Информационная безопасность. Макаренко С.И. - 218 стр.

критический анализ безопасности службы DNS позволяют предложить три
возможных варианта удаленной атаки на эту службу.

 16.3.1 Внедрение в сеть Internet ложного DNS-сервера путем перехвата
                              DNS-запроса

     Для реализации атаки путем перехвата DNS-запроса атакующему
необходимо перехватить DNS-запрос, извлечь из него номер UDP-порта
отправителя запроса, двухбайтовое значение ID идентификатора DNS-
запроса и искомое имя и затем послать ложный DNS-ответ на извлеченный
из DNS-запроса UDP-порт, в котором указать в качестве искомого IP-адреса
настоящий IP-адрес ложного DNS-сервера. Это позволит в дальнейшем
полностью перехватить трафик между атакуемым хостом и сервером и
активно воздействовать на него по схеме «Ложный объект РВС».

      Рассмотрим обобщенную схему работы ложного DNS-сервера
(рис. 16.4):
       - ожидание DNS-запроса;
       - извлечение из полученного запроса необходимых сведений и
          передача по сети на запросивший хост ложного DNS-ответа, от
          имени (с IP-адреса) настоящего DNS-сервера, в котором указывается
          IP-адрес ложного DNS-сервера;
       - в случае получения пакета от хоста, изменение в IP-заголовке пакета
          его IP-адреса на IP-адрес ложного DNS-сервера и передача пакета на
          сервер (то есть ложный DNS-сервер ведет работу с сервером от
          своего имени);
       - в случае получения пакета от сервера, изменение в IP-заголовке
          пакета его IP-адреса на IP-адрес ложного DNS-сервера и передача
          пакета на хост (для хоста ложный DNS-сервер и есть настоящий
          сервер).

      Необходимым условием осуществления данного варианта атаки
является перехват DNS-запроса. Это возможно только в том случае, если
атакующий находится либо на пути основного трафика, либо в сегменте
настоящего DNS-сервера. Выполнение одного из этих условий
местонахождения атакующего в сети делает подобную удаленную атаку
трудно осуществимой на практике. Однако в случае выполнения этих
условий возможно осуществить межсегментную удаленную атаку на сеть
Internet.




                                    218