Информационная безопасность. Макаренко С.И. - 220 стр.

    16.3.2 Внедрение в сеть Internet ложного сервера путем создания
   направленного «шторма» ложных DNS-ответов на атакуемый хост

       Другой вариант осуществления удаленной атаки, направленной на
службу DNS, основан на второй разновидности типовой УА «Ложный объект
РВС» (при использовании недостатков алгоритмов удаленного поиска). В
этом случае атакующий осуществляет постоянную передачу на атакуемый
хост заранее подготовленного ложного DNS-ответа от имени настоящего
DNS-сервера без приема DNS-запроса! Другими словами, атакующий создает
в сети Internet направленный «шторм» ложных DNS-ответов.
       Это возможно, так как обычно для передачи DNS-запроса используется
протокол UDP, в котором отсутствуют средства идентификации пакетов.
Критериями, предъявляемыми сетевой ОС хоста к полученному от DNS-
сервера ответу, является:
       - совпадение IP-адреса отправителя ответа с IP-адресом DNS-сервера;
       - DNS-ответ должен содержать то же имя, что и в DNS-запросе,
       - DNS-ответ должен быть направлен на тот же UDP-порт, с которого
          был послан DNS-запрос (в данном случае это первая проблема для
          атакующего),
       - в DNS-ответе поле идентификатора запроса в заголовке DNS (ID)
          должно содержать то же значение, что и в переданном DNS-запросе
          (а это вторая проблема).
       В данном случае, так как атакующий не имеет возможности
перехватить DNS-запрос, то основную проблему для него представляет
номер UDP-порта, с которого был послан запрос. Однако, как было отмечено
ранее, номер порта отправителя принимает ограниченный набор значений
(≥ 1023), поэтому атакующему достаточно действовать простым перебором,
направляя ложные ответы на соответствующий перечень портов. На первый
взгляд, второй проблемой может быть двухбайтовый идентификатор DNS-
запроса, но, в связи с особенностями функционироания протокола DNS он
либо равен единице, либо в случае DNS-запроса от Netscape Navigator
(например) имеет значение близкое к нулю (один запрос - ID увеличивается
на 1).
       Поэтому для осуществления данной удаленной атаки атакующему
необходимо выбрать интересующий его хост (например, top.secret.com),
маршрут к которому требуется изменить так, чтобы он проходил через
ложный сервер - хост атакующего. Это достигается постоянной передачей
(направленным «штормом») атакующим ложных DNS-ответов на атакуемый
хост от имени настоящего DNS-сервера на соответствующие UDP-порты. В
этих ложных DNS-ответах указывается в качестве IP-адреса хоста
top.secret.com IP-адрес атакующего.




                                   220