antal sekunder som en sekundär namnserver kan hävda att den har auktoritativ information
-
3600- Minsta TTL
MX-record
En Mail eXchange-record (MX-record) anger den e-postserver som ansvarar för att ta emot e-postmeddelanden på ett domännamns vägnar. Här använder offret Googles e-posttjänst. Detta är användbar information när man utför sociala ingenjörsattacker.
TXT record
En Text (TXT)-post är en typ av resurspost i Domain Name System (DNS) som används för att ge möjlighet att associera godtycklig text med en värd eller namn, t.ex. människoläsbar information, nätverks-, datacenter- eller annan bokföringsinformation.
TXT records kan innehålla värdefull information. Från den här TXT-posten fick vi fram ett e-post-ID och ett telefonnummer.
SRV-post
En SRV-post (Service) visar var SIP-servern är placerad, identifierar en tjänst genom att visa protokoll, värd och port som den körs på.
Detta pekar på en server som heter _sip._tcp.zonetransfer.me som lyssnar på TCP-port 5060 för Session Initiation Protocol (SIP) och www.zonetransfer.me är den värd som tillhandahåller tjänsten. Prioriteten som ges här är 0 och vikten är 0.
En post
En post mappar ett domännamn till motsvarande IP-adress. Från A record fick vi tre datacenter-IP:er och tre kontors-IP:er vilket ger totalt 6 mål.
CNAME
En CNAME-record (Canonical Name) används för att mappa ett alias från ett domännamn till ett annat domännamn. Från detta kan vi se en test- och staging-server.
Inverkan av sårbarheten i DNS-zonöverföring
DNS zonöverföring erbjuder ingen autentisering. Så alla klienter eller någon som utger sig för att vara klient kan be en DNS-server om en kopia av hela zonen.
Detta innebär att om inte någon form av skydd införs kan vem som helst få en lista över alla värdar för en viss domän, vilket ger dem många potentiella angreppsvektorer.
Hur man kan förebygga sårbarheten i DNS-zonöverföringen?
- Att endast tillåta zonöverföring från betrodda IP:er. Följande är ett exempel på hur du åtgärdar detta i BIND DNS-servern.
Navigera till /etc/named.conf och lägg till dessa:
ACL trusted-servers { 173.88.21.10; // ns1 184.144.221.82; // ns2 }; zone securitytrails.com { type master; file "zones/zonetransfer.me"; allow-transfer { trusted-servers; }; }; - Använd Transaction SIGnatures (TSIG) för zonöverföringar
identifiera sårbarheter innan hackare utnyttjar dem.