एक विश्लेषक के हाथ में निष्क्रिय डीएनएस

डोमेन नाम सिस्टम (डीएनएस) एक फोन बुक की तरह है जो "ussc.ru" जैसे उपयोगकर्ता-अनुकूल नामों को आईपी पते में अनुवादित करता है। चूंकि DNS गतिविधि प्रोटोकॉल की परवाह किए बिना लगभग सभी संचार सत्रों में मौजूद होती है। इस प्रकार, डीएनएस लॉगिंग सूचना सुरक्षा विशेषज्ञों के लिए डेटा का एक मूल्यवान स्रोत है, जो उन्हें जांच के तहत सिस्टम के बारे में विसंगतियों का पता लगाने या अतिरिक्त डेटा प्राप्त करने की अनुमति देता है।

2004 में, फ्लोरियन वीमर ने पैसिव डीएनएस नामक एक लॉगिंग विधि का प्रस्ताव रखा, जो आपको इंडेक्स और खोज की क्षमता के साथ डीएनएस डेटा परिवर्तनों के इतिहास को पुनर्स्थापित करने की अनुमति देता है, जो निम्नलिखित डेटा तक पहुंच प्रदान कर सकता है:

• घरेलू नौकरानी
• अनुरोधित डोमेन नाम का आईपी पता
• प्रतिक्रिया की तिथि और समय
• प्रतिक्रिया प्रकार
• आदि

पैसिव डीएनएस के लिए डेटा पुनरावर्ती डीएनएस सर्वर से अंतर्निहित मॉड्यूल द्वारा या ज़ोन के लिए जिम्मेदार डीएनएस सर्वर से प्रतिक्रियाओं को इंटरसेप्ट करके एकत्र किया जाता है।

चित्र 1. निष्क्रिय डीएनएस (साइट से लिया गया)। ctovision.com)

पैसिव डीएनएस की ख़ासियत यह है कि क्लाइंट के आईपी पते को पंजीकृत करने की कोई आवश्यकता नहीं है, जो उपयोगकर्ता की गोपनीयता की रक्षा करने में मदद करता है।

फिलहाल, ऐसी कई सेवाएँ हैं जो निष्क्रिय DNS डेटा तक पहुँच प्रदान करती हैं:

डीएनएसडीबी
VirusTotal
पैसिवटोटल
ऑक्टोपस
सुरक्षा ट्रेल्स
छाता जांच

कंपनी
दूरदर्शिता सुरक्षा
VirusTotal
रिस्किक
सेफडएनएस
सुरक्षा ट्रेल्स
सिस्को

अभिगम
अनुरोध पर
पंजीकरण की आवश्यकता नहीं है
पंजीकरण निःशुल्क है
अनुरोध पर
पंजीकरण की आवश्यकता नहीं है
अनुरोध पर

API
वर्तमान
वर्तमान
वर्तमान
वर्तमान
वर्तमान
वर्तमान

ग्राहक उपस्थिति
वर्तमान
वर्तमान
वर्तमान
कोई नहीं
कोई नहीं
कोई नहीं

डेटा संग्रहण का प्रारंभ
2010 साल
2013 साल
2009 साल
केवल पिछले 3 महीने प्रदर्शित करता है
2008 साल
2006 साल

तालिका 1. निष्क्रिय DNS डेटा तक पहुंच वाली सेवाएँ

निष्क्रिय DNS के लिए मामलों का उपयोग करें

निष्क्रिय डीएनएस का उपयोग करके, आप डोमेन नाम, एनएस सर्वर और आईपी पते के बीच संबंध बना सकते हैं। यह आपको अध्ययन के तहत सिस्टम के मानचित्र बनाने और पहली खोज से वर्तमान क्षण तक ऐसे मानचित्र में परिवर्तनों को ट्रैक करने की अनुमति देता है।

निष्क्रिय DNS ट्रैफ़िक में विसंगतियों का पता लगाना भी आसान बनाता है। उदाहरण के लिए, एनएस ज़ोन में परिवर्तन और प्रकार ए और एएएए के रिकॉर्ड को ट्रैक करने से आप तेज़ फ़्लक्स विधि का उपयोग करके दुर्भावनापूर्ण साइटों की पहचान कर सकते हैं, जो सी एंड सी को पता लगाने और अवरुद्ध करने से छिपाने के लिए डिज़ाइन किया गया है। क्योंकि वैध डोमेन नाम (लोड संतुलन के लिए उपयोग किए जाने वाले को छोड़कर) अक्सर अपने आईपी पते नहीं बदलते हैं, और अधिकांश वैध क्षेत्र शायद ही कभी अपने एनएस सर्वर बदलते हैं।

निष्क्रिय डीएनएस, शब्दकोशों का उपयोग करके उपडोमेन की प्रत्यक्ष गणना के विपरीत, आपको सबसे विदेशी डोमेन नाम भी ढूंढने की अनुमति देता है, उदाहरण के लिए, "222qmxacaiqaaazibq4aaidhmbqaaa0unDefined7140c0.p.hoff.ru"। यह कभी-कभी आपको वेबसाइट के परीक्षण (और कमजोर) क्षेत्रों, डेवलपर सामग्री आदि को ढूंढने की भी अनुमति देता है।

पैसिव डीएनएस का उपयोग करके ईमेल से लिंक की जांच करना

फिलहाल, स्पैम उन मुख्य तरीकों में से एक है जिससे कोई हमलावर किसी पीड़ित के कंप्यूटर में घुसपैठ करता है या गोपनीय जानकारी चुरा लेता है। आइए इस पद्धति की प्रभावशीलता का मूल्यांकन करने के लिए पैसिव डीएनएस का उपयोग करके ऐसे ईमेल के लिंक की जांच करने का प्रयास करें।

चित्र 2. स्पैम ईमेल

इस पत्र के लिंक से मैग्नीट-बॉस.रॉक्स साइट मिली, जो स्वचालित रूप से बोनस एकत्र करने और धन प्राप्त करने की पेशकश करती थी:

चित्र 3. मैग्नीट-बॉस.रॉक्स डोमेन पर होस्ट किया गया पेज

अध्ययन के लिए इस साइट का उपयोग किया गया रिस्किक एपीआई, जिसके पास पहले से ही 3 तैयार ग्राहक हैं अजगर, माणिक и जंग.

सबसे पहले हम इस डोमेन नाम का पूरा इतिहास पता करेंगे, इसके लिए हम कमांड का उपयोग करेंगे:

पीटी-क्लाइंट पीडीएनएस--क्वेरी मैग्निट-बॉस.रॉक्स

यह कमांड इस डोमेन नाम से जुड़े सभी DNS रिज़ॉल्यूशन के बारे में जानकारी लौटाएगा।

चित्र 4. रिस्किक एपीआई से प्रतिक्रिया

आइए एपीआई से प्रतिक्रिया को और अधिक दृश्य रूप में लाएं:

चित्र 5. प्रतिक्रिया से सभी प्रविष्टियाँ

आगे के शोध के लिए, हमने वे आईपी पते लिए, जिन पर इस डोमेन नाम ने 01.08.2019/92.119.113.112/85.143.219.65 को पत्र प्राप्त होने के समय समाधान किया था, ऐसे आईपी पते निम्नलिखित पते हैं XNUMX और XNUMX।

कमांड का उपयोग करना:

पीटी-क्लाइंट पीडीएनएस--क्वेरी

आप वे सभी डोमेन नाम प्राप्त कर सकते हैं जो दिए गए आईपी पते से जुड़े हैं।
आईपी ​​​​पते 92.119.113.112 में 42 अद्वितीय डोमेन नाम हैं जो इस आईपी पते पर हल हो गए हैं, जिनमें से निम्नलिखित नाम हैं:

• मैग्निट-बॉस.क्लब
• igrovie-automaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• एट अल

आईपी ​​​​पते 85.143.219.65 में 44 अद्वितीय डोमेन नाम हैं जो इस आईपी पते पर हल हो गए हैं, जिनमें से निम्नलिखित नाम हैं:

• cvv2.name (क्रेडिट कार्ड विवरण बेचने के लिए वेबसाइट)
• emaills.world
• www.mailru.space
• एट अल

इन डोमेन नामों के साथ कनेक्शन से फ़िशिंग होती है, लेकिन हम दयालु लोगों पर विश्वास करते हैं, तो आइए 332 रूबल का बोनस प्राप्त करने का प्रयास करें? "हाँ" बटन पर क्लिक करने के बाद, साइट हमें खाते को अनलॉक करने के लिए कार्ड से 501.72 रूबल स्थानांतरित करने के लिए कहती है और हमें डेटा दर्ज करने के लिए as-torpay.info साइट पर भेजती है।

चित्र 6. साइट ac-pay2day.net का मुख्य पृष्ठ

यह एक कानूनी साइट की तरह दिखती है, इसमें एक https प्रमाणपत्र है, और मुख्य पृष्ठ इस भुगतान प्रणाली को आपकी साइट से जोड़ने की पेशकश करता है, लेकिन, अफसोस, कनेक्ट करने के लिए सभी लिंक काम नहीं करते हैं। यह डोमेन नाम केवल 1 आईपी पते - 190.115.19.74 पर हल होता है। बदले में, इसमें 1475 अद्वितीय डोमेन नाम हैं जो इस आईपी पते को हल करते हैं, जिनमें ऐसे नाम शामिल हैं:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• एट अल

जैसा कि हम देख सकते हैं, पैसिव डीएनएस आपको अध्ययन के तहत संसाधन के बारे में जल्दी और कुशलता से डेटा एकत्र करने और यहां तक ​​कि एक प्रकार की छाप बनाने की अनुमति देता है जो आपको व्यक्तिगत डेटा चोरी करने की पूरी योजना को उसकी प्राप्ति से लेकर बिक्री के संभावित स्थान तक उजागर करने की अनुमति देता है।

चित्र 7. अध्ययनाधीन प्रणाली का मानचित्र

सब कुछ उतना गुलाबी नहीं है जितना हम चाहेंगे। उदाहरण के लिए, ऐसी जांच CloudFlare या इसी तरह की सेवाओं पर आसानी से टूट सकती है। और एकत्रित डेटाबेस की प्रभावशीलता निष्क्रिय डीएनएस डेटा एकत्र करने के लिए मॉड्यूल से गुजरने वाली डीएनएस क्वेरी की संख्या पर बहुत निर्भर है। फिर भी, पैसिव डीएनएस शोधकर्ता के लिए अतिरिक्त जानकारी का एक स्रोत है।

लेखक: यूराल सेंटर फॉर सिक्योरिटी सिस्टम्स के विशेषज्ञ

स्रोत: www.habr.com