Alarm: Possible DNS rebinding attack (dos:154)

W ataku tego typu, napastnik stara się przejąć zarówno witrynę jak i serwer DNS używany do rozwiązania jej domeny. Gdy się to uda, to za każdym razem, gdy ofiara odwiedzi stronę internetową, serwer DNS jest aktualizowany tak, by wskazywał na jej adres IP, jako jeden z adresów IP witryny.

Pozwala to na całkowite ominięcie polityki bezpieczeństwa „same origin” – czyli ograniczenia możliwości uruchamiania skryptów tylko do tych, które pochodzą z oryginalnej witryny. Normalnie przeglądarka nie pozwala JavaScriptowemu kodowi na manipulowanie stronami, które nie są w tej samej domenie co hostujący go serwer. DNS rebinding pozwala jednak napastnikowi „przekonać” przeglądarkę, że dowolna wybrana przez niego maszyna należy do tej samej domeny co strona zawierająca złośliwe oprogramowanie. Tworząc wpisy DNS dla komputerów w sieci lokalnej ofiary, atakujący umożliwia przeglądarce ofiary na dostęp do nich.

Alarm pojawi się np. w sytuacji gdy na publicznym serwerze DNS umieścimy rekordy rozwiązujące nazwy dla adresów IP należące do naszej sieci lokalnej.