Akamai發(fā)現(xiàn)微軟DHCP動態(tài)更新機制可被濫用于偽造DNS記錄

Akamai安全研究人員發(fā)現(xiàn)了一種濫用微軟DHCP（Dynamic Host Configuration Protocol）服務器，偽造DNS記錄（DNS Spoofing）的攻擊手法。攻擊者可在不需要授權的情況下，利用DHCP服務器默認配置來偽造DNS記錄，借以竊取敏感資訊，甚至完全控制Active Directory域名，而由于微軟DHCP服務器廣受采用，因此有不少組織都暴露在風險之中。

微軟的目錄服務Active Directory提供網(wǎng)絡資源的集中式身份驗證和授權，其運行極高度依賴DNS，每個域名都需要DNS，托管一個被稱為Active Directory集成DNS（Active Directory Integrated DNS，ADIDNS）區(qū)域的特殊區(qū)域，ADIDNS區(qū)域托管了所有加入域名的計算機和Active Directory不同服務的DNS記錄，而此攻擊的目標便是ADIDNS中的DNS記錄。

該攻擊利用DHCP動態(tài)更新功能來欺騙DNS記錄。DHCP動態(tài)更新功能是DHCP和DNS之間進行協(xié)作的機制，該功能允許DHCP服務器自動更新DNS記錄，因此當有一個設備連接到網(wǎng)絡中，向DHCP服務器請求IP地址時，DHCP服務器會分配一個IP地址給設備，與此同時向DNS發(fā)送包含修改數(shù)據(jù)的更新請求，以確保DNS記錄可以即時反映新分配的IP地址。

在特定的配置下，動態(tài)更新存在安全性問題，DNS可能會接受任意來源請求。在使用安全更新的環(huán)境中，DNS更新請求會包含計算機網(wǎng)絡授權協(xié)議Kerberos票證，使客戶端和服務器端能夠進行雙向認證，但是當攻擊者以特定方式獲取或是偽造票證，便可以欺騙DNS接受偽造DNS更新。

但由于有訪問控制列表（ACL）的保護，一般來說DNS記錄不會被復寫。復寫通常發(fā)生在DHCP服務器為管理記錄的擁有者時。例如，當一臺非域名內(nèi)的Ubuntu服務器要求DHCP服務器代為注冊DNS記錄時，該記錄才會由DHCP服務器的機器賬戶擁有。這種攻擊只影響由DHCP創(chuàng)建的管理記錄，對于客戶端記錄像響有限，因為ACL限制了這類復寫。

對于無法自行注冊DNS記錄的非Windows客戶端和舊版Windows客戶端，這種攻擊就可能發(fā)揮效果。攻擊者可以利用微軟DHCP服務器，在任何ADIDNS區(qū)域中復寫客戶端記錄，因為當DHCP服務器安裝在域名控制器上時，便可以復寫域名控制器自己的記錄。此外，由于域名控制器機器賬戶在DNS更新時具有對所有記錄寫入的權限，因此攻擊者也可以利用這一點，復寫Active Directory集成區(qū)域中的任何DNS記錄。

此類攻擊的危險性在于，攻擊者可偽造各種類型的DNS記錄，包括域名控制器的IP地址、用戶計算機名稱和IP，以及網(wǎng)站和服務的IP地址。通過偽造的DNS記錄，攻擊者可以竊取諸如登錄憑證和財務數(shù)據(jù)等敏感資訊，執(zhí)行惡意程序代碼，甚至是中斷網(wǎng)絡服務等。還能將域名控制器的IP指向惡意網(wǎng)站，在用戶嘗試連接域名控制器時，被導向惡意網(wǎng)站。

由于微軟DHCP服務器是一個常見的選擇，根據(jù)Akamai的估計，約有40%的數(shù)據(jù)中心網(wǎng)絡使用微軟DHCP服務器。研究人員提到，雖然微軟在其文件中告知了這類風險。但是這類配置風險在微軟DHCP服務器網(wǎng)絡中經(jīng)常見，且默認情況下就容易被攻擊。