Este documento describe varios aspectos relacionados con la seguridad de DNS, incluyendo la estructura de dominios DNS, los tipos de registros DNS como A, CNAME, NS y MX, y amenazas como ataques de transferencia de zona no autorizada (AXFR), DNS brute force, y manipulación de identificadores de consulta DNS. También proporciona soluciones como configurar políticas de transferencia de zona y crear registros DNS genéricos para subdominios.

1. DNS Hacking y
Prevencion de
Intrusos
Por: Xianur0

2. Estructura de Dominio
Un dominio esta estructurado de la siguiente forma:
MX
Gob Unam
Www Www jornada ....
...
Esto quiere decir que primero hay un servidor principal que se encarga de almacenar la direccion
de los dns encargados de ciertos dominio (en este caso mx) y despues el dns del dominio
consultado.

3. Dialogo DNS
Cual es la IP de www.gob.mx?
La IP es: 200.77.236.16 ns1.gobierno­
Cliente digital.gob.mx
En este ejemplo de dialogo Dns: un cliente intenta acceder a la pagina
www.gob.mx, pero al no sabe cual es su IP consulta al dns encargado de
resolver dicho dominio (ns1.gobierno­digital.gob.mx).

4. Dialogo Recursivo DNS
Preguntare
Cual es la IP de www.gob.mx?
La IP es: 200.77.236.16
Cliente DNS Recursivo
El Cliente consulta a
un DNS Recursivo, el
cual actuara como
cliente para resolver la
consulta dada, y para
ello reenvia la consulta
ns1.gobierno­ Cual es la IP de www.gob.mx? recivida a otro servidor
DNS, y seguido de
digital.gob.mx La IP es: 200.77.236.16 esto, le entrega el
resultado al cliente

5. Tipos de registros DNS
ya que un DNS no solo almacena IPs..
A = Address – Este registro se usa para traducir nombres de hosts a direcciones IP.
Ejemplo: www.gob.mx. 17442 IN A 200.77.236.16
CNAME = Canonical Name – Se usa para crear nombres de hosts adicionales, o alias, para los hosts
de un dominio.
Ejemplo: www.gmail.com. 17291 IN CNAME mail.google.com.
NS = Name Server – Contiene la informacion de los servidores DNS de un dominio dato.
Ejemplo: google.com. 276835 IN NS ns4.google.com.
MX = Mail Exchange – Contiene la Lista de Servidores de Correo.
Ejemplo: google.com. 2408 IN MX 10 smtp4.google.com.
PTR = Pointer – Sirve para Traducir IP a Host:
Ejemplo: 200.77.236.16 = www.google.com
SOA = Start of authority – Proporciona información sobre la zona.
Ejemplo: google.com. 86400 IN SOA ns1.google.com. dns­admin.google.com. 2009041401
7200 1800 1209600 300

6. Tipos de registros DNS
HINFO = Host INFOrmation – Contiene Informacion del Hardware y del Software del servidor,
TXT = TeXT ­ Permite a los dominios identificarse de modos arbitrarios.
metroflog.com. 38764 IN TXT quot;spf2.0/pra ip4:216.139.255.0/25 ip4:216.139.214.8/30
ip4:216.139.214.12/30 ip4:216.139.214.16/30 ip4:216.139.216.244/30 ip4:216.139.216.248/30
ip4:216.139.239.168/30 ip4:216.139.239.172/30 ip4:216.139.208.208/30 mx ~allquot;
LOC = LOCalización ­ Permite indicar las coordenadas del dominio.
SRV = SeRVicios ­ Permite indicar los servicios que ofrece el dominio.
SPF = Sender Policy Framework ­ En este registro se especifica cual o cuales hosts están autorizados a
enviar correo desde el dominio dado.

7. AXFR Si, las tengo
en mi cache
Estas son las Zonas
DNSPrimario DNS Maestro
Zona: son los
registros que
Me dejas ver
Me dejas ver contiene un
las Zonas?
las Zonas? DNS sobre
cierto dominio
(anterior
pagina).
DNS Secundario
Atacante
Solucion: Configurar allow­transfer en las zonas de los respectivos DNS
Solucion:

8. Ejemplo Real de un ataque AXFR (La tool esta en el blog)

9. Registros Invalidos DNS
Un Cliente solicita la IP de
Vaya soy
“localhost.php.net” la cual es: 127.0.0.1
localhost.php.net!!
Cual es la ip de localhost.php.net?
Victima DNS
127.0.0.1
Resultado:
Navegador quiero
entrar a
localhost.algo.net
PC
Usuario Hola localhost.algo.net
Mi cookie es: ......
El cliente se consultara a si mismo

10. Registros Invalidos DNS
Si usamos un poco de Ingenieria social: creamos un
socket en el puerto 80...
Hola
localhost.web.net
Navegador Hack tool
Pagina Falsa
Tenemos un poco de phishing de la nueva era (es dificil
pensar que estando en un subdominio de la web, sea falsa,
ademas de que es dificil que un antivirus lo detecte).
O bien si hay cookies mal configuradas tenemos robo de
credenciales.
Solucion: Eliminar los Registros DNS Inutiles

11. DNS Brute Force
Esto es usado para averiguar subdominios que no estan a cierta vista (Muchos administradores
ocultan datos en subdominios por que “nadie los ve”).
Cual es la IP de
intranet.victima.com?
DNS
Atacante
La IP es: xxx.xxx.xxx.xxx
Cual es la IP de admin.victima.com?
DNS
Atacante
No Existe!
Solucion: Crear un Registro A llamado: “*” con la respectiva IP del dominio por
defecto.
Por Ejemplo:
* IN A 74.125.67.100

12. Ejemplo Real de un DNS Bruteforce (Ver blog para
obtener la herramienta).

13. Antes de pasar al siguiente tema que es DNS ID Hacking,
vamos a ver unos conceptos previos:
Primero por que es que cuando realizamos una consulta, el
servidor dns no la confunde con otra?
Por el ID, cada paquete lleva un identificador numerico que evita
que se confunda el paquete con otro, ademas de que dificulta
que una persona intente envenenar la cache dns falsificando el
origen de los paquetes (se edita la parte del origen en el paqutete
y se envia, y por el mal diseño del protocolo UDP, no hay forma
de comprobar que realmente haya venido esa consulta de dicha
IP [leer sobre DNS Smurf Attack], por ello recomiendo usar DNS
sobre UDP, es mas seguro y nos evitamos desagradables
momentos).
Y ya que solo el ID nos detiene, por que no un ataque de
cumpleaños?

14. DNS ID Hacking
Cual es la IP de www.gob.mx? (ID = 444)
ns1.gobierno­
Cliente
digital.gob.mx
La IP es: 200.77.236.16 (ID = 444)
Cual es la IP de www.gob.mx? (ID = 445)
DNS Muerto por
Cliente DDoS
La IP es: 74.125.67.100 (ID = 445)
Atacante
Resultado: El Cliente piensa que la IP de www.gob.mx es la de google
Para dejarlo mas claro pasar a la siguiente grafica...

15. DNS ID Hacking
IP de www.gob.mx?
IP de www.gob.mx? (ID = 344)
Cliente dns.victima.com ns1.gobierno­digital.gob.mx
La IP es: 200.77.236.16
La IP es: La IP es: 200.77.236.16
La IP es:
(ID = 344)
La IP de www.gob.mx es 74.125.67.100 (ID = 342)
La IP de www.gob.mx es 74.125.67.100 (ID = 343)
La IP de www.gob.mx es 74.125.67.100 (ID = 344)
Atacante dns.victima.com
Ya esta por demas claro lo de arriba, asi que lo dejare asi... solo falta agregar que
la respuesta de “Atacante” tiene que ir al mismo puerto por el cual fue consultado el
DNS original
Solucion: Configurar el allow­recursion solo para los dominios que lo necesiten y usar puertos al
azar (asi es mas dificil que un atacante adivine a cual puerto enviar la respuesta DNS).

16. Seguridad Adicional
Fake DNS Server Fingerprint
●
● DomainKeys Identified Mail
● DNSSEC

17. DNS Server Fingerprint
Para evitar esto podemos editar el archivo named.conf.options (esto en bind)
colocando el parametro “version” con el valor que queramos mostrar.

18. Resultado: Fake DNS Server Fingerprint

19. DomainKeys Identified Mail
DomainKeys es una tecnología propuesta por Yahoo! para
quot;probar y proteger la identidad del remitente del email.quot;
Utiliza SHA­256 como hash criptográfico.
●
● RSA como sistema de cifrado de clave pública.
● y codificar el hash cifrado usando Base64.

20. Como Funciona DKIM?
Mensaje
real?
From: To:
admin@victima.com usuario@yahoo.com
default._domainkey.victima.com TXT
dns1.victima.com k=rsa; p=Key; (Esta es la key para el
dominio, el mail al no contenerla,
sera mandado a spam por ser falso).

21. DNSSEC
DNSEC ofrece:
Protección entre servidores
–
TSIG/SIG0 (Transaction SIGnature): permite la autenticación entre
●
servidores, asegurando la transferencia de zonas.
Protección datos.
–
KEY/SIG/NXT: establece mecanismos de autenticación e integridad de
●
datos
DS: permite un mecanismo de seguridad distribuida basado en el
●
establecimiento de redes de confianza (Chains of Trust)
Una infraestructura de distribución de claves públicas
–
Posible utilidad en el establecimiento de túneles IPSEC dinámicos.
●

22. Espero que sea de utilidad
estas presentaciones para
entender mas el mundo de
la seguridad en DNS, se
despide su amigo Xianur0.
http://xianur0.blogspot.com