您的物联网小玩意儿，音乐盒，智能家居套件是否容易受到DNS重新绑定攻击？以下是如何检查

攻击计算机网络的技术是十多年前首次披露的，它已经再次出现成为操纵物联网小配件，智能家居设备和流媒体娱乐小玩意的一种方式。

本周研究员Brannon Dorsey 发表了一篇文章，解释了智能家庭硬件如何容易受到称为DNS重新绑定的伎俩的影响。

他还制作了这个网站，经过您的许可，您的浏览器将运行JavaScript来检测您的网络上是否存在任何易受DNS重新绑定绑定的设备。如果你担心你的设备处于危险之中，请尝试一下。

研究人员Dan Kaminsky 首先在RSA 2008上披露，DNS重新绑定攻击允许浏览器中的恶意网页访问并潜在地征用本地网络上的设备，避开通常会防范此类攻击的同源策略检查。

重新绑定攻击在现代浏览器和网络上变得更加困难，但某些系统仍然容易受到可靠攻击。今年早些时候，暴雪必须在其更新工具中解决这个问题，并且利用针对加密货币的钱包也使用了该技术。

现在，多尔西声称，家庭网络和互联网连接的设备将不得不被添加到该列表中。信息中心解释说，通过将用户连接到受损的DNS服务器，网络浏览器可以远程接收并向本地网络上的设备中继命令。

可以被这种攻击操纵的硬件包括WiFi路由器，流式视频和音乐盒（如Roku或Google Home装备）以及智能恒温器或其他连接设备。

“许多这些设备提供有限或不存在的认证来访问和控制他们的服务，”Dorsey解释说。“他们天生就信任网络上的其他机器，就像你本可以信任你已经进入你家的人一样。”

实际上，攻击将使用浏览器作为渗透本地网络的入口点。

与以前的攻击技术一样，Dorsey的方法涉及欺骗用户访问诱骗诱骗的网页 - 通过类似网络钓鱼电子邮件或XSS漏洞的攻击 - 运行脚本代码以联系恶意DNS服务器来查找域名。

但是，Dorsey的技术并不是将域名解析为外部服务器的IP地址，而是让DNS服务器返回所连接设备的本地网络地址，然后允许页面像用户一样访问设备。一直以来，被愚弄进行攻击的浏览器都会向用户显示没有任何警报，表明任何事情已经发生错误。

为了演示，Dorsey制作了概念验证码，展示了该技术如何强制家用恒温器提升自身温度。

Dorsey说他已经通知Roku和Google这样的供应商这个漏洞，所以预计补丁很快就会出现在你的设备上。这个问题可能涉及数千台设备，供应商将需要一些时间来充分解决安全缺陷。

“这种攻击的影响和影响会对运行在私人网络上的设备或服务产生深远的影响，”Dorsey写道。“通过将受害者的网络浏览器用作HTTP代理，DNS重新绑定攻击可以绕过网络防火墙，并使受保护的Intranet上的每台设备都可供Internet上的远程攻击者使用。”