FOCA DNS Cache Snooper

Entre las sugerencias que nos han pasado para la FOCA, ha habido una que nos ha pasado un compañero del Master de Seguridad de la UEM, que nos ha parecido muy interesante y estamos implementándola ya [Gracias Rafa!].

La idea es añadir a la FOCA un módulo de DNS Cache Snooping, es decir, un módulo que permita, con la FOCA saber a dónde navegan los usuarios del DNS de una determinada organización mediante un análisis de las resoluciones de nombres almacenadas en la caché del servidor DNS.

Cada vez que un usuario quiere resolver un nombre de dominio, éste pregunta al servidor DNS que tiene configurado. Si este tiene activada la caché entonces, antes de solicitar la resolución por medio de un sistemas de consultas recursivas, mira primero si tiene una resolución no caducada de ese nombre en su caché. Si lo tiene, entonces sirve esa respuesta. Si no lo tiene, entonces comienza el sistema de resolución DNS recursiva y, una vez resuelto, almacena en la caché el resultado.

Conociendo este funcionamiento, si alguien quiere saber si se ha resuelto un determinado dominio, basta con configurar las consultas al servidor DNS anulando la resolución recursiva. Es decir, consultando sólo la caché del DNS. Si se ha pedido en un tiempo reciente se obtendrá la resolución, mientras que si no se ha solicitado se obtendrá una respuesta negativa de resolución.

Para hacer esta prueba, basta con que te conectes al servidor NS de una organización, selecciones el tipo de query como norecurse y empieces a probar nombres de dominio. En la siguiente imagen se puede ver como los clientes del DNS de Renfe se conectan a facebook pero no a mi blog.


Figura 1: DNS Caché Snooping en Renfe con nslookup
Lógicamente, si tienes una buena lista de URLs que probar, podrías saber si tienen Windows porque se conectan a update.microsoft.com o si tienen Flash, PDF, por la URL de las actualizaciones de de adobe, o a que redes sociales, bancos, o webs se conectan los usuarios de la red para prepara un ataque MITM o de Spam, o, como no, del famoso Evilgrade de Francisco Amato [también estará en la Defcon 18].

Hay que tener en cuenta que la información que se obtienen depende de la caducidad o no de la información. Si la caché del DNS almacena los datos durante 2 minutos, entonces habría que tener suerte con que se hubiera solicitado en los últimos 2 minutos… o bien escanear de continuo el DNS durante un largo periodo de tiempo para conocer los hábitos de resolución.

FOCA tendrá un modulo de DNS Caché Snooping que permitirá conocer más sobre una organización a la que se esté haciendo el fingerprinting. Estas son algunas de las pruebas.

GuardiaCivil.org

Consultando el DNS con un fichero de unas 30 URLs se puede ver como los usuarios se conectan a tuenti, a algunos bancos y que tienen las actualizaciones de Microsoft activas.


Figura 2: FOCA & Guardiacivil.org
Renfe

Alguien está buscando “amor adulto” en la red social de Adultfriendfinder…


Figura 3: FOCA & RENFE
SUSE/Novell

Como se puede ver, son fan del realmadrid, usan megaupload, Windows, twitter y Facebook.


Figura 4: FOCA & SUSE
Por supuesto, hay que tener en cuenta que esta información es sólo información relativa a consultas realizadas a ese DNS, que pueden ser realizadas por usuarios de fuera de la organización, aunque no es lo habitual. ¿A quién y qué te molaría husmear?

En fin, nosotros seguiremos mejorando la FOCA en lo que podamos, así que gracias por todas las ideas.

Saludos Malignos!