搜索

[13075] 2018-08-17_通过BGP劫持修改网络支付系统DNS记录

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-08-17_通过BGP劫持修改网络支付系统DNS记录 通 过 B G P 劫 持 修 改 网 络 支 付 系 统 D N S 记 录 周 大 涛   F r e e B u f   2 0 1 8 - 0 8 - 1 7 前 言 前 言 在 在 2 0 1 8 年 年 4 月 ， 月 ， O r a c l e 曾 详 细 描 述 了 针 对 亚 马 逊 权 威 曾 详 细 描 述 了 针 对 亚 马 逊 权 威 D N S 服 务 的 服 务 的 B G P 劫 持 事 件 ， 那 次 攻 击 目 的 是 将 用 户 重 定 向 劫 持 事 件 ， 那 次 攻 击 目 的 是 将 用 户 重 定 向 到 一 个 钓 鱼 网 站 。 到 一 个 钓 鱼 网 站 。 在 过 去 一 个 月 里 ， O r a c l e 观 察 到 了 对 权 威 D N S 服 务 器 实 施 B G P 劫 持 的 另 外 几 起 事 件 ， 手 法 于 上 文 中 提 到 的 相 似 。 这 次 目 标 包 括 美 国 支 付 处 理 公 司 。 与 亚 马 逊 案 例 一 样 ， 最 近 的 这 几 次 B G P 劫 持 使 得 假 冒 的 D N S 服 务 器 能 够 返 回 伪 造 的 D N S 响 应 ， 将 不 知 情 的 用 户 导 向 至 恶 意 网 站 。 由 于 在 伪 造 的 响 应 中 使 用 了 很 长 的 T T L （ 生 存 时 间 ） 值 ， 递 归 的 D N S 服 务 器 在 B G P 劫 持 完 成 很 久 后 ， 仍 将 这 些 伪 造 的 D N S 条 目 保 存 在 缓 存 中 ， 延 长 了 攻 击 的 持 续 时 间 。 劫 持 者 劫 持 者 2 0 1 8 年 7 月 6 日   2 3 : 3 7 : 1 8 （ U T C ） ， D i g i t a l   W i r e l e s s   I n d o n e s i a （ A S 3 8 1 4 6 ） 将 下 列 前 缀 通 告 了 约 3 0 分 钟 。 6 4 . 2 4 3 . 1 4 2 . 0 / 2 4   S a v v i s 6 4 . 5 7 . 1 5 0 . 0 / 2 4   V a n t i v ， L L C 6 4 . 5 7 . 1 5 4 . 0 / 2 4   V a n t i v ， L L C 6 9 . 4 6 . 1 0 0 . 0 / 2 4   Q 9   N e t w o r k s   I n c . 2 1 6 . 2 2 0 . 3 6 . 0 / 2 4   Q 9   N e t w o r k s   I n c . 其 中 3 条 是 现 有 路 由 的 具 体 公 告 （ 6 4 . 2 4 3 . 1 4 2 . 0 / 2 4 、 6 9 . 4 6 . 1 0 0 . 0 / 2 4 、 2 1 6 . 2 2 0 . 3 6 . 0 / 2 4 ） 。 在 2 0 1 8 年 7 月 1 0 日   2 2 : 1 7 : 3 7 （ U T C ） ， 马 来 西 亚 运 营 商 E x t r e m e   B r o a d b a n d （ A S 3 8 1 8 2 ） 也 将 上 述 前 缀 通 告 了 约 3 0 分 钟 。 由 于 时 间 不 是 很 长 ， 这 些 劫 持 前 缀 没 有 广 泛 传 播 。 在 2 3 : 3 7 : 4 7 （ U T C ） ， 这 些 前 缀 再 次 被 通 告 了 约 1 5 分 钟 ， 不 过 这 次 是 针 对 更 广 的 范 围 ， 包 括 4 8 个 p e e r 。 B G P c o m m u n i t y 从 2 4 2 1 8 : 1 1 2 0 变 成 2 4 2 1 8 : 1 ， 似 乎 加 大 了 路 由 传 播 范 围 。 D a t a w i r e 是 一 种 “ 可 以 通 过 公 共 互 联 网 安 全 可 靠 地 将 金 融 交 易 传 输 到 支 付 处 理 系 统 ” 的 专 利 技 术 。 D a t a w i r e 的 服 务 器 n s 1 . d a t a w i r e . n e t 和 n s 2 . d a t a w i r e . n e t 分 别 解 析 至 2 1 6 . 2 2 0 . 3 6 . 7 6 和 6 9 . 4 6 . 1 0 0 . 7 1 ， 这 些 地 址 在 上 面 显 示 的 被 劫 持 网 络 中 。
V a n t i v 和 F i r s t   T h i r d   P r o c e s s i n g 是 美 国 知 名 的 支 付 处 理 服 务 W o r l d p a y 的 曾 用 名 。 V a n t i v 服 务 器 n s 1 . f t p s l l c . n e t 和 n s 2 . f t p s l l c . n e t 分 别 解 析 到 6 4 . 5 7 . 1 5 0 . 5 3 和 6 4 . 5 7 . 1 5 4 . 5 3 ， 这 些 地 址 在 上 面 显 示 的 被 劫 持 网 络 上 。 2 0 1 8 年 7 月 1 1 日   0 0 : 2 9 : 2 4 （ U T C ） ， A S 3 8 1 8 2 开 始 在 两 次 单 独 的 事 件 中 劫 持 一 组 新 的 前 缀 ， 每 次 持 续 了 几 分 钟 。 2 0 9 . 2 3 5 . 2 5 . 0 / 2 4   M e r c u r y   P a y m e n t   S y s t e m s 6 3 . 1 1 1 . 4 0 . 0 / 2 4   M e r c u r y   P a y m e n t   S y s t e m s 8 . 2 5 . 2 0 4 . 0 / 2 4   L e v e l   3 1 2 . 1 3 0 . 2 3 6 . 0 / 2 4   C E R F n e t M e r c u r y   P a y m e n t S y s t e m s 是 一 家 信 用 卡 处 理 服 务 公 司 ， 由 W o r l d p a y 拥 有 。 M e r c u r y 服 务 器 n s 1 . m e r c u r y p a y . c o m 和 n s 2 . m e r c u r y p a y . c o m 分 别 解 析 到 2 0 9 . 2 3 5 . 2 5 . 1 3 和 6 3 . 1 1 1 . 4 0 . 1 3 。 这 些 I P 地 址 被 劫 持 为 2 0 9 . 2 3 5 . 2 5 . 0 / 2 4 和 6 3 . 1 1 1 . 4 0 . 0 / 2 4 的 一 部 分 。 在 2 0 1 8 年 7 月 1 2 日   2 1 : 5 1 : 3 6 （ U T C ） ， A S 3 8 1 8 2 开 始 劫 持 与 以 前 两 次 目 标 相 同 的 五 个 路 由 。 6 4 . 2 4 3 . 1 4 2 . 0 / 2 4   S a v v i s > 6 4 . 5 7 . 1 5 0 . 0 / 2 4   V a n t i v ， L L C > 6 4 . 5 7 . 1 5 4 . 0 / 2 4   V a n t i v ， L L C > 6 9 . 4 6 . 1 0 0 . 0 / 2 4   Q 9   N e t w o r k s   I n c .
> 2 1 6 . 2 2 0 . 3 6 . 0 / 2 4   Q 9   N e t w o r k s   I n c . 这 些 劫 持 持 续 了 近 三 个 小 时 ， 如 下 图 所 示 ： 如 下 图 所 示 ， Q 9 显 然 已 经 注 意 到 他 们 的 路 由 被 劫 持 ， 开 始 通 告 同 样 的 路 由 以 重 新 控 制 I P 地 址 空 间 。 2 0 1 8 年 7 月 1 2 日   2 3 : 0 6 : 3 2 （ U T C ） ， A S 3 8 1 8 2 开 始 劫 持 各 路 由 ， 包 括 面 向 知 名 D N S 服 务 提 供 商 U l t r a D N S 的 两 条 路 由 ， 约 1 0 分 钟 。 1 9 9 . 7 . 6 8 . 0 / 2 4   U l t r a D N S   C o r p o r a t i o n 1 9 9 . 7 . 6 9 . 0 / 2 4   U l t r a D N S   C o r p o r a t i o n 2 0 4 . 7 4 . 1 0 8 . 0 / 2 4   U l t r a D N S   C o r p 2 0 4 . 7 4 . 1 0 9 . 0 / 2 4   I n t e r n e t   M e d i a   N e t w o r k 2 0 4 . 7 4 . 1 1 4 . 0 / 2 4   I n t e r n e t   M e d i a   N e t w o r k 2 0 4 . 7 4 . 1 1 5 . 0 / 2 4   I n t e r n e t   M e d i a   N e t w o r k 6 5 . 1 1 8 . 4 9 . 0 / 2 4   C e n t u r y L i n k
伪 造 的 伪 造 的 D N S 响 应 响 应 7 月 1 0 日 至 1 3 日 之 间 的 被 动 D N S 观 察 显 示 *   . d a t a w i r e . n e t 域 名 解 析 到 4 5 . 2 2 7 . 2 5 2 . 1 7 ， I P 地 址 注 册 地 为 荷 兰 加 勒 比 海 岛 库 拉 索 岛 ， 但 是 路 由 却 经 由 乌 克 兰 东 部 卢 汉 斯 克 区 域 发 出 。 同 样 的 是 ， 4 月 亚 马 逊 R o u t e 5 3 服 务 被 劫 持 后 被 指 向 4 6 . 1 6 1 . 4 2 . 4 2 ， I P 注 册 地 为 德 国 ， 但 路 由 同 样 经 由 乌 克 兰 东 部 卢 汉 斯 克 发 出 。 这 些 相 似 之 处 表 明 这 两 起 D N S 服 务 器 的 B G P 劫 持 可 能 是 相 关 的 。 在 上 个 月 的 劫 持 中 ， 黑 客 很 注 意 细 节 ， 将 伪 造 响 应 的 T T L 设 为 ~ 5 天 。 目 标 域 的 正 常 T T L 是 1 0 分 钟 （ 6 0 0 秒 ） 。 通 过 配 置 很 长 的 T T L ， 伪 造 的 记 录 在 B G P 劫 持 已 停 止 很 久 后 可 以 在 D N S 缓 存 层 中 持 续 一 段 时 间 。 结 论 结 论
这 些 事 件 表 明 互 联 网 基 础 设 施 正 在 遭 受 直 接 攻 击 ， 而 且 将 会 有 增 无 减 。 来 自 N T T   C o m m u n i c a t i o n s 的 J o b   S n i j d e r s 表 示 ： “ 我 们 唯 一 的 希 望 就 是 利 用 互 联 网 行 业 的 整 合 来 发 挥 我 们 的 优 势 。 如 果 知 名 D N S 服 务 提 供 商 （ 包 括 官 方 和 递 归 服 务 ） 使 用 R P K I 签 名 路 由 ， 并 验 证 通 过 E B G P 收 到 的 路 由 ， 那 么 这 种 攻 击 不 会 造 成 太 大 的 影 响 ， 因 为 可 以 建 立 受 到 保 护 的 闭 合 路 径 。 只 有 一 小 部 分 密 集 连 接 的 组 织 和 机 构 需 要 部 署 基 于 R P K I 的 B G P 源 验 证 （ B G P   O r i g i n   V a l i d a t i o n ） ， 确 保 为 数 十 亿 终 端 用 户 提 供 良 好 的 互 联 网 体 验 。 ” * 参 考 来 源 ： 参 考 来 源 ： O r a c l e 官 方 博 客 官 方 博 客   ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理