Мнения, выраженные авторами этого блога, являются их собственными. и не обязательно отражают точку зрения APNIC. Обратите внимание, что к этому блогу применяется Кодекс поведения.

Окей, Google, дай мне всю свою внутреннюю информацию DNS!

В конце января я обнаружил и сообщил об уязвимости Server-Side Request Forgery (SSRF) на toolbox.googleapps.com в VRP Google, которую можно использовать для обнаружения и запроса внутренних DNS-серверов Google для извлечения всех видов корпоративной информации. например, используемые внутренние IP-адреса в компании, а также записи A и NS, раскрывающие все виды хостов, такие как структуры Active Directory Google, а также модный сервер Minecraft! 🙂 Итак, вот краткое описание уязвимости.

Как вы, возможно, уже знаете, G-Suite Toolbox можно использовать для устранения всех видов неполадок. Среди всех доступных инструментов есть один под названием «Dig», который в Linux можно использовать для запроса DNS-сервера на предмет его записей данного домена, точно так же, как записи A- или MX. В этом случае Google реализовал приятный веб-интерфейс для этого инструмента для визуального поиска информации DNS. Хотя это выглядит как полезный инструмент для запроса DNS-серверов с точки зрения Google…

… поле «Сервер имен», вероятно, привлекает внимание каждого охотника за ошибками 😉 Пока играешь и пытаешься запросить 127.0.0.1 для записей DNS веб-приложение просто отвечает сообщением «Сервер не ответил»:

Похоже, что инструмент пытается подключиться к 127.0.0.1:53, чтобы получить информацию DNS для моего домена — это действительно пахнет подделкой запросов на стороне сервера, не так ли?

Хорошо, Google, дай мне внутренний DNS-сервер, который отвечает!

Благодаря взломщику BurpSuite перебор для ответа на IP-адреса может быть быстро автоматизирован путем настройки соответствующего параметра «сервера имен» HTTP POST:

  POST /apps/dig/lookup HTTP/1.1
Хост: toolbox.googleapps.com
Агент пользователя: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:51.0) Gecko/20100101 Firefox/51.0
Принять: приложение/json, текст/javascript, */*; р=0,01
Accept-Language: en-US,en;q=0.5
Content-Type: application/x-www-form-urlencoded; кодировка = UTF-8
X-Requested-With: XMLHttpRequest
Реферер: https://toolbox.googleapps.com/apps/dig/
Длина контента: 107
Файл cookie: csrftoken=NE5nKGrbPNRoEwm0mahDzop9iJfsxU4H; _ga=GA1.2.2102640869.1486420030; _gat=1
Подключение: закрыть

csrfmiddlewaretoken=NE5nKGrbPNRoEwm0mahDzop9iJfsxU4H&domain=www.rcesecurity.com&nameserver=§127.0.0.1§&typ=a  

Несколько минут спустя я нашел один многообещающий внутренний IP-адрес, который ответил на запрос, но только с пустой записью A для моего домена:

Поскольку я очень хорошо знаю свой собственный домен, тем более интересно узнать, можно ли извлечь из Google какую-то внутреннюю информацию, которой нет в открытом доступе.

Окей, Google, дай мне свое внутреннее доменное имя!

И вуаля.кое-что нашел здесь. Похоже, что Google использует «corp.google.com» в качестве своего корпоративного домена — по крайней мере, некоторые из их инструментов, в том числе инструмент под названием «MoMa — Inside Google», размещены в этом домене. Теперь вы можете либо перебрать все поддомены «corp.google.com», используя тот же запрос POST, чтобы обнаружить больше поддоменов (что я на самом деле и сделал), либо просто найти их в Google, что покажет интересную запись под названием «реклама». .corp.google.com».

Окей, Google, просто дайте мне все ваши записи A для «объявления.corp.google.com”!

Это выглядит еще интереснее по сравнению с тем, что доступно в общедоступных записях DNS:

  копать A ad.corp.google.com @8.8.8.8

; <<>> DiG 9.8.3-P1 <<>> A ad.corp.google.com @8.8.8.8
;; глобальные параметры: +cmd
;; Получил ответ:
;; ->>HEADER<<- код операции: QUERY, статус: NXDOMAIN, идентификатор: 5981
;; флаги: qr rd ra; ЗАПРОС: 1, ОТВЕТ: 0, АВТОРИЗАЦИЯ: 1, ДОПОЛНИТЕЛЬНО: 0

;; РАЗДЕЛ ВОПРОСОВ:
;ad.corp.google.com. В

;; ОТДЕЛ ПОЛНОМОЧИЙ:
корп.google.com. 59 В SOA ns3.google.com. dns-admin.google.com. 147615698 900 900 1800 60

;; Время запроса: 28 мс
;; СЕРВЕР: 8.8.8.8#53(8.8.8.8)
;; КОГДА: 15 февраля 23:56:05 2017 г.
;; MSG SIZE rcvd: 86  

Это теперь очень внутреннее!

Окей, Google, предоставьте мне записи NS (и их внутренние IP-адреса), связанные с этим доменом!

Окей, Google, давайте конкретнее. Дайте мне информацию о «gc._msdcs»!

Окей, Google, что еще вы хотите, чтобы я увидел?

Сообщив об этой уязвимости в Google через их VRP, они быстро устранили эту уязвимость.Спасибо Google за хорошую награду!

Как заставить Android использовать DNS-сервер по вашему выбору

Сеть, какой мы ее знаем сегодня, основана на технологии, называемой «Система доменных имен», также известной как DNS. Он действует как телефонная книга для Интернета, связывая веб-серверы с соответствующими доменными именами веб-сайтов. DNS — это то, что приводит вас в Google, когда вы вводите google.com, поэтому, как вы можете себе представить, DNS — это важная часть инфраструктуры Интернета.

Хотя большинство людей просто используют DNS-серверы по умолчанию, предоставленные их оператором связи или интернет-провайдером, существуют альтернативные серверы.Google Public DNS был популярным вариантом в течение многих лет, а CloudFlare 1.1.1.1 DNS — это более новая служба, которая быстро набирает популярность.

Существует множество причин, по которым вы можете захотеть изменить DNS-сервер, используемый вашими устройствами. Известно, что некоторые интернет-провайдеры записывают DNS-запросы (например, список всех сайтов, которые вы посещаете) и передают их третьим лицам. Некоторые службы DNS также работают быстрее, чем другие, в зависимости от того, насколько близко вы находитесь к их серверам, что может повлиять на скорость загрузки веб-сайтов.

В этом руководстве мы рассмотрим некоторые популярные варианты служб DNS и покажем, как изменить DNS-сервер на вашем устройстве Android.

DNS-сервисы

Наиболее известным настраиваемым DNS-сервисом является Google Public DNS . У него есть серверы по всему миру, поэтому поиск должен быть быстрым независимо от того, где вы находитесь. Он также поддерживает DNS через TLS (DoT) и DNS через HTTPS (DoH), поэтому, если ваша операционная система поддерживает эти стандарты (Android 9+), то запросы отправляются по защищенному каналу.Google утверждает, что его служба DNS не хранит данные постоянно.

Если идея прохождения всех ваших интернет-запросов через Google не кажется привлекательной, CloudFlare 1.1.1.1 — еще один популярный вариант. Согласно большинству независимых тестов, это, как правило, самый быстрый доступный сервис DNS. У него также есть хорошее приложение для Android, которое вы можете использовать, если в вашем телефоне нет настроек для общесистемного DNS-сервера (подробнее об этом позже).

Другие службы DNS ориентированы на конкретные варианты использования.Например, OpenDNS фильтрует опасные и предназначенные для взрослых веб-сайты на сетевом уровне (пока дети не найдут эту статью!). Norton ConnectSafe был популярным средством защиты от вредоносных программ в Интернете, но в 2018 году он был закрыт.

Как изменить DNS-сервер

Процесс настройки DNS-сервера по умолчанию для Android зависит от версии Android, установленной на вашем телефоне/планшете. Это простой процесс на новых устройствах, но более старые версии Android усложняют его.

Если вы не уверены, какая версия Android установлена ​​на вашем устройстве, вы можете найти ее, открыв приложение «Настройки» и перейдя в меню «О телефоне». Версия ОС (8.0, 9.0, 10.0 и т. д.) должна быть где-то указана.

Android 9 Pie и новее

Android 9 Pie представила общесистемную настройку DNS, поэтому вместо изменения DNS для каждой отдельной сети вы можете сделать это в одном месте. Однако Android требует, чтобы служба DNS поддерживала DNS-over-TLS, поэтому не каждый сервер будет работать.Собственный общедоступный DNS Google не был совместим до тех пор, пока не прошло несколько месяцев после запуска Android 9.

Все, что вам нужно сделать, это открыть приложение «Настройки» на своем телефоне, перейти к настройкам сети и найти параметр для частного DNS-сервера. Здесь вы можете отключить частный DNS (чтобы использовался сервер вашего интернет-провайдера), установить его автоматически (когда Android будет пытаться использовать DNS-over-TLS с сервером вашего интернет-провайдера) или всегда использовать собственный сервер.

Выбор пользовательского DNS на Galaxy S10e под управлением Android 10

Вы можете ввести пользовательский сервер в поле адреса, но это должно быть имя хоста TLS, а не просто строка чисел.Например, вместо того, чтобы вводить 4.4.4.4 или 8.8.8.8 для Google Public DNS, вы должны использовать dns.google . Вместо 1.1.1.1 для CloudFlare вы должны ввести 1dot1dot1dot1.cloudflare-dns.com .

После того, как вы нажмете «Сохранить», настройка должна вступить в силу. Имейте в виду, что ваш выбор DNS может быть переопределен, когда вы используете VPN или другое приложение, которое изменяет конфигурацию вашей сети.

Android 8.1 Oreo и более ранние версии

В более ранних версиях Android официальным способом изменить DNS-сервер является ввод его вручную для каждого сетевого подключения (как Wi-Fi, так и сотовой связи).Чтобы внести изменения в сеть Wi-Fi, перейдите в приложение «Настройки», найдите сеть Wi-Fi, к которой вы подключены, нажмите и удерживайте имя сети и выберите «Изменить сеть». Затем при включении дополнительных параметров появляется опция «Настройки IP».

Обычно это читается как «DHCP», что в основном означает «Я согласен со всем, просто пусть Wi-Fi-маршрутизатор позаботится обо всем». Однако измените это на «Статический», и вы сможете вручную вводить все нужные сетевые настройки, включая ваш DNS-сервер.Есть место как для основного, так и для резервного сервера, который в нашем примере с Cloudflare будет 1.1.1.1 и 1.0.0.1.

Выбор собственного DNS на Android 8 Oreo

К сожалению, изменение этих настроек открывает ряд новых проблем. Во-первых, вам придется вручную указать IP-адрес вашего телефона и шлюз Wi-Fi-маршрутизатора. Даже если вам удобно это делать, это настройки, которые вы, вероятно, захотите изменить только для сетей, находящихся непосредственно под вашим контролем, таких как ваш домашний маршрутизатор.

К счастью, есть более простой способ. В Play Store доступно несколько приложений, которые используют Android VPN API для маршрутизации всех ваших DNS-запросов через пользовательский сервер, предоставляя вам функциональность, аналогичную общесистемной опции на Android 9 и новее. Это , а не VPN-приложения, единственный аспект вашего сетевого подключения, который меняется, — это DNS.

Некоторые популярные варианты включают DNS Changer и dnspipe.Поскольку они используют Android VPN API, всегда есть хотя бы одно постоянное уведомление, пока вы подключены.

Если вы в основном хотите использовать CloudFlare DNS, возможно, вам не придется использовать стороннее приложение — у CloudFlare есть собственное приложение WARP для Android. Он делает то же самое, что и различные приложения для смены DNS, но есть дополнительная платная функция «WARP +», которая, как утверждается, повышает производительность.

Примечание о подключении

Здесь стоит отметить, что, как и в случае с VPN, известно, что некоторые пользовательские DNS-серверы блокируются в некоторых сетях.Я лично потратил много времени, пытаясь понять, почему мой телефон не может подключиться к Wi-Fi моего колледжа, только чтобы понять, что он блокирует DNS CloudFlare.

Итак, если у вас когда-нибудь возникнут проблемы с подключением к сетям Wi-Fi, вам может потребоваться временно отключить функцию частного DNS в Android (или закрыть все используемые вами VPN-приложения). Этот не должен быть проблемой, но улучшение вашей конфиденциальности почти всегда сопряжено с головной болью или двумя.

Да! | Отлично, спасибо | ОК

Читать Далее

Корбин — технический журналист и разработчик, работавший в Android Police с 2016 по 2021 год.Посмотрите его другие работы на corbin.io.

Потенциальные риски использования бесплатной службы DNS от Google?

Компания Google объявила, что предлагает бесплатную службу DNS всем, кто хочет ею воспользоваться. К сожалению, мотивы / заботы о конфиденциальности не обсуждаются так подробно, как мне бы хотелось, и люди не задают важный вопрос о том, почему Google предлагает такой бесплатный сервис .

Несколько моментов для рассмотрения

• Google может профилировать определенный IP для стран, которые они посещают, или какие типы сайтов они предпочитают.
• Google может идентифицировать сайты, которые вы посещаете, на которых нет Google Analytics/Google Ads, что позволяет Google знать все, к чему вы подключаетесь.
• Google заявляет, что они не передают данные аналитике или объявлениям Google, и, кажется, не говорит, что не будет делиться этими данными с другими.
• Google может видеть запросы к внутренним именам хостов в вашей локальной корпоративной сети/локальной сети, когда вы пытаетесь посетить внутренний сайт.
• Google сможет видеть программные продукты, которые использует IP, если эти продукты выполняют обновления через Интернет.
• Google сможет определить, заражены ли вы вредоносным ПО, если это вредоносное ПО связывается с именами хостов для обновления полезной нагрузки. Это позволяет Google узнать, заражены ли вы бэкдором, что гипотетически означает, что эта информация может быть использована для сбора списка взломанных хостов. Это также дает им возможность контролировать полезные нагрузки, используемые ботами, без проверки/подписания полезных данных.Я говорю, что Google что-то сделает с этой информацией? Навряд ли.

Хотя ваш интернет-провайдер действительно находится в аналогичном положении (хотя есть вероятность, что он не может удерживать или анализировать трафик, как Google, из-за нехватки ресурсов), мотивация вашего интернет-провайдера предлагать вам DNS заключается в том, чтобы заставить Интернет работать, в то время как у Google есть какая-то финансовая выгода, которую еще предстоит определить (в конце концов, это публичная компания, заботящаяся о акционерах), которая, вероятно, связана с вашими личными привычками.

Я считаю, что Google поступает правильно в отношении для ускорения Интернета, однако у меня есть опасения, что однажды многие люди пожалеют, что передали Google так много информации. Будем надеяться, что после того, как первоначальные основатели полностью покинут Google, сообщение «Не делай зла» останется нетронутым. Мотивация для этого поста заключается в том, что вы должны знать, сколько информации вы отдаете одной конкретной компании, в то время как услуга «бесплатна», вы платите еще не определенную цену.

Google Public DNS: простое объяснение

Доверяете ли вы Google выполнение одной из основных функций вашего интернет-провайдера? Запустив свой сервис Google Public DNS, он считает, что вы должны это сделать.

Чтобы понять, почему Google Public DNS имеет такое большое значение, вам нужно кое-что понять о том, как работают веб-страницы. Веб-сайты представляют собой большие коллекции текстовых документов, изображений и видео. Они хранятся на компьютере где-то в мире, и у этого компьютера есть адрес, точно так же, как у каждого из ваших друзей есть номер телефона.

Когда вы вводите адрес веб-сайта, ваш веб-браузер спрашивает вашего интернет-провайдера, где находится компьютер, на котором хранятся все файлы веб-сайта.Ему нужен адрес компьютера — то, что называется IP-адресом. IP-адрес CNET UK, например, 62.108.136.40, его гораздо сложнее запомнить, чем cnet.co.uk.

Это похоже на адресную книгу мобильного телефона. Вместо того, чтобы запоминать номер телефона человека, вы просто сохраните этот номер в своем телефоне под именем вашего контакта. Чтобы позвонить кому-то, вы выбираете его имя, но ваш телефон на самом деле набирает номер телефона. Это именно то, что делает ваш интернет-провайдер, когда вы вводите cnet.co.uk, например, — он превращает его в точное число, необходимое для поиска нашего веб-сайта.

Что Google Public DNS делает, так это снимает всю эту работу с вашего интернет-провайдера, поэтому, когда вы вводите cnet.co.uk, ваш интернет-провайдер не превращает это в числовой адрес — это делает Google. И Google считает, что его обширные знания об IP-адресах мира, которые он собрал, по сути, посетив каждый веб-сайт, существующий за последнее десятилетие, делают его предложение более быстрым и всеобъемлющим, чем база данных, которую имеет ваш интернет-провайдер.

Google зацикливается на том, как быстро загружаются веб-сайты, и это, по-видимому, главная причина, по которой он предлагает альтернативу DNS-системам интернет-провайдеров. По сути, чем быстрее веб-адрес может быть преобразован в IP-адрес, тем быстрее будут загружаться ваши страницы.

На данный момент неясно, как Google сможет зарабатывать на этом деньги в будущем. Конкурент, OpenDNS, отображает рекламу вместе со страницами ошибок, возвращаемыми, если вы вводите адрес несуществующего веб-сайта или если существующий веб-сайт не отвечает на ваш запрос.Google, возможно, король рекламы, мог бы легко воспроизвести эту модель. Но будет ли? Кто знает? Если вы хотите поэкспериментировать, посетите домашнюю страницу Google Public DNS. Но будьте осторожны - это не для новичков.

Как мне переключить свои преобразователи DNS с Google?

В последнее время у многих пользователей возникли проблемы с разрешением DNS Google, что действительно подчеркнуло необходимость распределенного Интернета! Имея это в виду, я хотел написать руководство о том, как обновить ваши преобразователи DNS до пользовательского поставщика DNS.Мы будем использовать OpenDNS для этого руководства, но вы можете найти несколько вариантов здесь:

https://www.lifewire.com/free-and-public-dns-servers-2626062

Временное исправление:

Не знаете, хотите ли вы отказаться от Google, но хотите вернуться к работе? На вашем сервере есть файл с именем:

  /etc/resolv.conf
  

Что должно выглядеть примерно так:

  сервер имен 8.8.8.8
сервер имен 8.8.4.4
  

Если вы измените эти строки на IP-адреса преобразователя OpenDNS:

  сервер имен 208.67.222.222
сервер имен 208.67.220.220
  

Готово! Это направит все ваши запросы разрешения DNS на OpenDNS до следующей перезагрузки, когда resolv.conf будет перегенерирован на основе вашей сетевой конфигурации.

Постоянное исправление:

Так как же редактировать эту сетевую конфигурацию? Что ж, синтаксис тот же, но расположение отличается в зависимости от вашего дистрибутива.

Убунту/Дебиан

Сначала проверьте этот файл и внесите изменения здесь:

  /etc/network/interfaces.d/50-cloud-init.cfg
  

Но в некоторых более старых версиях этого не будет, поэтому вы можете просто внести изменения здесь:

  /etc/сеть/интерфейсы
  

Текущие настройки должны выглядеть примерно так:

  DNS-серверы имен 8.8.8.8 8.8.4.4
  

Вы можете обновить их с помощью преобразователей OpenDNS, чтобы они выглядели следующим образом:

  DNS-серверы имен 208.67.222.222 208.67.220.220
  

Затем перезапустите сеть с помощью:

  sudo systemctl перезапустить сеть.услуга
  

Или просто перезагрузите дроплет, чтобы эти изменения вступили в силу.

CentOS/RHEL

Всем этим можно управлять по адресу:

  /etc/sysconfig/сетевые скрипты/ifcfg-eth0
  

Текущие настройки должны выглядеть примерно так:

  DNS1=8.8.8.8
DNS2=8.8.4.4
  

Вы можете обновить их с помощью преобразователей OpenDNS, чтобы они выглядели следующим образом:

  DNS1=208.67.222.222
DNS2=208.67.220.220
  

Затем перезапустите сеть с помощью:

  sudo systemctl перезапустить сеть.услуга
  

Или просто перезагрузите дроплет, чтобы эти изменения вступили в силу.

Надеюсь, это было полезно! Если у вас возникла проблема с DNS, из-за которой изменение ваших преобразователей не… гм… разрешает … Тогда, пожалуйста, не стесняйтесь открывать тикет, чтобы мы могли посмотреть:

https://cloud.digitalocean.com/support/tickets/новый

И не стесняйтесь задавать свои вопросы ниже 🙂

С уважением, Дариан Адвокат поддержки платформы

Google Compute Engine: внутренний DNS-сервер и проблемы с разрешением

Хорошо, я только что столкнулся с этим.. но, к сожалению, через 30 минут не было тайм-аута, который заработал. К счастью, nelasx правильно диагностировал это и дал исправление. Я добавляю это, чтобы указать шаги, которые я должен был предпринять, основываясь на его превосходном вопросе и прокомментированном ответе. Я только что собрал информацию, которую мне нужно было собрать в одном месте, чтобы найти решение.

Симптомы: при запуске экземпляра google - отказ в подключении После проверки вывода последовательной консоли увидите:

 , 8 июля, 10:17:14 экземпляр-1 Google: ожидание сервера метаданных, попытка 412
  

Вы можете попробовать подождать, у меня это не сработало, и проверить https://github.com/GoogleCloudPlatform/compute-image-packages/blob/master/google-startup-scripts/usr/share/google/onboot

  # Не удалось разрешить хост или подключиться к хосту. Повторять бесконечно.
6|7) сон 1.0
log "Ожидание сервера метаданных, попытка ${count}"
  

Навел меня на мысль, что не сработает.

Итак, решение состояло в том, чтобы возиться с диском, чтобы добавить решение nelasx: "редактируйте ifcfg-eth и измените PEERDNS=no edit /etc/resolv.conf и поместите поверх ваших серверов имен + поиск домена, отредактируйте /etc/hosts и добавьте: 169.254.169.254 metadata.google.internal"

Для этого

1. Перед запуском лучше создать резервную копию снимка на случай, если что-то пойдет не так

2. Снимите флажок «Удалить загрузочный диск при удалении экземпляра» для вашего экземпляра

3. Удалить экземпляр

4. Создать микроэкземпляр

5. Крепление диска

   sudo ls -l /dev/disk/by-id/* # это даст вам имя экземпляра

   sudo mkdir /mnt/новый

   sudo mount /dev/disk/by-id/scsi-0Google_PersistentDisk_instance-1-part1 /mnt/new

, где instance-1 будет изменен в соответствии с вашей настройкой

6. Перейти к редактированию в соответствии с решением nelasx - идиотская ловушка, на которую я попался - использовать относительный путь - не просто использовать sudo vi /etc/hosts /mnt/new/etc/hosts - это стоило мне еще 15 минут, поскольку Пришлось пройти через: впал в депрессию, почесал голову, пнул себя цикл.