[DNS Auditing Tool – Partie 3] Installation et configuration de DNSA

Par Rédaction, secuobs.com
Le 19/12/2007

---

Résumé : dnsa-ng-0.6 utilise les librairies libnet-ng et libpcap qui devront être préalablement installées de préférence avec les versions de développement afin de disposer des fichiers d’en-tête les plus récents. Retrouvez également les explications et les détails sur le fonctionnement de bas niveau de l'outil DNSA (DNS Auditing Tool). - Lire l'article



DNSA est disponible sur le site securitech.homeunix.org ( lien ) en archive au format tar.gz. Il utilise les librairies libnet ( libnet-ng dans ses versions récentes ) et libpcap, qui devront être installées préalablement.

Les détails de l'installation porteront sur la dernière version en date : dnsa-ng-0.6.

L'installation de la libpcap ( lien ) peut s'effectuer, sur la grande majorité des architectures/distributions, via les paquets (deb, rpm, ...).

Il faut cependant veiller à installer la version de développement (en général, selon les distributions, suffixée par « -dev » ou « -devel ») afin de disposer des fichiers d’en-tête, de l’aide, des pages « man », etc…

La libnet-ng - Libnet Next Generation - est disponible à l'adresse suivante ( lien ). Son installation s’effectue via les sources (archives tar.gz disponibles).

Pour une installation standard, la procédure est la suivante :

tar -zxvf ng-libnet-current.tar.gz
cd [libnet-ng]
./configure
make
make install


Le "make install" est facultatif car le chemin vers le repertoire de la libnet-ng peut être spécifié en argument lors de l'installation de DNSA. DNSA requiert les droits superutilisateurs (root) pour fonctionner, il est donc conseillé d'installer la libnet-ng en incluant la phase du "make install".

En effet, il n’est pas possible à un utilisateur « normal » de forger des paquets et de les envoyer sur une interface de son choix, pas plus que d’écouter passivement le trafic capturé son par l’interface réseau.

L'installation de DNSA peut commencer :

tar -zxvf dnsa-ng-0.6.tar.gz
cd dnsa-ng-0.6
cd sources
./configure
[
La verbosité et le mode "debug" sont accessibles en compilant DNSA
avec les options --with-ldflags=-lefence et --enable-debug.
Il est possible de fixer les chemin vers la libpcap ou la libnet-ng
avec les arguments --with-libnet=[CHEMIN] et --with-libpcap=[CHEMIN]
]
make
make install


Fichiers :

DNSA est livré avec une documentation détaillée permettant de l'utiliser de façon optimale.
docs/ contient des articles relatifs aux failles DNS ainsi que des exemples d'utilisation.
sources/ contient l’ensemble des codes sources de DNSA et le binaire après compilation.
man/ est actuellement vide dans la dernière version


Fonctionnement « bas niveau »

DNSA peut être utilisé dans 3 modes différents :

- « DNS ID Spoofing » DNSA a été crée à l'origine pour mettre en évidence la simplicité d'attaques par DNS ID Spoofing. Ce mode est en général utilisé sur un même brin ethernet, même si des attaques complémentaires peuvent permettre des schémas très évolués ( lien ).

- « DNS ID Sniffing » Ce mode permet principalement de faire des analyses statistiques sur les distributions de DNS ID selon les serveurs ou OS utilisés. En effet, si l'aléa des distributions de DNS ID étaient dépendantes des anciens serveurs, l'aléa est désormais pris en charge par le système d'exploitation sur lequel le serveur tourne. Un exemple basé sur gnuplot, logiciel de tracé opensource ( libre, cf. lien ), est décrit dans la documentation de DNSA. Des évolutions futures du logiciel intégreront différents tests statistiques basés sur des regressions linéaires multiples.

- « DNS cache poisoning » Ce mode est destiné aux serveurs faillibles à ces types d'attaques. Citons notamment d'anciens Bind, MS Windows, ou plus récemment des appliances propriétaires de pare-feux. Le principe est de répondre au serveur attaqué avec des additional records forgés contenant des informations relatives à des domaines différents de celui interrogé. Les contre-mesures à ce type d'attaques sont donc faciles à mettre en place. Bien heureusement, de moins en moins de serveurs sont vulnérables aux attaques de DNS cache poisoning.


La dernière version de DNSA supporte les attaques sur des réseaux sans fil, au travers de deux cartes 802.11. De nouveaux patches sur différents drivers ( madwifi notamment - lien ), permettent l'écoute et l'injection simultanées. Le mode "WiFi" permet d'écouter le trafic DNS sur la première carte, et d'injecter les trames forgées grâce à la seconde. Le mode "ether" est le mode standard utilisant des filtres pcap afin de sélectionner le contenu approprié.

DNSA n’a pas de moteur d’événements. Il utilise les fonctions de call-back de la librairie lipcap : le principe est de déclencher, lors du passage de paquets spécifiques définis à l’aide des filtres pcap, une fonction contenant le payload du paquet capturé ainsi que différents autres arguments :

void callback_dnsspoof(u_char *args, const struct pcap_pkthdr *pkthdr, const u_char *packet)
{
(…)
}


Les paquets sont forgés à l’aide de la libnet(-ng) et de ses constructeurs prédéfinis pour la majorités des protocoles connus.


Autres ressources dans ce dossier :

[DNS Auditing Tool – Partie 1] Introduction à la sécurité du protocole DNS – lien

[DNS Auditing Tool – Partie 2] Mises en évidence des failles DNS – lien

[DNS Auditing Tool – Partie 4] Utilisation de DNSA – lien

[DNS Auditing Tool – Partie 5] Conclusion et webographie – lien