搜索

[579] 2017-11-10_幽灵域名（GhostDomainNames）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2017-11-10_幽灵域名（GhostDomainNames） 幽 灵 域 名 （ G h o s t   D o m a i n   N a m e s ） A r k T e a m   2 0 1 7 - 1 1 - 1 0 作 者 ： { W o o d y } @ A r k T e a m 攻 击 者 通 常 会 利 用 域 名 来 进 行 一 些 恶 意 活 动 ， 例 如 钓 鱼 、 僵 尸 网 络 命 令 与 控 制 、 恶 意 软 件 传 播 等 。 为 了 防 御 这 种 攻 击 ， 一 种 有 效 的 应 对 方 法 是 将 上 层 D N S 服 务 器 中 的 恶 意 域 名 删 除 。 然 而 由 于 D N S 实 现 方 面 的 漏 洞 ， 导 致 恶 意 域 名 在 被 删 除 之 后 仍 然 能 够 存 活 很 久 ， 我 们 称 之 为 " 幽 灵 域 名 " 。 幽 灵 域 名 的 概 念 在 2 0 1 2 年 由 清 华 大 学 的 江 健 、 段 海 新 等 人 提 出 ， 相 关 论 文 发 表 在 N D S S   2 0 1 2 上 。 下 面 介 绍 幽 灵 域 名 形 成 场 景 ， 在 该 场 景 中 ， 攻 击 者 试 图 将 " p h i s h i n g . c o m " 的 解 析 数 据 保 存 到 一 个 目 标 D N S 服 务 器 中 。 我 们 假 设 攻 击 者 已 经 在 . c o m 域 的 授 权 服 务 器 中 注 册 了 一 个 名 为 " p h i s h i n g . c o m " 的 域 名 。 图 1 幽 灵 域 名 形 成 （ a ） 第 一 步 ： 缓 存 域 名 的 解 析 数 据 。 攻 击 者 先 向 目 标 D N S 服 务 器 查 询 一 个 p h i s h i n g . c o m 的 子 域 名 ， 例 如 w w w . p h i s h i n g . c o m 。 在 逐 级 解 析 过 程 中 ， . c o m 域 的 授 权 服 务 器 会 将 p h i s h i n g . c o m 的 解 析 数 据 返 回 给 目 标 D N S 服 务 器 （ 图 1 第 3 步 ） ， D N S 应 答 为 图 2 的 形 式 ， 其 中 " 授 权 部 分 " （ a u t h o r i t y   s e c t i o n ） 和 " 额 外 信 息 部 分 " （ a d d i t i o n a l   s e c t i o n ） 包 含 了 该 域 的 N S 记 录 和 A 记 录 （ 相 关 概 念 参 考 D N S 资 源 记 录 " R e s o u r c e R e c o r d " ） ， 它 们 共 同 指 出 了 子 域 名 中 的 授 权 服 务 器 和 其 I P 地 址 。 图 2   p h i s h i n g . c o m 的 解 析 数 据 目 标 D N S 服 务 器 接 收 并 缓 存 了 解 析 数 据 ， 这 些 数 据 的 有 效 期 为 8 6 4 0 0 秒 。 现 在 假 设 4 3 2 0 0 秒 后 ， p h i s h i n g . c o m 被 安 全 人 员 检 测 出 是 恶 意 域 名 ， 并 从 . c o m 域 中 删 除 掉 该 域 名 的 相 关 解 析 记 录 。 此 时 目 标 D N S 服 务 器 依 然 可 以 解 析 p h i s h i n g . c o m ， 因 为 该 服 务 器 中 存 有 p h i s h i n g . c o m 的 解 析 数 据 ， 这 些 数 据 在 4 3 2 0 0 秒 后 才 会 过 期 。
图 3 幽 灵 域 名 形 成 （ b ） 第 二 步 ： 刷 新 幽 灵 域 名 缓 存 数 据 的 过 期 时 间 。 . c o m 域 的 域 名 解 析 记 录 被 删 除 后 ， 攻 击 者 为 了 不 让 目 标 D N S 服 务 器 中 的 缓 存 过 期 ， 首 先 将 p h i s h i n g . c o m 的 N S 记 录 更 换 一 个 新 名 字 ， 例 如 n s 1 . p h i s h i n g . c o m （ 原 来 为 n s . p h i s h i n g . c o m ） ， 然 后 向 目 标 D N S 服 务 器 查 询 n s 1 . p h i s h i n g . c o m 的 A 记 录 ， 目 标 D N S 服 务 器 中 由 于 没 有 该 记 录 的 解 析 数 据 ， 所 以 向 p h i s h i n g . c o m 域 中 的 授 权 服 务 器 进 行 查 询 ， 并 收 到 如 下 应 答 ： 图 4   p h i s h i n g . c o m 的 应 答 报 文 根 据 D N S 的 信 用 机 制 ， 应 答 报 文 中 返 回 的 新 的 N S 记 录 将 比 原 来 缓 存 中 的 N S 记 录 具 有 更 高 的 可 信 度 ， 因 此 目 标 D N S 服 务 器 用 这 条 新 的 解 析 数 据 覆 盖 了 原 来 的 缓 存 ， 这 个 新 的 缓 存 将 重 新 具 有 8 6 4 0 0 秒 的 可 用 期 。 因 此 攻 击 者 只 要 用 该 方 法 在 每 次 缓 存 过 期 前 提 前 在 目 标 D N S 服 务 器 上 进 行 更 新 ， 该 服 务 器 就 可 以 一 直 对 幽 灵 域 名 进 行 解 析 。 参 考 文 献 [ 1 ] J i a n g   J ,   L i a n g   J ,   L i   K ,   e t   a l .   G h o s t   D o m a i n   N a m e s :   R e v o k e d   Y e t   S t i l l   R e s o l v a b l e [ J ] .   2 0 1 2 . [ 2 ] D O M A I N   N A M E S   -   I M P L E M E N T A T I O N   A N D   S P E C I F I C A T I O N .   h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 1 0 3 5 . 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理