近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。
) [, F/ n6 c/ a& V3 L
9 t1 k1 N& Z, } m, b p6 o 那攻击者到底是怎样实施该域名劫持攻击的呢?
+ ?$ K _3 Z. o/ N, x
7 b6 W( \4 P+ F2 O 1.获得要劫持的域名注册信息
( m4 [% ] w, e& s" z# i9 V. f; F" R- ?9 F
攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息: 3 d" [3 m* x) r" C# b- r N! ^
Registrant: ( a% Y6 [% u& |8 n" I- [/ K
CapitalCities/ABC,Inc(ABC10-DOM)
$ ~) B( q2 L4 e) k s* x77W66thSt. " w# V/ Q4 i z7 E1 _
NewYork,NY10023 & e4 Y2 K9 s& _; t
US
/ M6 Y/ t9 Y/ i, Y
" v' M! E2 v8 h7 }DomainName:ABC.COM l* s0 R Y i4 E9 S/ j
+ n7 a/ @( Q/ D: Z2 e& [AdministrativeContact,BillingContact: , n5 R/ x6 ?6 r% f0 Y% G& h/ e
King,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM ; a ~- M, [6 a, x3 I* [: r. I
ABC,Inc.
. o9 y |) N' a% J( T* w" Z77W66thSt.
9 f* n$ X( r9 X1 `NewYork,NY10023 $ {7 o1 u# N+ o' s) @
US 2 v" `: ~4 O) q3 w. U
212-456-7012 ) V$ k" U* @6 K
TechnicalContact,ZoneContact:
5 c" q0 N+ F0 [/ ODomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM
; L+ V6 |) ^ x$ F8 K( u. FStarwaveCorporation
$ s# r2 ^ w* E: D2 d13810SEEastgateWay,ste.400 & ]7 F4 n( a; c( J; _6 M& e* L) c
Bellevue,WA98005 1 J2 f# ]. \) ]' l4 o
US 0 Q S' Q& x, O, d& {' @
206.664.4800
( ]! V" f3 d# m- D. W& F" ]Fax-206.664.4829
$ r5 V/ E9 i6 @8 j% v! f9 @2 h q* [; x! ~$ e* @
Recordlastupdatedon11-Oct-2000. : V" U6 ^! Y: b! ^% {' N
Recordexpireson23-May-2003. 8 ]; S, Y; ?8 l
Recordcreatedon22-May-1996. # Y6 D7 b. I8 L' H
Databaselastupdatedon20-Oct-200014:14:26EDT. - @# q- d6 a0 T' S0 U. c- |3 O
% ~. y. }4 x4 k* e% S* }Domainserversinlistedorder: , \. m; L+ o6 |- k
/ a# e7 F' a9 m6 o H
DNS1.STARWAVE.COM204.202.132.51
: i: o( h$ C, A: ^, l4 F* D/ FT.NS.VERIO.NET192.67.14.16 . W" L, e% |$ U; A) [& U! u
; p1 |# @; o3 v7 ]0 ] 2.控制该管理域名的E-MAIL帐号 ; |/ o' P5 O( G G- { z0 v
9 n9 [) a2 H$ e 从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击.
+ Z* j |2 L: |5 z0 Q" n; @1 a) D" h
3.修改该域名在网络解决方案公司的注册信息
4 T/ K% ?+ ?/ _6 z2 A6 i4 b; j$ v% l# Z8 n
到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。
. T1 T" b# ], ^' U' G9 E6 O$ J" w# s6 {% y* m1 @, L7 F
4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函 2 D6 ]4 }/ a3 D* b* ?
" J3 V9 w, E3 T; s: |
攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。
# \ s! t/ Z0 o( w5 c, y( I, k+ e! V4 x3 `9 t
5.在新指定的DNS服务器加进该域名记录
# u) S8 D3 P1 i2 z6 h, Q J( I: c
在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
外卖新店开业第一周开推广，十家九家亏0打酱油
Ai优选商家寻找本地地推合作伙伴4141求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增1616网络资讯
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
4 J+ K) Z6 i: ~+ K. U& l, m. x1 S6 y/ _
/ H% t: S- h3 {: G; N
% r& ?; J; ~3 t2 V0 \* V
7 K8 c/ p9 [3 s
8 d& Q, w$ A [# ]; A
( ~* _* C7 |4 t
& m9 m& a# @4 u$ L9 Q3 s* w, t5 i