Информационная безопасность. Макаренко С.И. - 222 стр.

хоста в сеть будет передан DNS-запрос, который атакующий никогда не
получит, но этого ему и не требуется, так как на хост сразу же поступит
постоянно передаваемый ложный DNS-ответ, что и будет воспринят ОС
атакуемого хоста как настоящий ответ от DNS-сервера. Все! Атака
состоялась, и теперь атакуемый хост будет передавать все пакеты,
предназначенные для top.secret.com, на IP-адрес хоста атакующего, который,
в свою очередь, будет переправлять их на top.secret.com, воздействуя на
перехваченную информацию по схеме «Ложный объект РВС».
      Рассмотрим функциональную схему предложенной удаленной атаки на
службу DNS:
      - постоянная передача атакующим ложных DNS-ответов на
         атакуемый хост на различные UDP-порты и, возможно, с
         различными ID, от имени (с IP-адреса) настоящего DNS-сервера с
         указанием имени интересующего хоста и его ложного IP-адреса,
         которым будет являться IP-адрес ложного сервера - хоста
         атакующего;
      - в случае получения пакета от хоста, изменение в IP-заголовке пакета
         его IP-адреса на IP-адрес атакующего и передача пакета на сервер
         (то есть ложный сервер ведет работу с сервером от своего имени - со
         своего IP-адреса);
      - в случае получения пакета от сервера, изменение в IP-заголовке
         пакета его IP-адреса на IP-адрес ложного сервера и передача пакета
         на хост (для хоста ложный сервер и есть настоящий сервер).
      Таким образом, реализация данной удаленной атаки, использующей
пробелы в безопасности службы DNS, позволяет из любой точки сети Internet
нарушить маршрутизацию между двумя заданными объектами (хостами)!
Данная удаленная атака осуществляется межсегментно по отношению к цели
атаки и угрожает безопасности любого хоста Internet, использующего
обычную службу DNS.

 16.3.3 Внедрение в сеть Internet ложного сервера путем перехвата DNS-
запроса или создания направленного «шторма» ложных DNS-ответов на
                         атакуемый DNS-сервер

      Из рассмотренной схемы удаленного DNS-поиска следует, что в том
случае, если указанное в запросе имя DNS-сервер не обнаружил в своей базе
имен, то запрос отсылается сервером на один из корневых DNS-серверов,
адреса которых содержатся в файле настроек сервера root.cache.
      Итак, в случае, если DNS-сервер не имеет сведений о запрашиваемом
хосте, то он сам, пересылая запрос далее, является инициатором удаленного
DNS-поиска. Поэтому ничто не мешает атакующему, действуя описанными в
предыдущих пунктах методами, перенести свою атаку непосредственно на
DNS-сервер. В качестве цели атаки теперь будет выступать не хост, а DNS-



                                    222