见缝插针:DNS泛分析是如何被黑客攻破的

2023-08-03 1375阅读
网络建立之初,所有访问都是通过IP地址实现的。由于web等协议和应用的兴起,有了域名,通过IP访问一方面不太好记,另一方面由于负载、CDN等原因,由于各种原因,单纯使用IP地址访问会带来一些问题。通过域名访问,中间设备只知道IP,所以最终解析到对应的IP地址进行访问。用于解析的协议称为DNS,其主要功能是将域名解析为对应的IP地址。DNS的创建是互联网高手的杰作,通过它广大互联网用户可以通过域名访问相应的网站。可以看到,DNS服务器执行查询后,找不到这样的结果。DNS泛分析还存在安全问题?DNS的泛解析结果肯定是被黑客恶意修改的。

* 原作者:飞鸟,本文属于FreeBuf原创打赏计划,转载时请注明出处来自FreeBuf.COM

网络建立之初,所有访问都是通过IP地址实现的。 由于web等协议和应用的兴起,有了域名,通过IP访问一方面不太好记,另一方面由于负载、CDN等原因,由于各种原因,单纯使用IP地址访问会带来一些问题。 这样,域名就生成了。 通过域名访问,中间设备只知道IP,所以最终解析到对应的IP地址进行访问。

用于解析的协议称为DNS,其主要功能是将域名解析为对应的IP地址。

DNS的创建是互联网高手的杰作,通过它广大互联网用户可以通过域名访问相应的网站。 这样你只需要记住域名,不需要记住复杂的IP地址。 正如我们经常访问的,它的DNS解析过程如下:

域名解析后网站打不开_域名解析网站打开后怎么操作_域名解析网站打开后没反应

从上图可以看出,DNS的解析非常轻量级,采用UDP协议,一个DNS查询包,一个响应包,两个包,简单、轻量、高效。

但在实际过程中,我们经常会遇到一个问题:比如输入域名时,不小心多输入了一个w就变成了w。 这种情况下还能正常解析吗? 我做了一个实验,在浏览器中输入w,浏览器直接报错“无法访问该网站”。

域名解析后网站打不开_域名解析网站打开后怎么操作_域名解析网站打开后没反应

我们来看看DNS解析过程。 客户端进行DNS查询,DNS服务器查询后返回“NO such name A w”的结果。 可以看到,DNS服务器执行查询后,找不到这样的结果。

域名解析后网站打不开_域名解析网站打开后没反应_域名解析网站打开后怎么操作

域名解析网站打开后怎么操作_域名解析网站打开后没反应_域名解析后网站打不开

为什么无法解析对应的IP?

原因很简单。 DNS没有相应的配置,但现实中肯定经常会出现用户输入错误域名前缀的情况。 如果网站服务器认为足够人性化,完全可以配置一条DNS解析记录并配置默认解析结果。 在DNS的实现中,确实有这样一个机制,称为DNS泛解析。

既然有DNS泛解析这样的机制,那么现实生活中肯定会有相应的应用。 那我们就自己测试一下吧。 首先,以google为刀,随机输入一个子域名,看能否正常解析,但无法解析; 再试度娘,也解决不了。

域名解析网站打开后怎么操作_域名解析后网站打不开_域名解析网站打开后没反应

两个寡头不支持泛分析,所以我继续寻找小网站。 公司的渗透专家不屑地扔给我一批启用了泛分析的域名。 测试一下就可以解析到主站IP了。

域名解析网站打开后怎么操作_域名解析网站打开后没反应_域名解析后网站打不开

既然泛分析有这么人性化的应用,为什么谷歌和度娘不开放DNS泛分析呢?

这必须考虑到安全性和运行维护成本等方面。

DNS泛分析还存在安全问题?

它确实存在! 上图中泛解析解析为主站的IP。 如果泛分析IP解析为其他IP,或者黑客的IP怎么办?

域名解析网站打开后没反应_域名解析后网站打不开_域名解析网站打开后怎么操作

有这样的情况吗?

确实,这种情况在实际工作中也遇到过很多次。 前天发现,某政府门户网站通过度娘搜索子域名时,发现了30.1万个网站,其中不少子域名重定向到赌博网站。

域名解析后网站打不开_域名解析网站打开后没反应_域名解析网站打开后怎么操作

域名解析后网站打不开_域名解析网站打开后没反应_域名解析网站打开后怎么操作

通过ping测试发现主站解析为61.191.*.*,但是泛解析解析为23.105.65.113,这是美国的IP。 DNS的泛解析结果肯定是被黑客恶意修改的。

域名解析后网站打不开_域名解析网站打开后没反应_域名解析网站打开后怎么操作

域名解析网站打开后没反应_域名解析网站打开后怎么操作_域名解析后网站打不开

域名解析网站打开后怎么操作_域名解析后网站打不开_域名解析网站打开后没反应

既然恶意IP经过DNS泛解析,解析记录又那么多,为什么用户还没有发现这个问题呢? 这让我很困惑。 直到有一次在浏览器中随意输入一个子域名进行访问,居然跳转到了正常的主网站页面。

由于可以在游戏站点和普通主站点之间进行跳转,因此23.105.65.113页面上必须有一个判断条件。 当这些条件被触发时,会跳转到游戏网站,如果没有触发,则会跳转到正常页面。一般情况下都是通过JS来识别并跳转的,所以只需要过滤对应的JS即可脚本,直接分析23.105.65.113页面的源码,并进行过滤

有VPS服务器需求也可以联系站长QQ:851239876(享受8折优惠)

文章版权声明:除非注明,否则均为主机测评原创文章,转载或复制请以超链接形式并注明出处。

目录[+]

取消
微信二维码
微信二维码
支付宝二维码