ماهو ال DNS Poisoning هذا ؟!

السلام عليكم

عزيزي ... الDNS هي خدمة موجودة على جهاز السيرفر بالاضافة الى Active directory وهي التي تقوم بعمل mapping ما بين الاسم الذي يتم كتابنه في المستعرض والرقم الخاص بهذا الموقع وهو ال IP لهذا الموقع

حيث ان السيرفر لا يعرف سوى ال IP للمواقع ولا يعرف الاسماء بل يتم التعرف على قيمة الاسم عن طريق ال DNS والتي هي قاعدة بيانات موجودة

ويعرف السيرفر باسم الخدمة يعني هنا يكون اسم اتلسيرفر هو DNS Server

ولك مني الاحترام

استكمالا للموضوع

ال DNS poisoning يتم من خلالها تغيير ال DNS record الموجودة في السيرفر الى ريكورد تاني باستخدام باكتات مسمومة

او استغلال بعض نقاط العضف لانه الدي ان اس سيرفر يسمح بعمل تغيير في الريكورد بدون authentication

ايضا استكمالا للموضوع.

ال DNS المستخدم عبر الانترنت هو Bind DNS ... و احد عيوبه انه لا يدعم ال Authentication كما قال الاخ Busbar حيث ان الاتصال بال DNS يكون nonsecure ...

أيضا ال Bind DNS يتعامل مع SLIP Protocol ... حيث ان ال SLIP لا يدعم لا ال Encryption و لا حتى ال Compression و يرسل المعلومات و خصوصا اخاصه منها مثل الباسوورد ب Clear Text ...

موضوع ال Poisoning به تعقيد اكبر مما قاله الاخ Busbar لكن الفكره العامه هي كما تم توضيحه ... حيث ان هناك Unauthorised Users أو Sevice يقومون بالتعديل على ال DNS Records ... كمثال ... سابقا في نظم كل من Hotmail و Yahoo كان هناك مشكلة ال Poisoning و ذلك بسبب تداخل بعض ال Services على ال SMTP و يقوم بالتعديل العشوائي على ال MX Record الخاص بال Messaging Systems ...

أشكركم على الردود والتفاعل.

هل المشكله التي واجهتني هذه في فتح بعض المواقع قد واجهت العالم أجمع في نفس الوقت ؟! بالتأكيد لا. اذن فعلى أي سيرفر تم تغيير أو تسميم الـ DNS ؟! وكيف لا يتطلب عمل Authentication ؟ الهذه الدرجه يمكن لأي جهه التلاعب بالـ DNS ؟!

اعتقد يا ميزو انه اللي حصلك مش كده

اللي حصلك غالبا انه الكاش باظ او محصلوش ابديت لانه الدي ان اس بيعمل كاش للاي بي عنده و تقريبا ان لم تخنى الذاكرة بيعمل ريفرش كل 180 دقيقة (حد يراجع ورايا الوقت ده)

فساعات واجهتني مشكلة انه لا يحصل ابديت للكاش او الدي ان اس بيعمل حل غلط من الكاش

http://www.pcmag.com/encyclopedia_term/0,2...;i=41624,00.asp

http://www.techweb.com/wire/security/160502246

http://ketil.froyn.name/poison.html

http://www.informit.com/articles/article.a...qNum=3&rl=1

يعطيكم العافيه...

المشكله لم و لن تكون ابدا في ال Caching و ذلك لسبب بسيط ...

المواقع لها Record ثابت في ال DNS ... بمفهوم Domain name + IP ... يعني سواء حصل Refresh أو لأ لن يمثل مشكله و ذلك لسبب بسيط, ان ال DNS في النهاية يعمل Forwarding في حالة ان ال DNS الهدف لم يجد ال Record المناسب لعنوان الصفحه المطلوبه ... فيقوم بمحاطبة سيرفر اخر بشكل iterative و تستمر العمل الى حين الفشل في العثور على العنوان.

طبعا هادا شي و موضوع انو ما يصير authentication موضوع تاني.

اخ معتز لو توضح بالتحديد شو صار معك.... Details يا باشا :)

أشكركم على الاهتمام يا اخواني مرة أخرى.

ما حدث معي هو انني حاولت الدخول على أكثر من موقع منهم موقع الفريق هنا ولكن لم تكن تظهر لي الصفحات الرئيسيه المعتاده, بل كان يتم تحويلي الى موقع اسمه MyFamily.Com.

مثلا هذه صورة التقطها أثناء وقوع الحادث :

ولو مثلا كنت فتحت موقع SomeWebSite فكان سيتم تحويلي أيضا الى :

http://SomeWebSite.com/isapi.dll?c=home&am...oginfrontmember مع ظهور الصفحه الرئيسيه للـ MyFamily.Com.

واستمر تحويلي الى موقع MyFamily.Com كلما فتحت أي موقع ( باستثناء بعض المواقع مثل جووجل وميكروسوفت والكثير ). واستمر ذلك لحوالي ساعه وبعدها تم حل المشكله بدون أي تدخل مني. وبالرغم من انني حاولت عمل بعض الأشياء الا انني أستبعد تماما اسهامها في حل المشكله.

قمت بالبحث وعرفت أن هذا الموضوع بسبب هذا الذي اسمه DNS Poisoning. والغريب أن الكثير من الناس الذين وجدتهم واجهوا تلك المشكله قبل ذلك كان يتم تحويلهم أيضا الى موقع MyFamily.Com وليس الى أي موقع آخر. فجعلني ذلك أشعر بأن هذا ليس خطأ Bug ولكنه Attack يمارسه شخص ما يهمه أن يدخل الناس الى ذلك الموقع.

الآن ما فهمته هو انه باختصار يتم وضع معلومات خاطئه في نظام الـ DNS وتسبب هذه المعلومات في حدوث هذا الارتباك. ولكن العجيب هنا كيف يسمح بوضع معلومات كهذه الى نظام الـ DNS بدون طلب Authentication ؟! واذا كان هذا "هجوم" فلماذا لم نجده انتشر واستخدمه الهاكرز باعتباره سلاح سهل كما يبدو ؟ وان كان خطأ فلماذا لم يتم اصلاح هذا الخطأ ؟

الدي ان اس كاش بوزونينج ليس بهذه السهولة خاصة ان جودة انتاج الأرقام العشوائية زادت مع خادمات الدي ان اس حتى ان الكثير يستخدم الهاردوير لإنتاج الرقم العشوائي بجودة أعلى.. زيادة جودة الرقم العشوائي يجعلها اكثر عشوائية بحيث تكون أبعد من التخمين.. توليد الرقم العشوائي كان سابقا أسواء من الآن و كان بالإمكان معرفة اﻻرقام المكررة و توجيه الضربه عليها.

لكن ما علاقة هذا بإنتاج الرقم العشوائي؟ خادم الدي ان اس الذي انت تقوم بالتعامل معه لتحويل الاسماء إلى آي بي _اذا_ لم يعلم الرقم المرافق للإسم الذي طلبته، حينها سيسأل خادم دي ان اس آخر و سيضع في هذا الطلب رقم عشوائي يتم انتاجه اما بالهاردوير او السوفتوير.. وفي حال أراد هكر ادخال معلومات خاطئه فعليه ارسال رد يدعي فيه انه هو الخادم الآخر بالإضافه إلى تخمين الرقم العشوائي هذا لان الخادم الأول لن يقبل أي اجابة إلا و _فقط_ في حال تساوي الرقم العشوائي في الجواب مع الرقم العشوائي في الطلب الذي ارسله.

لهذا السبب على الهكر القيام بإرسال العديد والعديد من ملفات الإجابة ربما تفلح إحداها.. العملية ليست سهلة.و لي حال نجاح العملية فلست أنت الوحيد المتضرر، إنما كل شخص يستخدم خادم الدي ان اس نفسه. هذه الفكرة الأساسية للدي ان اس كاش بوزونينج.. وهناك خطوات أخرى أكثر تعقيدا لإيجاد الرقم العشوائي و تخمين الأرقام الأكثر احتمالا.

---------

إحتمال كبير جدا أنه بسبب ان "الكاش باز".. هذا الاحتمال اكثر بكثير من هكر يقوم بوضع رقم آي بي مخالف رقلم الآي بي الحالي و لمن؟ لموقع بنك؟ ولا شركة عملاقة؟ .. يعني ماذا يريدون بالضبط من ارب آيز.. و لماذا يقوم بهذه المعاناه الشديدة في تخمين الرقم العشوائي.. و ربما يكون الإتصال بين الخادم الأول و الخادم الثاني يحتوي على حماية أكثر من الرقم العشوائي، ككلمات سر مثلا و بالتالي يجب على الهكر القيام بالمزيد والمزيد، ولو كانت العملية سهله هكذا لسمعنا بعمليات الهاك ضد المواقع المشهورة تترا

قبل التحديد أكثر يجب معرفة شيء و هو : هل تستخدم بروكسي http أم socks

في حال استخدام socks الاحتمال يقل

في حال استخدام بروكسي http الاحتمال أكثر.. لماذا؟ لانك __لن__ تقوم بإرسال طلب دي ان اس مع HTTP Proxy، إنما يتم وضع اسم موقع ارب آيز في الهيدر _فقط_ من دون البحث عن رقم الآي بي للموقع.. رقم الآي بي الوحيد سيكون رقم البروكسي.. و حينها سيقوم البروكسي بالبحث عن الموقع في الكاش، و عملية البحث هذه ﻻ تتطلب البحث عن رقم الآي بي :) بما معناه انه من الممكن ان يعطيك البروكسي موقع لا يعمل و تظن انه يعمل، فقط لانه في الكاش حتى و إن لم يكن رقم الإنترنت التابع للموقع موجودا في فضاء الإنترنت.. في حال عدم وجود نسخة للموقع في الكاش حينها سيقوم البروكسي بإرسال طلب معرفة رقم الآي بي لإسم الموقع الذي طلبت ثم يرسل الطلب الى الموقع المطلوب وعند العودة يخزنه في الكاش ثم يعطيك نسخة منها. و في حال كان الكاش في البروكسي مخرف سيقوم بإعطائك موقع آخر عن طريق الخطأ، و هذا حصل مع البروكسي عندي في المنزل حيث أعطاني موقع آخر مخالف للموقع الذي طلبته وبعد مسح الـcache و اعادته تنصيب الكاش من جديد زالت المشكلة.

في حالsocks لن يتم ارسال اسم الموقع، إنما رقم انترنت التابع للموقع و بالتالي ستذهب مشكلتان:-

1) مشكلة الكاش لانه مافي كاش.. بروكسي سوكس يعمل لجميع tcp كنكشن و الكاش لن يكون منطقيا لانه غير موجه بالتحديد للمواقع او خدمات معينة تحتاج الكاش انما للتي سي بي كنكشن بصفة عامة

2) مشكلة الإسم.. لانه ينظر إلى الآي بي و ليس الاسم كحالة HTTP Proxy .. لذا لا يوجد إحتمال التحويل الخاطئ للإسم مع السوكس بروكسي

و تظل مشكلة كاش محطة العمل الذي كان يجلس عليها مشرفنا القدير.. لذا مسح الكاش قد يؤدي إلى حل المشكلة.. أو مسح كاش البروكسي التابع لموزع خدمة الإنترت وهذا صعب المنال

وهناك حتمال آخر.. ألا و هو ان متصفح الإنترنت اكسبلورر عجز بالإتيان بالموقع وظن ما ظن ثم قام بفتح موقع بحث.. وهذه خاصيه في انترنت اكسبلورر يفتح مواقع بحث في حال عدم ايجاد الموقع نتيجة خطا في طباعة الاسم او ربما bug.. رقما موقع البحث لديك هو هذا الذي ظهر نتيجة تثبيتك لبعض البرامج التي قامت بإدخال هذا الموقع ضمن مواقع البحث في انترنت اكسبلورر..

الخلاصة يا مشرفنا معتز شمس لا تفكر في الموضوع وخلها صغيرة مثل ما هي صغيرة ههههههههه

التفكير الزايد يكبر في سن وهذه مشكلة أكبر ليس لها علاج.. :lol:

======= تعديل =========

كتبت الرد قبل قراءة ردك الأخير بعناية

لكن بعد قراءته مليا يبدوا انه كما قلت انت.. هجوم على الدي ان اس، وليس ضد موقع عرب تيم إنما مواقع كثيرة بغية نشر دعاية للموقع "ماي فاميلي".. لكن لا يمنع ان تكون المشكلة بالكاش... لكن أي كاش؟ طبعا ليس كاش انترنت اكسبلورر، إنما كاش البروكسي الذي تستخدمه

حتى نقطع الشك بسكين اليقين قم بإتصال لصاحب البروكسي واساله ماذا حدث، هجوم ولا "كاش باز"

على كلن ردي هذا يحتوي على شرح مبسط لكيفية هجوم الدي ان نس كاش بوزنينج لذا لن اقوم بتعديله لاني نعسان واريد انام :) و حسبي هذا التعديل

======= نهاية التعديل ======

ياااااااااه ألف شكر الك يا eech55 ,أتسائل لماذا لم تصبح مشرفا للمنتدى حتى الآن ؟! :D

لم أفهم القليل من كلامك ولكن العيب مني وليس من كلامك, ولكن على قدر ما أعي وصل الى المفهوم أفضل من الأول بكثير.

أنا على كل حال لم يكن لدي أي مشكله في المتصفح Internet Explorer واستبعد أي مشكله فيه واستبعد وجود أي برامج Spy/Ad/Hijack. واتضح فعلا انه بتكرار هذه المشكله مع أكثر من شخص لنفس الموقع ( My Family ) أثبتت انه هجوم وليس شيئا يحدث عن طريق الخطأ.

ان شاء الله غدا عندما يصبح الأخ Busbar أكبر CEH , ياخد بثأرنا من ذلك الموقع :)

اعتقد ان الحل فى استخدام خدمه dns كهذه

OpenDNS makes the Internet experience safer, faster and smarter for you and everyone using your network.

1. OpenDNS is safer

OpenDNS can identify and stop sites trying to phish (steal) your personal information or money. The OpenDNS phishing protection works with all operating systems and browsers, and complements any other security measures already in use, such as a firewall and anti-virus software.

Here's what a blocked phishing site looks like for OpenDNS customers:

2. OpenDNS is faster

Most DNS servers on the Internet are slow. Your computer uses DNS every time you visit a website or send an email, so you want DNS to be blazing fast. Two things make DNS really fast: a big cache and a good network. We have both.

Not to brag, but OpenDNS caches are really big.

The bigger and better the cache, the fewer steps in the process, and the faster the Internet experience. Making the OpenDNS caches really big is part of how OpenDNS makes the Internet faster.

We're in your neighborhood, too.

Speed really matters. You make hundreds of DNS queries a day and every delay adds up. We built our network of OpenDNS caches at the major intersections of the Internet. This keeps us close to you, improving performance. (Interested in peering?)

3. OpenDNS is smarter

We all make speling mistakes.

We make corrections for common spelling mistakes, on the fly. That means when you are typing fast and type yahoo.cmo instead of yahoo.com you still get there. No annoying pop-ups or evil spyware installed because you made a typo. Things just work.

We're not perfect (yet) so when we can't fix your typo we take you to a page with a set of search results.

<a href="http://www.opendns.com/start/">

Other benefits of OpenDNS

OpenDNS service is free. OpenDNS makes money by serving clearly labeled advertisements on search results pages where we cannot resolve your intent (i.e., not a known typo).

There is no software to install, so no switching cost and no lock-in. OpenDNS is easy to start using. We're confident you will prefer our service, but it's easy to return to your old settings.

OpenDNS is not an ISP or web host or registrar. We're not ICANN. OpenDNS doesn't proxy or monitor the websites you go to. Read our privacy policy.

More information

We encourage you to learn who we are. We've also provided statistics on our service and uptime.

Still have questions? Check the FAQ and if all else fails, send your questions or comments to ceo@opendns.com and he will get back to you.

اخي معتز شمس.. لدي كتاب pdf صغير في حجمه كبير في محتواه به شرح مع تفاصيل و في نفس الوقت الشرح ممتاز وسهل الفهم، فإذا كنت مهتما اخبرني لأرسله إليك بالطريقة التي تريدها. كثير من التطبيقات والثغرات الأمنية وفهم البروتوكلات مع الاسباب تتطلب معرفتك بالبرمجة، ومن دون البرمجة ستكون بعض الأمور حفظية بحته. أرى ان تواصل في الشبكات كونك ضليعا بالبرمجة، حينها ستكون وحشا لا تقاوم B)

بالنسبة للـ "كاش باز"، ليس شرطا ان يكون نتيجة لخطأ عشوائي في البروكسي، قد يكون Proxy Cache Poisoning قام به هكر ايضا. على سبيل المثال، إحدى إصدارات برنامج البروكسي مفتوح الشفرة الشهير Squid Cache Proxy كان يحتوي على ثغرة أمنية من خلالها تمكن الهكر من تسميم كاش البروكسي:

http://www.securityfocus.com/bid/13434/discuss

http://www.securityfocus.com/bid/13434/info

الآن وصلنا إلى نقطة و تيقنا ان المشكلة ليست في جهازك ولا في اي محطة عمل والدليل وصفك لما حدث. المشكلة هي في الخادمات، لكن لا ندري هل كان خادم البروكسي أم خادم DNS. حتى نقطع الشك بسكين اليقين، أجب على التالي:

هل اصدقائك يستخدمون نفس البروكسي الذي تستخدمه؟ وهل كان خادم الـ DNS هو نفسه الذي استخدمه غيرك؟

مانوع البروكسي socks/http؟

في حال كان إختيار البروكسي في متصفح الإنترنت لديك none (يعني لا تستخدم أي بروكسي في متصفح الانترنت)، فهل مزود الخدمة يستخدم transparent proxy ام لا؟

أشكرك أخي الكريم, أنا عموما ليس لي أصدقاء :P لا, أنا أقصد أنني لم أسأل أحدا في الشبكه اذا كانت واجهته هذه المشكله أم لا. وأنا أيضا لا أستخدم أي بروكسي في الدخول. ولا أدري حقيقة ماهو الـ Transparent Proxy :( !

الآن أكيد المشكله كانت هناك في الـ DNS Server. وبما أن المشكله كانت "هجوم" وليست "خطأ" أي انه بصيغه أخرى كان يوجد هجوم على الـ DNS Server في ذلك اليوم ! ؟! ولكن أي خادم DNS ؟ فانت تقول اذا كان الـ DNS Server لا يعرف رقم الـ IP المقابل للـ Domain Name فانه يسأل DNS آخر وهكذا ؟! فكيف يتم تحديد الخادم الذي هوجم ؟!

قبل كل شيء يبدو أن ما أقوله ليس واضحا. أنا لم اقل انه فقط هجوم على الـ DNS، إنما قلت هو أحد أمرين، إما DNS أو Proxy. ولاتستطيع أن تجزم أنه هجوم على الـ DNS إلا اذا كانت عندك معلومة لم تطرحها في هذا الموضوع.

كيف تعلم ما هو الخادم الذي تمت مهاجمته؟

في حال كان الهجوم من خلال الـDNS الذي تستخدمه، و هذه الحالة لا تكون إلا إذا كنت لا تستخدم بروكسي http في متصفح الإنترنت او أنك تستخدم socks proxy. في هذه الحالة سنقول بأن خادم الـ DNS الذي تمت مهاجمته هو الخادم عندك. قم بكتابة ipconfig /all و سترى رقم خادم الـDNS الذي تستخدمه. و في حال استخدامك خادم DNS في الشبكة المحلية فالمشكلة في خادم مزود الخدمة الذي يتلعم منه خادمك المسكين. يعني اذا المعلم مخرف فالطالب سيتعلم عبط مثل معلمه، وفي هذه الحالة ادخل في اعدادات الخادم المحلي عندك لترى من أي خادم DNS يتعلم.

في حال كنت تستخدم بروكسي http في متصفح الإنترنت، حينها ليست المشكلة من خادم الـ DNS الذي تستخدمه أبدا، لأنك اصلا لا تستخدم أي خادم DNS في حال استخدامك http proxy. و ستظل المشكلة إما في خادم الـ http proxy أو خادم الـ DNS الذي يستخدمه الـ http proxy وليس الذي تستخدمه أنت.

ماهو الـ transparent proxy

من غير بروكسي عادي ولا ترانسبارنت - يعني وضعت البروكسي على none في المتصفح - في كل مرة تطلب مشاهدة موقع سيرسل جهازك طلب إلى خادم الموقع. مثلا اذا اردت مشاهدة موقع جوجل فترسل طلب إلى خادم جوجل مباشرة وبعدها جوجل يرد عليك بالبيانات و يتولى متصفح الإنترنت بتولي ترتيب تلك المعلومات لتظهر بالصورة التي ترضيك.

مع البروكسي العادي، سيرسل متصفح الإنترنت طلبات المواقع إلى البروكسي الذي حددته في متصفح الإنترنت لديك عوضا عن الموقع. مثلا طلب مشاهدة موقع جوجل سيذهب إلى البروكسي ثم البروكسي يرسل طلب جديد إلى جوجل و بعدها جوجل يرسل البروكسي وثم البروكسي يرسل نسخة إليك و نسخة يحفظها في الكاش لديه حتى إذا طلب من هو بعدك نفس الطلب يعطيه من الكاش (اسرع) عوضا من ارسال طلب جديد إلى جوجل في كل مرة

لكن مع الترنسبارنت بروكسي فالأمر مختلف قليلا. فدور البروكسي موجود لكن في نفس الوقت شفاف، بمعنى آخر المستخدم لا يعلم أنه يستخدم بروكسي. هذا جيد في عدة حالات:

1) لديك عدد كثير من المستخدمين ولا تريد إعداد المتصفح لديهم واحدا تلو الآخر و تريد ابقائهم على الـ default و هو none

2) تريد اجبار المستخدم بإستخدام البروكسي رغما عن انفه

في حالة البروكسي الشفاف سيكون اعداد البروكسي في متصفح الإنترنت none و سيرسل المستخدم طلباته ويوجهها إلى خادم الموقع مباشرة (فهو لا ينوي استخدام البروكسي)، لكن وبينما ينتقل الطلب في فضاء الإنترنت يمر بأجهزة تابعة لمزود الخدمة كالحوائط النارية و الراوترات والتي بدورها تخونك B) فعوضا من إرسالها إلى الموقع يتم توجيهها إلى البروكسي و تتم معالجة الطلب من خلال البروكسي. هنا تاتي سلطة البروكسي، مثلا يحجب المواقع، و ايضا الهدف الاساسي زيادة السرعة من خلال الكاش ويفعل مايريد وأنت تظن بأنك لا تستخدم بروكسي.

مثلا في دولة الإمارات يتم تحويل جميع طلبات المواقع والتي هي على المدخل 80 إلى البروكسي، بالإضافة حتى إلى الطلبات الموجهة إلى بروكسيات أخرى (لتنجب القفز على البروكسي). مثلا نفرض لدينا بروكسي عرب تيم ولا يحجب المواقع و اردت أن استخدمه، سيقوم مزود الخدمة لدي بتحويل جميع مايرسل إلى بروكسي عرب تيم إلى البروكسي الذي يملكه هو. لكن اكتشافهم ان هناك بروكسي عرب تيم يتطلب بعض الوقت لذا البروكسيات الجديدة لا يتم تحويلها إلى بعد مرور فترة.

طبعا ليس كل بروكسي قابل ان يكون شفافا، و في حالة بروكسي اليونكس Squid يجب عليك انشاؤه بحيث يدعم الشفافية. وفي حال عدم دعمه للشفافية تستطيع استخدام برامج وسيطة تقوم بهذا العمل كبرنامج transproxy. لكن شخصيا افضل الأول عوضا من استخدام برامج أضافية. البروكسي الذي يقدمه cisco يدعم الشفافية وسيكون من الغريب إن كان هناك بروكسي لا يدعم هذه الخاصية فهي بسيطة ومفيدة في نفس الوقت.

آسف على التأخير يا باشا. أنا عموما لا أستخدم Proxy, وشكرا كثيرا على توضيحك للـ Transparent Proxy.

أيضا الـ DNS لا أظنه تابع للشبكه المحليه فهو رقم IP غريب عنا !