lunes, 16 de abril de 2018

Por qué DNS debe morir para que nazca algo mejor

DNS es un protocolo, en esencia, inseguro. DNS se basa en la resolución de nombres, pero no es suficiente. Romper DNS es relativamente fácil de romper, basta con tener acceso a, por ejemplo, el router de una organización o un individuo y cambiar la dirección IP que aparezca en el servidor DNS, poner uno malicioso que yo tenga y ya está, te lo llevas puesto.


Normalmente cada Router de cada organización y de cada individuo, viene con una dirección IP que no deja de ser una máquina donde contiene, en su archivo hosts utilizando DNSmasq -por ejemplo- una serie de direcciones IP asociadas a un nombre de dominio.


Es tan sencillo como eso. Y es que si tenemos una web como la de www.mibar.com que corresponde con la dirección IP 200.200.152.2, cualquiera que consiguiese acceso a este servidor, que por norma general está en los routers de nuestras casas, podría cambiarlo con suma facilidad.


La web original es esta y para que todos los equipos puedan acceder a la misma los equipos deben tener establecida la IP de un servidor DNS que tenga en su hosts esta dirección.


Al tener como DNS Server el servidor DNS que hemos configurado, solamente necesitamos que cada web disponga de su index.html o index.php si se trata de Wordpress, para que pueda ser visitada cada aplicación web que se especifica en el hosts.


También tendríamos que centrarnos en que este perfectamente enrrutado todo {yo he usado OSPF en este caso} para que exista comunicación existosa entre todos los equipos de la red.


Imaginemos ahora que tenemos acceso al servidor DNS oficial y le ponemos la dirección IP de otro DNS malicioso que tengamos nosotros configurado. Tan sólo tendríamos que cambiar la dirección IP por la de nuestro servidor DNS malicioso. Algo bastante fácil como se puede observar.


Y para el Phishing, tendremos una web bastante similar a la original, de tal forma que cuando busque www.mibar.com no vaya a 200.200.152.2, sino a 192.168.10.10, que es un servidor malicioso que yo tengo configurado para estos casos.


Y eso es todo, la víctima visita www.mibar.com y vería que todo esta bien, que no pasa nada, que tiene su certificado y su HSTS-pues se valida por nombre de dominio y subdominios- y el usuario introduciría sus datos como si nada.

DNS es un protocolo inseguro por esto mismo, ya que herramientas con SET en Kali Linux facilitan el clonado de sitios webs, por lo que "el trabajo más duro", ya estaría hecho, que es el clonar la web.

El acceso al servidor DNS

Acceder al servidor DNS no tiene por qué ser tan difícil como la gente se cree. Muchas veces es tan sencillo como crackear la contraseña del Router con Aircrack y después comprobar si utilizan un default password para acceder a la configuración del Router o que, como hace Orange, sea la misma que la contraseña del punto de acceso.


Después es que simplemente nos puede bastar con tirar de Shodan y buscar Routers y probar hasta que encontremos uno que utilice una default password del tipo admin:admin.


Esto es como si en tu tarjeta de visita pones tu pin del banco y tu cuenta bancaria, exactamente lo mismo. Es lo primero que va a probar un atacante.


Es sorprendente la de routers con la contraseña por defecto. Esto es un problema enorme y la gente no se da cuenta, esto puede ocasionar problemas muy muy graves, ya lo hemos visto.


Tan difícil como cambiar esas direcciones de los servidores DNS. Ya está, no me hace falta hacer mucho ni saber mucho. Una default password, saber clonar una web {hay miles de tutoriales en Internet o incluso yo en este blog lo he contado}, saber cambiar unas líneas de código para que, por ejemplo, las credenciales se envien a mi base de datos y montar un dns con dnsmasq-o cualquier otro-. Ya está, con esto, puedo provocar grandes estropicios.


Aquí un router de brasil. Como veis son muchos los casos, y todos con admin:admin como contraseña.


Los TP-LINK con esta misconfiguration son abundantes. Como veis no son 10, son más de 700,000 dispositivos. Vamos a ser conservadores y decir, a bote pronto que sólo el 20% de los dispositivos que nos aparecen, se ven afectados por esta misconfiguration. Esto nos resulta que serían casi 150,000 dispositivos, que no son pocos.


También los he buscado en España y este caso que enseño, es otro al que se puede acceder mediante admin:admin.


Si localizamos la IP pública veremos que nos dice dónde está ubicado, aunque esto no es siempre algo infalible, pero podemos hacer algo mucho mejor.


Con Shodan puedes hacer click en el botón que marca la ubicación del dispositivo y conocer las coordenadas GPS del dispositivo de una forma aproximada.



Si ponemos las coordenadas en Google Maps podemos ver que, aunque el icon de la ubicación señale dónde estamos en teoría, podemos deducir que es en ese local que se ve. Si ponías el muñequito en la ubicación que te marca y te acercabas al local, veías que era como un bar de carretera, lo que, si imaginamos que tuviesen una free wifi y todos los clientes se conectasen, imaginad el problema s cambiásemos los DNS. Imaginad que alguno se conecta a su banco. DNS debe morir, pero después que este tipo de misconfigurations.

¿Hackeamos el Mundo?

No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...