Bạn nhấp vào một liên kết bài viết công nghệ, trang tiện ích trực tuyến hoặc bản xem trước ứng dụng. Trang web tải nhanh chóng và hiển thị hoàn toàn bình thường. Thế nhưng ở chế độ ngầm, không hề có bất kỳ cảnh báo tải tệp hay hộp thoại xin quyền hệ điều hành nào xuất hiện, đoạn mã JavaScript thực thi trong thẻ trình duyệt đó đang âm thầm gửi yêu cầu tới bảng điều khiển quản trị router Wi-Fi gia đình, đọc cấu hình máy chủ lưu trữ NAS hoặc phát lệnh điều khiển trực tiếp tới các thiết bị thông minh kết nối trong cùng mạng cục bộ.

Đây không phải là kịch bản giả định trong phòng thí nghiệm; đó là thực tế nguy hiểm của phương thức tấn công DNS Rebinding (tái liên kết hệ thống phân giải tên miền). Bằng cách khai thác sự thiếu đồng bộ giữa cơ chế phân giải tên miền và mô hình bảo mật của trình duyệt web, kẻ xấu có thể biến một thẻ trình duyệt thông thường thành bàn đạp ủy quyền để can thiệp trực tiếp vào mạng cục bộ (LAN) của bạn.

Cơ chế tấn công: Phá vỡ ranh giới chính sách cùng nguồn gốc Same-Origin

Để hiểu rõ phương thức tấn công DNS Rebinding, trước hết cần xem xét bức tường bảo vệ nền tảng của mọi trình duyệt web hiện đại: Chính sách cùng nguồn gốc (Same-Origin Policy - SOP). Chính sách này quy định rằng các tập lệnh chạy dưới một nguồn gốc nhất định (xác định bởi giao thức, tên miền và cổng mạng, ví dụ https://example.com:443) không được phép đọc dữ liệu phản hồi từ một nguồn gốc khác (chẳng hạn http://192.168.1.1:80). Trong điều kiện thông thường, cơ chế này ngăn các trang web độc hại can thiệp vào phiên giao dịch ngân hàng hoặc trích xuất dữ liệu nội bộ.

Tuy nhiên, điểm mấu chốt là Chính sách cùng nguồn gốc lại dựa trên tên miền chứ không dựa trên địa chỉ IP thực tế. Khi người dùng truy cập một trang web, trình duyệt gửi truy vấn tới máy chủ phân giải DNS để chuyển đổi tên miền đó sang địa chỉ IP đích.

Trong một cuộc tấn công DNS Rebinding, kẻ tấn công thiết lập một máy chủ quản lý tên miền (authoritative DNS server) để thực hiện thao tác tráo đổi địa chỉ IP có chủ đích:

  1. Phân giải ban đầu với thời gian sống cực ngắn: Khi trình duyệt mở tên miền của kẻ tấn công, máy chủ DNS phản hồi bằng địa chỉ IP máy chủ công cộng chứa mã khai thác. Đáng chú ý, bản ghi DNS này được cấu hình giá trị thời gian tồn tại (TTL - Time-To-Live) bằng không hoặc chỉ một giây, buộc trình duyệt và bộ phân giải trung gian không được lưu trữ bản ghi vào bộ nhớ đệm.

  2. Tải và kích hoạt đoạn mã độc: Trình duyệt kết nối tới máy chủ của kẻ tấn công, tải về mã HTML và JavaScript rồi thực thi. Đoạn mã này thiết lập một bộ đếm thời gian hoặc kết nối ngầm để giữ cho thẻ trình duyệt luôn hoạt động.

  3. Giai đoạn tráo đổi bản ghi: Sau vài giây chờ đợi để bộ nhớ đệm tạm thời của hệ điều hành hết hạn, tập lệnh JavaScript tự động phát một yêu cầu mạng thứ hai tới chính tên miền đó.

  4. Trỏ ngược về dải mạng nội bộ: Do giá trị TTL ban đầu đã hết hạn, trình duyệt buộc phải gửi truy vấn DNS mới. Lần này, máy chủ DNS của kẻ tấn công thay đổi câu trả lời. Thay vì trả về địa chỉ IP công cộng của mình, nó phản hồi một địa chỉ IP thuộc mạng nội bộ của nạn nhân—ví dụ 192.168.1.1 (địa chỉ cổng mặc định của router), 127.0.0.1 (địa chỉ vòng lặp cục bộ của máy tính) hoặc địa chỉ của thiết bị thông minh trong nhà.

  5. Đánh lừa trình duyệt: Dưới góc nhìn của trình duyệt, đích đến của yêu cầu vẫn mang đúng tên miền ban đầu. Do tên miền không hề thay đổi, trình duyệt xem đây là yêu cầu hợp lệ cùng nguồn gốc và cho phép thực thi mà không có bất kỳ ngăn chặn nào. Yêu cầu HTTP được gửi thẳng qua giao diện mạng cục bộ, thu thập dữ liệu cấu hình của thiết bị nội bộ rồi chuyển ngược về máy chủ của kẻ tấn công.

Mục tiêu bị nhắm tới: Từ router Wi-Fi đến công cụ lập trình

Lý do khiến tấn công DNS Rebinding đặc biệt nguy hiểm nằm ở thói quen tin tưởng mặc định trong các mạng nội bộ gia đình và văn phòng. Vì các thiết bị nằm sau tường lửa và bộ định tuyến NAT, nhà sản xuất thường bỏ qua các lớp bảo vệ nghiêm ngặt:

  • Router Wi-Fi và modem băng rộng: Nhiều bộ định tuyến gia đình mở giao diện quản trị web trên cổng 80 hoặc 8080 mà không kiểm tra chuỗi tiêu đề Host hoặc thiếu mã xác thực chống tấn công giả mạo yêu cầu (CSRF). Đoạn mã độc có thể âm thầm trích xuất mật khẩu Wi-Fi, đổi máy chủ DNS chỉ định sang máy chủ độc hại hoặc kích hoạt cổng quản trị từ xa qua mạng diện rộng.
  • Thiết bị nhà thông minh và IoT: Camera giám sát, loa thông minh và thiết bị chiếu sáng thường dùng giao diện lập trình REST không yêu cầu mật khẩu. Một thẻ web chạy ngầm có thể điều khiển công tắc, tắt cảm biến an ninh hoặc trích xuất luồng hình ảnh riêng tư.
  • Cổng dịch vụ phát triển phần mềm: Các lập trình viên thường chạy cơ sở dữ liệu, môi trường máy ảo container hoặc bảng gỡ lỗi trên địa chỉ 127.0.0.1 mà không đặt mật khẩu xác thực. Một thẻ duyệt web có thể khai thác cổng này để đọc mã nguồn hoặc chiếm quyền thực thi phần mềm cục bộ.

Phòng thủ đa tầng: Tăng cường máy chủ phân giải, thiết bị và đường hầm

Loại bỏ nguy cơ từ DNS Rebinding đòi hỏi sự phối hợp đồng bộ giữa cấu hình phân giải tên miền, thiết kế thiết bị và giải pháp mã hóa đường truyền:

Lọc bản ghi DNS Rebinding tại máy chủ phân giải

Giải pháp phòng thủ hiệu quả ở tầng mạng là kích hoạt tính năng kiểm duyệt chống tái liên kết DNS trên máy chủ phân giải cục bộ. Các phần mềm định tuyến như dnsmasq, Unbound hay hệ điều hành mã nguồn mở cho router có khả năng thanh tra mọi gói tin DNS trả về từ Internet. Nếu một tên miền công cộng trả về địa chỉ IP thuộc dải mạng riêng tư RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) hoặc dải vòng lặp (127.0.0.0/8), bộ phân giải sẽ lập tức hủy bỏ bản ghi đó và trả về thông báo lỗi NXDOMAIN.

Xác thực tiêu đề Host và cơ chế truy cập mạng riêng

Nhà phát triển thiết bị và ứng dụng nội bộ cần thiết lập kiểm tra nghiêm ngặt tiêu đề Host trong các yêu cầu HTTP gửi đến. Khi đoạn mã của kẻ tấn công chuyển hướng lưu lượng tới router thông qua tên miền độc hại, trình duyệt sẽ gửi tiêu đề Host chứa tên miền đó. Máy chủ nội bộ phải từ chối ngay lập tức mọi yêu cầu có tiêu đề không khớp với localhost, 127.0.0.1 hoặc địa chỉ IP mạng nội bộ dự kiến. Bên cạnh đó, các trình duyệt đang triển khai chuẩn Truy cập Mạng Riêng (Private Network Access - PNA) của tổ chức W3C để ngăn các trang web công cộng gửi yêu cầu ngầm tới tài nguyên mạng nội bộ mà không có sự đồng thuận trước.

Cô lập kết nối an toàn với đường hầm VPNRice

Trong khi việc cập nhật phần mềm cho toàn bộ thiết bị phần cứng đời cũ cần nhiều thời gian, việc sử dụng đường hầm mạng mã hóa mang lại sự bảo vệ toàn diện ngay tức thì.

Cài đặt ứng dụng VPNRice thiết lập một môi trường truyền thông biệt lập, định tuyến toàn bộ lưu lượng phân giải DNS qua hệ thống máy chủ đệ quy bảo mật độc lập. Dựa trên các giao thức hiện đại như RiceGuard và RiceGuardX kết hợp chuẩn mã hóa ChaCha20-Poly1305 và AES-256-GCM, VPNRice áp dụng cơ chế phân giải tên miền không lưu nhật ký (zero-knowledge DNS). Nhờ tách rời hoàn toàn yêu cầu web công cộng khỏi các kênh phân giải cục bộ chưa mã hóa, thiết bị của bạn không bị dẫn dụ bởi các phản hồi phân giải giả mạo từ bên ngoài.

Trước khi truy cập các trang web thử nghiệm hoặc làm việc trên môi trường mạng công cộng, bạn hãy kiểm tra trạng thái bảo mật kết nối bằng công cụ Tra cứu địa chỉ IP và rà soát các lỗ hổng rò rỉ giao tiếp qua trình Kiểm tra rò rỉ WebRTC. Sự kết hợp giữa bộ lọc DNS thông minh và đường hầm bảo vệ kiên cố sẽ giữ cho mạng nội bộ của bạn luôn an toàn trước mọi âm mưu xâm nhập trái phép.