વિશ્લેષકના હાથમાં નિષ્ક્રિય DNS

ડોમેન નેમ સિસ્ટમ (DNS) એ ફોન બુક જેવી છે જે "ussc.ru" જેવા યુઝર-ફ્રેન્ડલી નામોને IP એડ્રેસમાં અનુવાદિત કરે છે. પ્રોટોકોલને ધ્યાનમાં લીધા વિના, લગભગ તમામ સંચાર સત્રોમાં DNS પ્રવૃત્તિ હાજર હોવાથી. આમ, ડીએનએસ લોગીંગ એ માહિતી સુરક્ષા નિષ્ણાત માટે ડેટાનો એક મૂલ્યવાન સ્ત્રોત છે, જે તેમને વિસંગતતાઓ શોધવા અથવા તપાસ હેઠળની સિસ્ટમ વિશે વધારાનો ડેટા મેળવવાની મંજૂરી આપે છે.

2004 માં, ફ્લોરિયન વેઇમરે નિષ્ક્રિય DNS નામની લોગિંગ પદ્ધતિનો પ્રસ્તાવ મૂક્યો, જે તમને અનુક્રમણિકા અને શોધ કરવાની ક્ષમતા સાથે DNS ડેટાના ફેરફારોના ઇતિહાસને પુનઃસ્થાપિત કરવાની મંજૂરી આપે છે, જે નીચેના ડેટાની ઍક્સેસ પ્રદાન કરી શકે છે:

• Имя имя
• વિનંતી કરેલ ડોમેન નામનું IP સરનામું
• પ્રતિભાવની તારીખ અને સમય
• પ્રતિભાવ પ્રકાર
• અને તેથી પર

નિષ્ક્રિય DNS માટેનો ડેટા બિલ્ટ-ઇન મોડ્યુલો દ્વારા અથવા ઝોન માટે જવાબદાર DNS સર્વર્સના પ્રતિસાદોને અટકાવીને પુનરાવર્તિત DNS સર્વર્સમાંથી એકત્રિત કરવામાં આવે છે.

આકૃતિ 1. નિષ્ક્રિય DNS (સાઇટ પરથી લીધેલ ctovision.com)

નિષ્ક્રિય DNS ની ખાસિયત એ છે કે ક્લાયન્ટના IP એડ્રેસને રજીસ્ટર કરવાની જરૂર નથી, જે વપરાશકર્તાની ગોપનીયતાને સુરક્ષિત કરવામાં મદદ કરે છે.

આ ક્ષણે, ત્યાં ઘણી સેવાઓ છે જે નિષ્ક્રિય DNS ડેટાની ઍક્સેસ પ્રદાન કરે છે:

DNSDB
વાયરસસૂત્ર
નિષ્ક્રિય કુલ
ઓક્ટોપસ
સુરક્ષા માર્ગો
છત્ર તપાસ

ફર્મ
દૂરદર્શન સુરક્ષા
વાયરસસૂત્ર
રિસ્કિક
SafeDNS
સુરક્ષા માર્ગો
સિસ્કો

ક્સેસ
વિનંતી પર
નોંધણીની જરૂર નથી
નોંધણી મફત છે
વિનંતી પર
નોંધણીની જરૂર નથી
વિનંતી પર

API
હાજર
હાજર
હાજર
હાજર
હાજર
હાજર

ગ્રાહક હાજરી
હાજર
હાજર
હાજર
કોઈ
કોઈ
કોઈ

માહિતી સંગ્રહની શરૂઆત
2010 દેવ
2013 દેવ
2009 દેવ
માત્ર છેલ્લા 3 મહિના દર્શાવે છે
2008 દેવ
2006 દેવ

કોષ્ટક 1. નિષ્ક્રિય DNS ડેટાની ઍક્સેસ સાથે સેવાઓ

નિષ્ક્રિય DNS માટે કેસોનો ઉપયોગ કરો

નિષ્ક્રિય DNS નો ઉપયોગ કરીને, તમે ડોમેન નામો, NS સર્વર્સ અને IP સરનામાઓ વચ્ચે સંબંધો બનાવી શકો છો. આ તમને અભ્યાસ હેઠળની સિસ્ટમોના નકશા બનાવવા અને આવા નકશામાં પ્રથમ શોધથી વર્તમાન ક્ષણ સુધીના ફેરફારોને ટ્રૅક કરવાની મંજૂરી આપે છે.

નિષ્ક્રિય DNS ટ્રાફિકમાં વિસંગતતાઓને શોધવાનું સરળ બનાવે છે. ઉદાહરણ તરીકે, NS ઝોનમાં થતા ફેરફારો અને A અને AAAA પ્રકારના રેકોર્ડ્સમાં ટ્રેકિંગ તમને ફાસ્ટ ફ્લક્સ પદ્ધતિનો ઉપયોગ કરીને દૂષિત સાઇટ્સને ઓળખવાની મંજૂરી આપે છે, જે C&C ને શોધ અને અવરોધથી છુપાવવા માટે રચાયેલ છે. કારણ કે કાયદેસર ડોમેન નામો (લોડ બેલેન્સિંગ માટે ઉપયોગમાં લેવાતા અપવાદ સિવાય) તેમના IP સરનામાંને વારંવાર બદલતા નથી, અને મોટાભાગના કાયદેસર ઝોન ભાગ્યે જ તેમના NS સર્વરને બદલે છે.

નિષ્ક્રિય DNS, શબ્દકોશોનો ઉપયોગ કરીને સબડોમેન્સની સીધી ગણતરીથી વિપરીત, તમને સૌથી વધુ વિચિત્ર ડોમેન નામો શોધવાની મંજૂરી આપે છે, ઉદાહરણ તરીકે, “222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru”. તે કેટલીકવાર તમને વેબસાઇટ, વિકાસકર્તા સામગ્રી વગેરેના પરીક્ષણ (અને સંવેદનશીલ) વિસ્તારો શોધવાની પણ મંજૂરી આપે છે.

નિષ્ક્રિય DNS નો ઉપયોગ કરીને ઇમેઇલમાંથી લિંકનું પરીક્ષણ કરવું

આ ક્ષણે, સ્પામ એ એક મુખ્ય રીત છે જેમાં હુમલાખોર પીડિતાના કમ્પ્યુટરમાં ઘૂસી જાય છે અથવા ગોપનીય માહિતી ચોરી કરે છે. ચાલો આ પદ્ધતિની અસરકારકતાનું મૂલ્યાંકન કરવા માટે નિષ્ક્રિય DNS નો ઉપયોગ કરીને આવા ઇમેઇલમાંથી લિંકને તપાસવાનો પ્રયાસ કરીએ.

આકૃતિ 2. સ્પામ ઇમેઇલ

આ પત્રમાંથી લિંક સાઇટ magnit-boss.rocks તરફ દોરી ગઈ, જેણે આપમેળે બોનસ એકત્રિત કરવાની અને નાણાં પ્રાપ્ત કરવાની ઓફર કરી:

આકૃતિ 3. magnit-boss.rocks ડોમેન પર હોસ્ટ કરેલ પૃષ્ઠ

આ સાઇટના અભ્યાસ માટે ઉપયોગ કરવામાં આવ્યો હતો Riskiq API, જેના પર પહેલેથી જ 3 તૈયાર ક્લાયન્ટ્સ છે પાયથોન, રૂબી и કાટ.

સૌ પ્રથમ, આપણે આ ડોમેન નામનો સંપૂર્ણ ઇતિહાસ શોધીશું, આ માટે આપણે આદેશનો ઉપયોગ કરીશું:

pt-ક્લાયન્ટ pdns --query magnit-boss.rocks

આ આદેશ આ ડોમેન નામ સાથે સંકળાયેલા તમામ DNS રિઝોલ્યુશન વિશે માહિતી આપશે.

આકૃતિ 4. Riskiq API તરફથી પ્રતિસાદ

ચાલો API ના પ્રતિભાવને વધુ વિઝ્યુઅલ સ્વરૂપમાં લાવીએ:

આકૃતિ 5. પ્રતિભાવમાંથી બધી એન્ટ્રીઓ

વધુ સંશોધન માટે, અમે 01.08.2019/92.119.113.112/85.143.219.65 ના રોજ પત્ર પ્રાપ્ત થયો તે સમયે આ ડોમેન નામનું નિરાકરણ કર્યું હતું તે IP સરનામાં લીધાં, આવા IP સરનામાં નીચેના સરનામાં XNUMX અને XNUMX છે.

આદેશનો ઉપયોગ કરીને:

pt-ક્લાયન્ટ pdns --query

તમે આપેલ IP સરનામાઓ સાથે સંકળાયેલા તમામ ડોમેન નામો મેળવી શકો છો.
IP સરનામું 92.119.113.112 માં 42 અનન્ય ડોમેન નામો છે જે આ IP સરનામાં પર ઉકેલાઈ ગયા છે, જેમાંથી નીચેના નામો છે:

• magnet-boss.club
• igroie-automaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• અને અન્ય

IP સરનામું 85.143.219.65 માં 44 અનન્ય ડોમેન નામો છે જે આ IP સરનામાં પર ઉકેલાઈ ગયા છે, જેમાંથી નીચેના નામો છે:

• cvv2.name (ક્રેડિટ કાર્ડ વિગતો વેચવા માટેની વેબસાઇટ)
• emaills.world
• www.mailru.space
• અને અન્ય

આ ડોમેન નામો સાથેના જોડાણો ફિશિંગ તરફ દોરી જાય છે, પરંતુ અમે દયાળુ લોકોમાં વિશ્વાસ કરીએ છીએ, તો ચાલો 332 રુબેલ્સનું બોનસ મેળવવાનો પ્રયાસ કરીએ? "હા" બટન પર ક્લિક કર્યા પછી, સાઇટ અમને એકાઉન્ટને અનલૉક કરવા માટે કાર્ડમાંથી 501.72 રુબેલ્સ ટ્રાન્સફર કરવા કહે છે અને ડેટા દાખલ કરવા માટે અમને as-torpay.info સાઇટ પર મોકલે છે.

આકૃતિ 6. સાઇટનું મુખ્ય પૃષ્ઠ ac-pay2day.net

તે કાનૂની સાઇટ જેવું લાગે છે, ત્યાં એક https પ્રમાણપત્ર છે, અને મુખ્ય પૃષ્ઠ આ ચુકવણી સિસ્ટમને તમારી સાઇટ સાથે કનેક્ટ કરવાની ઑફર કરે છે, પરંતુ, અરે, કનેક્ટ કરવા માટેની બધી લિંક્સ કામ કરતી નથી. આ ડોમેન નામ માત્ર 1 આઈપી એડ્રેસ - 190.115.19.74 માટે ઉકેલે છે. તે, બદલામાં, 1475 અનન્ય ડોમેન નામો ધરાવે છે જે આ IP સરનામાંને ઉકેલે છે, જેમ કે નામો સહિત:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• અને અન્ય

જેમ આપણે જોઈ શકીએ છીએ, નિષ્ક્રિય DNS તમને અભ્યાસ હેઠળના સંસાધન વિશે ઝડપથી અને અસરકારક રીતે ડેટા એકત્રિત કરવાની અને એક પ્રકારની છાપ બનાવવાની પણ પરવાનગી આપે છે જે તમને વ્યક્તિગત ડેટાની ચોરી માટે, તેની રસીદથી વેચાણની સંભવિત જગ્યા સુધીની સમગ્ર યોજનાને ઉજાગર કરવાની મંજૂરી આપે છે.

આકૃતિ 7. અભ્યાસ હેઠળની સિસ્ટમનો નકશો

આપણે ઈચ્છીએ છીએ તેટલું બધું રોઝી નથી. ઉદાહરણ તરીકે, આવી તપાસ CloudFlare અથવા સમાન સેવાઓ પર સરળતાથી તૂટી શકે છે. અને એકત્રિત ડેટાબેઝની અસરકારકતા નિષ્ક્રિય DNS ડેટા એકત્રિત કરવા માટે મોડ્યુલમાંથી પસાર થતી DNS ક્વેરીઝની સંખ્યા પર ખૂબ નિર્ભર છે. તેમ છતાં, નિષ્ક્રિય DNS એ સંશોધક માટે વધારાની માહિતીનો સ્ત્રોત છે.

લેખક: સુરક્ષા સિસ્ટમ માટે યુરલ સેન્ટરના નિષ્ણાત

સોર્સ: www.habr.com