近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。
, o1 d6 Y5 o8 H: k* S, F& S) Q n7 m
. U; v- g. w6 h4 ?& y! s 那攻击者到底是怎样实施该域名劫持攻击的呢?
! U6 _( E( g7 y
' x, f ]6 S1 N s 1.获得要劫持的域名注册信息 , d: E8 k% f* m
1 h( ]; t" q+ H+ P) s+ ?$ W 攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息:
9 k: _( G9 c5 p& d7 v# ORegistrant:
) Y/ B4 U! |" P4 HCapitalCities/ABC,Inc(ABC10-DOM)
, G/ w7 T7 r9 r( c4 ~& y2 e8 J% N77W66thSt.
4 t2 P/ Q/ G7 r: G' P9 gNewYork,NY10023 9 Q, l8 Y4 A* d8 f
US
* z- ?, J! I) G5 R0 w. ]" r! y. V7 ~) c% _
DomainName:ABC.COM
+ d# B+ S- s4 J. Q% f
6 F, _7 ]& [ \8 l$ l& X& G/ S$ D8 FAdministrativeContact,BillingContact: * G, Y! i8 y, O' y9 M3 Y. _. \
King,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM
5 D+ f0 `5 |6 d7 b, Z+ t3 MABC,Inc.
% }% J" I" ?- n* ^7 T4 u77W66thSt.
- f) D1 c2 @" f2 J& D+ x: b' YNewYork,NY10023 - k2 N+ K9 k! P+ \: A* {
US
: |# E+ A6 U3 q0 V2 W% l212-456-7012 # u' q! }8 Y# k, Z- ?0 J) x$ o/ Y7 l
TechnicalContact,ZoneContact:
. h( L# @# F: f. P) ~4 O: @DomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM
* E0 G' X. V! Z$ P: R% G1 sStarwaveCorporation
# a! o1 V' E. F13810SEEastgateWay,ste.400
a6 T/ x1 p$ H0 j) rBellevue,WA98005
" y9 `% [% u8 i( O tUS
5 v7 J& |9 P9 A; G( S206.664.4800 ) [2 N0 m8 z) {" {* E
Fax-206.664.4829
9 U' _& _7 ?0 v* G6 C1 ~- ]. P2 ]6 Q; h5 N: ?! m$ K
Recordlastupdatedon11-Oct-2000. 6 Z/ o9 ?* N7 G& c% E2 r) [
Recordexpireson23-May-2003.
0 }. c4 e0 G# |6 \5 WRecordcreatedon22-May-1996.
- ~$ g8 o+ M' E9 a1 {. v6 g' N: X+ IDatabaselastupdatedon20-Oct-200014:14:26EDT.
! E @/ o4 z8 Z! F) l& L- R7 C
8 L' V7 m! x& R& N* SDomainserversinlistedorder: . P i8 i( {$ Z- A7 q
; l& S3 Z. Z9 lDNS1.STARWAVE.COM204.202.132.51
6 A k; ?2 ^4 ZT.NS.VERIO.NET192.67.14.16 ; b% v* b. Q* z& q0 L
% A" l& y& m [# o3 E) [% [$ z 2.控制该管理域名的E-MAIL帐号 - k; ]6 S- C: U( c& h) p
9 `6 u5 L1 ^8 r5 i$ O5 s 从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击.
0 _) V" U1 f8 f. D5 f$ k$ F/ F# [! u3 B: @1 Q$ U$ ~. N! i9 b
3.修改该域名在网络解决方案公司的注册信息
B0 v: X9 L9 E2 \2 v1 ?
2 V3 F, B8 f/ I* H0 J4 f5 \0 E 到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。7 B/ u/ }8 Q) Z8 S& Q5 J) Q
$ g8 `/ J. e8 v' X" W
4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函
1 ~0 h/ q" }5 ?& z& c
5 W& D E! c# [! G/ [; m6 x 攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。
0 |( v6 a( i5 ^ g' F' l3 K/ m
5.在新指定的DNS服务器加进该域名记录
7 ~& g$ @/ |2 q' h" z: b6 j3 ?! y3 G. V% a2 S
在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
外卖新店开业第一周开推广，十家九家亏0打酱油
Ai优选商家寻找本地地推合作伙伴4141求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增1616网络资讯
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
; R' n6 o' V5 M
; c" D l; O' y2 d% F" B
8 T' {& e6 X/ T* J9 ?! O
7 R' s8 |) | b$ P% O: t: ?* K
6 H9 K% o+ i; A9 X' Z
+ F' k* ]* a* g3 g* D% x
. L; [3 D% p3 B* H8 l6 ?6 v
4 Z- J; U, _0 Q7 y