Lecții din modul (4/4)
DNS rebinding and defenses
Relegarea DNS și apărare
Cu relegarea DNS, un nume se poate rezolva la o adresă și mai târziu la alta. Un browser poate păstra același nume de origine în timp ce o pagină îl face să contacteze o adresă privată din rețeaua utilizatorului. TTL-urile scurte pot face parte din model, dar riscul vine din a avea încredere într-un nume, ignorând în același timp destinația și contextul cererii.
Serviciile ar trebui să valideze numele și destinațiile de gazdă pe partea de server, să respingă ținte private sau locale de legături neașteptate, acolo unde este cazul, să utilizeze protecții anti-CSRF și să evite expunerea interfețelor administrative neautentificate. Comportamentul browserului și al rezolutorului variază, așa că o blocare numai DNS nu este o apărare completă.
Nu testați niciodată relegarea împotriva rețelelor sau serviciilor fără permisiune. Folosiți un laborator controlat și documentați limita exactă de încredere testată.
Verificați-vă înțelegerea
Alegeți cel mai bun răspuns. Acest test rulează local și nu trimite interogări DNS către domenii reale.
Ce control reduce cererile neașteptate către serviciile interne?