近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 : T9 j. e f1 R' ~& z/ ]
8 L; n- R; Y9 T9 v' r, H* ? 那攻击者到底是怎样实施该域名劫持攻击的呢?
6 | ]! l$ W& b+ ]6 ?) E1 ^. Z9 h- R d" f4 \1 x3 T* \5 T1 n
1.获得要劫持的域名注册信息 ' ~/ {4 z& z8 t( u5 n( _5 P" V0 A- |! \
% h' I4 F0 _7 O7 _* S! H5 F
攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息:
% p% G$ t" j5 d$ N% y- q+ ?0 C0 `Registrant: 8 @3 V( `: B; @! X
CapitalCities/ABC,Inc(ABC10-DOM) # i, B2 u$ @. ]/ g1 `, N
77W66thSt.
9 b$ e; B$ h' m1 L* iNewYork,NY10023 Q1 N% p) `+ _% l% k
US
% {% @. V7 ~% ]6 e# U# a4 {/ ]: U- l
; s% J" ?( A! n9 W6 y |8 ADomainName:ABC.COM - c9 X5 ^) S, t& J! Z2 y1 ?8 n2 T
, K: P8 @ E/ B
AdministrativeContact,BillingContact:
* i' x1 d$ r1 F, ~7 {( KKing,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM
$ U# K0 O$ q( i7 _# ZABC,Inc. % W7 e+ p0 c; U5 p. z6 k. L5 m2 M
77W66thSt.
" G8 \) Z) \( O% q @" y* ZNewYork,NY10023
, H+ M* T2 T, |, `$ jUS
- U+ x; z' q, F* B+ s$ O212-456-7012 " c5 j5 d# Z5 u- Q3 ~
TechnicalContact,ZoneContact: 2 m& r& c, G* D0 p3 |; Q9 ~
DomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM
/ a0 ?. _% r* A0 ]! k4 e( T0 ^ ?StarwaveCorporation 5 o" X& L7 |; W
13810SEEastgateWay,ste.400
( Y9 c, H( e# _# L* i. }+ DBellevue,WA98005
+ V+ u: E9 ?" lUS 6 z I" j/ f( [2 w) Z
206.664.4800
! R( `, G3 L* u& p& O: C" ?+ JFax-206.664.4829 * F+ }' G! P* J4 T! G
+ B7 H; r/ }+ ]) _
Recordlastupdatedon11-Oct-2000. 0 p1 `. D* @9 x3 `0 v
Recordexpireson23-May-2003. * n! j! q; j- h+ |+ P. f
Recordcreatedon22-May-1996.
" ?$ R+ G+ b* y) W2 O" dDatabaselastupdatedon20-Oct-200014:14:26EDT.
& o4 W9 X3 a2 y& K2 g& { c5 y2 t* f7 T" ]- K' u7 d% n
Domainserversinlistedorder: ; ~2 ~2 Z9 s9 R4 {
# l) M* {3 U+ s2 G7 V3 W# ?" m) i
DNS1.STARWAVE.COM204.202.132.51 y$ i7 ^' Z$ A
T.NS.VERIO.NET192.67.14.16
( ^% ]" s. i) o2 z3 X3 [9 Y4 J1 W' {) U$ r' a. Z+ {: w* z& A
2.控制该管理域名的E-MAIL帐号 " n O! m5 p1 a0 |8 }+ U
- Y# d, u0 h7 T 从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击. 0 u5 ~* C- e& B% r/ O
. S. L/ l& D* j, z1 {# O 3.修改该域名在网络解决方案公司的注册信息+ S5 a. ~- t3 E+ o
9 V; G5 K3 ^$ I) ^& l+ A
到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。. o; F% W$ x4 @ {* k
/ D+ ~2 l4 B& @' }% L% N 4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函 1 _6 t1 \. w# {) I
& a, h2 s, @: Q, g; V! J1 g 攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。
. v5 E N4 f0 `0 y3 e7 G8 k
1 w/ S3 r. M$ M 5.在新指定的DNS服务器加进该域名记录 " `& b+ G6 a6 T* \$ T
6 I" M3 P d, P4 g1 l& { 在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
Ai优选商家寻找本地地推合作伙伴303求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增909网络资讯
GEO优化如何让企业流量翻倍？909网络资讯
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
7 z7 z( _" ^ m4 V3 Z2 m( S% h
# t7 N( T; J! Y! _) ~
1 ]$ o7 H J0 W* y8 Z
l" P6 m! t7 U9 R- T. N
1 z% T. |* ]* v
1 L0 D: E2 I" K2 [
4 v: ?* s: D( y0 Y' j0 W. ]$ t
3 t& m# q9 F9 |/ E6 W