近期发现adobe.com,internet.com,nike.com,等等著名站点都分分遭受到攻击，但攻击者所使用的技术并不是以往所使用的入侵WEB服务器，更改主页的惯用手法，攻击者使用的是一种域名劫持攻击？攻击者通过冒充原域名拥有者以E-MAIL方式修改网络解决方案公司的注册域名记录，将域名转让到另一团体，通过在修改后注册信息所指定的DNS服务器加进该域名记录，让原域名指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。
4 A* n$ p: T6 w$ V% {: r& ]; @3 C# E/ \1 {
那攻击者到底是怎样实施该域名劫持攻击的呢? : }$ n. A" |) V$ B8 I
5 c! g9 K8 N; o$ V
1.获得要劫持的域名注册信息
- s. l4 a; c$ H% B$ q+ L, o! X# r( D4 `! k% H) c( b8 I
攻击者会先访问网络解决方案公司www.networksolutions.com,通过该公司主页面所提供的MAKECHANGES功能,输入要查询的域名,获得该域名注册信息以abc.com为例,我们将获得以下信息:
+ C7 i/ o8 I# N4 U* }Registrant:
4 k$ I; d/ }3 H$ p5 hCapitalCities/ABC,Inc(ABC10-DOM) : L! j7 i/ z% r- S, k r. ^
77W66thSt.
$ k0 j3 q* Y% TNewYork,NY10023
# W0 c% m) h* j' L3 e1 r) @4 a+ v$ DUS * J e* P# H) p8 ?
; J7 r8 S: U5 i) {7 |
DomainName:ABC.COM " m- |* l, |9 d/ ~
/ x8 W+ a) b8 V# B
AdministrativeContact,BillingContact:
0 c3 C& i9 Q) @4 ^King,ThomasC.(SC3123-ORG)abc.legal.internet.registration@ABC.COM
9 `, l. e. ^' X. bABC,Inc.
/ C/ ?2 b0 a G8 z6 Q9 ]9 j0 \9 {77W66thSt. ! m0 U' m) f) ]5 I; p
NewYork,NY10023
# y }; n/ i' z# F6 a# cUS ) B3 m* h8 D8 J8 g
212-456-7012
, S9 D' a) a7 ^) L$ A- H( l/ JTechnicalContact,ZoneContact:
8 `- g0 ~: S+ M/ jDomainAdministrator(DA4894-ORG)dns-admin@STARWAVE.COM ; S3 k/ D. m2 } c( y
StarwaveCorporation 4 y" ~. T$ f. m
13810SEEastgateWay,ste.400
" u$ [( h1 T5 M7 uBellevue,WA98005
3 N4 \) `* E; WUS - s1 P& X# ]) M5 M5 Z4 ^
206.664.4800
& w7 M* F. j7 d g. SFax-206.664.4829 . `; I/ B' g% @7 Y
( ~+ _1 ?0 O2 G0 B6 pRecordlastupdatedon11-Oct-2000. + Z$ f1 r- h( G2 @
Recordexpireson23-May-2003.
% n: m3 X7 i, C+ n. h/ j; Z b8 p. S0 NRecordcreatedon22-May-1996.
# K5 H9 p( S. M9 sDatabaselastupdatedon20-Oct-200014:14:26EDT. ) B- M1 a) i) O, i8 X% S; Z
- Z7 a H/ k' r$ }: T, aDomainserversinlistedorder: # k- u7 z' a0 \' g& ]. d
: K9 a3 T4 y# aDNS1.STARWAVE.COM204.202.132.51
M/ z# f* d/ ~+ M7 u: y z; O k2 x1 AT.NS.VERIO.NET192.67.14.16
6 t0 r9 Q/ ` L: r' L: \; j
6 T1 X6 P" P. d4 \ 2.控制该管理域名的E-MAIL帐号 8 j2 I8 Y( p( @7 @) z
! p. L( s; X4 N4 Y* O- s
从上面获得的信息,攻击者可了解到abc.com的注册DNS服务器,管理域名的E-MAIL帐号,技术联系E-MAIL帐号等等注册资料,攻击者的重点就是先需要把该管理域名的E-MAIL帐号abc.legal.internet.registration@ABC.COM控制,进行收发在网络解决方案公司networksolutions主页所修改域名注册记录后的确认E-MAIL,对该E-MAIL帐号的控制过程不排除攻击者对该E-MAIL帐号进行密码暴力猜测,对该帐号所在E-MAIL服务器进行入侵攻击. 4 T" ^. A5 f' |) m3 e+ S& L
0 w+ U# `" V' d3 p
3.修改该域名在网络解决方案公司的注册信息. [6 K( ^4 j7 u' b
, D- J+ ?; r, F. o 到这个时候，攻击者会使用网络解决方案公司networksolutions的MAKECHANGES功能修改该域名的注册信息，包括拥有者信息，DNS服务器信息，等等。 ?1 q& N. H+ p7 R2 z+ g1 f
/ W( m. [% o3 @
4.冒充拥有者使用管理域名的E-MAIL帐号收发网络解决方案公司确认函
6 u* F2 E6 D- ?, G
/ v9 n9 W# g/ F) p8 T 攻击者会在该管理域名E-MAIL帐号的真正拥有者收到网络解决方案公司确认函之前，把该E-MAIL帐号的信件接收，使用该E-MAIL帐号回复网络解决方案公司进行确认，进行二次回复确认后，将收到网络解决方案公司发来的成功修改注册记录函，攻击者成功劫持域名。 1 b. }, f& u# N: E4 V; s
8 X! P9 k4 g; z+ }4 j 5.在新指定的DNS服务器加进该域名记录
% E5 b6 H' `* L# l; @! p# }2 N) u, Z4 v2 a! p6 J; G
在注册信息新指定DNS服务器里加进该域名的PTR记录，指向另一IP的服务器，通常那两台服务器都是攻击者预先入侵控制的服务器，并不归攻击者所拥有。 |
|
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
. b: J8 M' T& Z! C
% K `, N/ b- J s. C+ |
2 o2 m5 y! F: E9 u0 U
# y& C+ e8 l9 U2 p/ i% k
: `2 B" D9 n. Z, ~+ }; `
( q. Q4 c8 p9 P8 t: G6 \" K6 ^
2 S9 x+ `3 d5 O) z ~3 W
1 o; A3 B$ c/ E c9 N+ `1 Y' F9 ^+ n/ J6 u