近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。
4 h2 }1 ~8 B2 F5 ], u* M/ x8 S, A7 Q# D
那攻击者到底是怎样实施该域名劫持攻击的呢?
* z! \- W. K+ A! b8 s( W& k' t+ c8 r9 Z k
1.获得要劫持的域名注册信息
% d q; m q1 H
1 S0 Y/ D7 A `9 ^9 }' q 攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息: & W- J6 r3 Q' [8 U0 i
Registrant: 9 w: S2 ]1 [( L1 P- G, L; c
CapitalCities/ABC,Inc(ABC10-DOM)
) ?) V9 Z* F" M/ G' \; h77W66thSt.
0 m$ @; X' H: Y( iNewYork,NY10023
! c' ], {0 M+ Q$ d! I4 B# ?US
9 c! r ^; X+ J# }' e# f: _2 p
3 \" w( M6 \$ W. f! KDomainName:ABC.COM , d) o4 h9 m& K
% F$ l" z0 L# B" s7 p9 R1 w
AdministrativeContact,BillingContact:
' R- L/ C3 `) e( {1 g: D& sKing,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM & M" m: ^# H4 p% L! e: Q# o1 X, ?1 |
ABC,Inc. 5 C& T' ~; I% F( l! l
77W66thSt. E* \9 _! L3 V1 ~; S: ]
NewYork,NY10023
* v) G: R& g9 BUS ) x' v: d0 C2 k, j" {5 P: z
212-456-7012
( t/ f7 }( v& z0 n: }8 [( J. }: qTechnicalContact,ZoneContact: + X6 v0 P. ]4 ^. e: Q
DomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM O2 l4 O5 @4 T5 g- k
StarwaveCorporation
5 q- L# r0 z& F5 ]$ t13810SEEastgateWay,ste.400 ( \& s7 \' Y; R; o( d4 n! T/ f: T
Bellevue,WA98005
7 k# b# z+ l" [$ g1 Y: aUS 3 E ^# o+ P: G3 s+ v0 c$ Y
206.664.4800 ; N* x& _* E) ~# a/ z: b
Fax-206.664.4829
& F/ B3 _: U: A. }* J0 n
9 a% }3 x) W( A. E6 ~+ URecordlastupdatedon11-Oct-2000. |6 G9 H, X$ L) a
Recordexpireson23-May-2003.
$ w% s+ }6 L3 H. J( h& oRecordcreatedon22-May-1996.
( X( B" Q0 g0 W; X7 bDatabaselastupdatedon20-Oct-200014:14:26EDT. / ` R+ \9 A5 Y0 n$ S6 r, i
X) c' _0 ~8 F, G [
Domainserversinlistedorder: : R# D; M5 N/ l, ^# }
! Y n+ p: z# O; X
DNS1.STARWAVE.COM204.202.132.51 " T1 b- `# g' J9 r' e+ v, z
T.NS.VERIO.NET192.67.14.16 ) Y) |8 {$ s+ S% o! X
3 x$ n0 q0 a7 i3 |
2.控制该管理域名的E-MAIL帐号 6 e7 W4 G" Y: @5 ?& B1 F" h! B
- A0 y9 C. C9 \
从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击.
; Z8 Q4 m( d7 f6 ]" S4 n+ M/ G
2 J1 E7 ~- l3 J- K& D) K Z 3.修改该域名在网络解决方案公司的注册信息1 ~- E# D4 T; m
/ L8 K. l9 Y: `0 I& `0 X7 y 到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。7 h0 D$ W# U. n6 y+ T+ Y
& `+ t- A' @5 {$ `2 d2 K) {4 v
4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函 . K: N: z# f. V' Z. z, H- x$ f
* l2 S9 W! l l" k
攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。
; a5 a2 y; g2 T: ~/ }& I' N9 Z( R6 d( v" ~. s
5.在新指定的DNS服务器加进该域名记录 x% s5 l u* B( S) ^6 |$ I
5 c3 f4 _1 b- V7 [" F( j! X# i 在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
Ai优选商家寻找本地地推合作伙伴202求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增808网络资讯
GEO优化如何让企业流量翻倍？707网络资讯
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
7 q/ B9 v0 C( v) N8 k8 q
3 p# P! x n: e& C! Z
L# N1 I; K- R5 P+ p6 o
7 v- \$ Q; ^& a
! P$ Y. U; W9 B$ v
* L. @/ g2 k. n5 A, x& E7 @