WHOIS পরিষেবার সাথে মেয়াদোত্তীর্ণ ডোমেন ব্যবহার করে বিদেশী mobi ডোমেনের জন্য TLS শংসাপত্র পাওয়ার চেষ্টা

ওয়াচটাওয়ার ল্যাবসের গবেষকরা একটি .MOBI ডোমেন জোন রেজিস্ট্রার থেকে একটি পুরানো WHOIS পরিষেবার ক্যাপচার জড়িত একটি পরীক্ষার ফলাফল প্রকাশ করেছেন৷ অধ্যয়নের কারণ ছিল যে রেজিস্ট্রার WHOIS পরিষেবার ঠিকানা পরিবর্তন করেছেন, whois.dotmobiregistry.net ডোমেন থেকে নতুন হোস্ট whois.nic.mobi-এ স্থানান্তর করেছেন। একই সময়ে, dotmobiregistry.net ডোমেনটি ব্যবহার করা বন্ধ হয়ে যায় এবং ডিসেম্বর 2023 সালে এটি মুক্তি পায় এবং নিবন্ধনের জন্য উপলব্ধ হয়।

গবেষকরা $20 খরচ করে এই ডোমেইনটি কিনেছিলেন, তারপরে তারা তাদের সার্ভারে তাদের নিজস্ব কাল্পনিক WHOIS পরিষেবা whois.dotmobiregistry.net চালু করেছিলেন। কি আশ্চর্যজনক ছিল যে অনেক সিস্টেম নতুন হোস্ট whois.nic.mobi-এ স্যুইচ করেনি এবং পুরানো নাম ব্যবহার করতে থাকে। এই বছরের 30 আগস্ট থেকে 4 সেপ্টেম্বর পর্যন্ত, পুরানো নামের জন্য 2.5 মিলিয়ন অনুরোধ রেকর্ড করা হয়েছে, 135 হাজারেরও বেশি অনন্য সিস্টেম থেকে পাঠানো হয়েছে।

অনুরোধ প্রেরকদের মধ্যে ডাক ছিল সার্ভার WHOIS, নিরাপত্তা কোম্পানি এবং নিরাপত্তা প্ল্যাটফর্ম (VirusTotal, Group-IB), সেইসাথে সার্টিফিকেশন কর্তৃপক্ষ, ডোমেন যাচাইকরণ পরিষেবা, SEO পরিষেবা এবং ডোমেন রেজিস্ট্রার (যেমন, domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io, এবং webchart.org) এর মাধ্যমে ইমেলে প্রদর্শিত ডোমেনগুলি পরীক্ষা করে এমন সরকারী এবং সামরিক সংস্থাগুলি।

.MOBI ডোমেইন জোনের পুরানো WHOIS পরিষেবাতে একটি অনুরোধের প্রতিক্রিয়া হিসাবে যে কোনও ডেটা পাঠানোর ক্ষমতা অনুরোধকারীদের উপর বিভিন্ন ধরণের আক্রমণ বিকাশ করতে ব্যবহৃত হয়েছিল। প্রথম আক্রমণটি এই ধারণার উপর ভিত্তি করে করা হয়েছিল যে কেউ যদি দীর্ঘ-প্রতিস্থাপিত পরিষেবাতে অনুরোধ পাঠাতে থাকে, তবে তারা সম্ভবত দুর্বলতা সম্বলিত পুরানো টুলিং ব্যবহার করে তা করছে।

উদাহরণস্বরূপ, 2015 সালে phpWHOIS-এ, CVE-2015-5243 দুর্বলতা চিহ্নিত করা হয়েছিল, যা WHOIS সার্ভার দ্বারা ফেরত বিশেষভাবে ফর্ম্যাট করা ডেটা পার্স করার সময় আক্রমণকারী কোড কার্যকর করার অনুমতি দেয়। আরেকটি উদাহরণ হল Fail2021Ban প্যাকেজে 2021 সালে চিহ্নিত দুর্বলতা CVE-32749-2, যা ব্লকিং সতর্কতা তৈরির প্রক্রিয়াতে ব্যবহৃত WHOIS পরিষেবা দ্বারা ভুল ডেটা ফেরত দিলে বহিরাগত কোড কার্যকর করার অনুমতি দেয় (Fail2Ban হোস্ট ইমেল প্রশাসককে নির্ধারণ করেছে। WHOIS এর মাধ্যমে এবং বিশেষ অক্ষরগুলিকে যথাযথভাবে এস্কেপিং ছাড়াই কমান্ড মেল চালানোর সময় এটি নির্দিষ্ট করে)।

দ্বিতীয় আক্রমণটি এই সত্যের উপর ভিত্তি করে যে কিছু শংসাপত্র কর্তৃপক্ষ ডোমেন রেজিস্ট্রার ডাটাবেসে নির্দিষ্ট একটি ইমেলের মাধ্যমে ডোমেনের মালিকানা যাচাই করার ক্ষমতা প্রদান করে, যা WHOIS প্রোটোকলের মাধ্যমে অ্যাক্সেসযোগ্য। এটি প্রমাণিত হয়েছে যে এই যাচাইকরণ পদ্ধতি সমর্থন করে এমন বেশ কয়েকটি শংসাপত্র কর্তৃপক্ষ ".MOBI" ডোমেন জোনের জন্য পুরানো WHOIS সার্ভার ব্যবহার করা চালিয়ে যাচ্ছে৷

এইভাবে, whois.dotmobiregistry.net নামের উপর নিয়ন্ত্রণ অর্জন করার পর, আক্রমণকারীরা তাদের ডেটা পুনরুদ্ধার করতে, যাচাই করতে এবং পেতে পারে টিএলএস সার্টিফিকেট .MOBI জোনের যেকোনো ডোমেনের জন্য।" উদাহরণস্বরূপ, পরীক্ষার সময়, গবেষকরা GlobalSign রেজিস্ট্রারের কাছ থেকে microsoft.mobi ডোমেনের জন্য একটি TLS সার্টিফিকেটের অনুরোধ করেছিলেন এবং কাল্পনিক WHOIS পরিষেবা দ্বারা প্রদত্ত "whois@watchTowr.com" ইমেলটি ইন্টারফেসে একটি ডোমেন মালিকানা যাচাইকরণ কোড পাঠানোর জন্য উপলব্ধ হিসাবে প্রদর্শিত হয়েছিল।

উত্স: opennet.ru