近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 ; O6 v( H1 q- e. n* U% Y
! t7 j: y7 i3 J1 M 那攻击者到底是怎样实施该域名劫持攻击的呢? `- q. `; Y' J! K
, G( u7 z( E: R 1.获得要劫持的域名注册信息
9 A" U4 T4 R* w Z
- u0 e \/ U. n4 |$ b/ i' ^: P" G 攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息:
, X! i; l0 w: T5 g+ C1 y! oRegistrant:
( \0 I; E& y6 `+ E/ |' ?! K, ACapitalCities/ABC,Inc(ABC10-DOM)
$ R+ |' {% I7 Y( f Y77W66thSt.
~+ g* z/ F& n' l- o' VNewYork,NY10023 + e" K. k6 a) Z: m
US : A- a9 n6 M/ [. G
) ^( q" e6 k+ J/ B4 s# Z0 q/ H aDomainName:ABC.COM
L6 ]. H6 w" }) Q
8 w: J) W1 u2 R2 P9 ]: s) TAdministrativeContact,BillingContact: ( Q6 I" `& K( w% `& T
King,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM
% P# _+ z; I; P8 u" R+ A* Q) vABC,Inc.
7 B, G) h" a( s" q' C' ~& ]77W66thSt.
7 S( f0 H \, X H4 }NewYork,NY10023
( x7 E7 u) Y2 h3 UUS
- W0 e5 T! l/ J) Z3 u$ C212-456-7012
0 j, z! d7 L9 l. }2 BTechnicalContact,ZoneContact: # r, P, |3 l5 N& D
DomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM # k: W+ n* ?; W) i
StarwaveCorporation - c4 Y8 f6 _& r) z3 [# ]* i; }
13810SEEastgateWay,ste.400 + C, i# n- N) W3 S- j: a
Bellevue,WA98005 @ g" P# s2 G- i1 h
US
n7 G& U2 h/ ]- Q- D! `206.664.4800
1 ?9 X4 R/ g, M. T) o2 V0 yFax-206.664.4829 $ x) O& w4 }2 ^$ f: R0 r
3 O5 m8 k: Y J* [; f! x9 ~
Recordlastupdatedon11-Oct-2000.
4 T' b6 p' G- X& U- U% X" u1 VRecordexpireson23-May-2003. % E0 z0 _6 ?) X2 t% [- X
Recordcreatedon22-May-1996. 2 K5 l( |! q. c
Databaselastupdatedon20-Oct-200014:14:26EDT.
}: ~6 @0 \. _5 b( T" t) d. M
; U' M" e8 M9 M8 P) gDomainserversinlistedorder: 2 V* z0 R* }+ V( m3 [3 l) ~. f3 |
, N( d1 h z) c3 ~+ z
DNS1.STARWAVE.COM204.202.132.51 , j& o9 t, ~6 p8 ^. F
T.NS.VERIO.NET192.67.14.16
. h7 ^- u! V$ Z; S$ N7 G) S+ D) M) k! x
2.控制该管理域名的E-MAIL帐号
4 p# ?! F! `0 p9 M
; [3 O0 r$ Q8 ~% S 从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击. 2 g& {) e, @/ V
a/ ?0 T H0 W3 Q' q
3.修改该域名在网络解决方案公司的注册信息
9 o0 V+ X8 F4 f' @
3 m" z; v( S) t: r0 Z 到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。5 _4 Z1 ?9 i) O: O U- e
9 e9 w9 P# K7 H3 l: b+ w7 _
4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函
2 x4 i+ h$ S" D4 o/ v! n
$ F8 B M& e: d# C( P 攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。
7 L9 D: B* u l; ]4 `: t) Z8 X1 i) v; Q$ c( [
5.在新指定的DNS服务器加进该域名记录
# M7 z" u0 R6 t* d# M5 y1 o8 i, f- N5 b5 ]) J: | K% n& U) t6 P
在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
Ai优选商家寻找本地地推合作伙伴202求项目与合作
拥抱AI搜索新时代！GEO优化成为企业流量增808网络资讯
GEO优化如何让企业流量翻倍？707网络资讯
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
X4 Z8 q/ W+ m: f
, g0 X0 ^- y6 B% [: t! F
% p) k9 |8 C& H, {% @7 z& d) q
( G2 T3 e9 N, z9 M( V9 o
/ A4 `7 G- I: e, Y, y
1 U f0 h# J6 X% D9 f
