WHOIS सेवा के साथ समाप्त हो चुके डोमेन का उपयोग करके विदेशी mobi डोमेन के लिए TLS प्रमाणपत्र प्राप्त करने का प्रयास

वॉचटावर लैब्स के शोधकर्ताओं ने एक .MOBI डोमेन ज़ोन रजिस्ट्रार से पुरानी WHOIS सेवा प्राप्त करने से जुड़े एक प्रयोग के परिणाम प्रकाशित किए हैं। अध्ययन का कारण यह था कि रजिस्ट्रार ने WHOIS सेवा पता बदल दिया, इसे डोमेन whois.dotmobiregistry.net से नए होस्ट whois.nic.mobi पर स्थानांतरित कर दिया। उसी समय, dotmobiregistry.net डोमेन का उपयोग बंद हो गया और दिसंबर 2023 में इसे जारी किया गया और पंजीकरण के लिए उपलब्ध हो गया।

शोधकर्ताओं ने 20 डॉलर खर्च किए और इस डोमेन को खरीदा, जिसके बाद उन्होंने अपने सर्वर पर अपनी स्वयं की काल्पनिक WHOIS सेवा whois.dotmobiregistry.net लॉन्च की। आश्चर्य की बात यह थी कि कई सिस्टम नए होस्ट whois.nic.mobi पर स्विच नहीं हुए और पुराने नाम का उपयोग करना जारी रखा। इस वर्ष 30 अगस्त से 4 सितंबर तक, पुराने नाम के लिए 2.5 मिलियन अनुरोध दर्ज किए गए, जो 135 हजार से अधिक अद्वितीय प्रणालियों से भेजे गए थे।

अनुरोध भेजने वालों में डाक संबंधी जानकारी भी शामिल थी। серверы सरकारी और सैन्य संगठन जो WHOIS के माध्यम से ईमेल में दिखाई देने वाले डोमेन की जांच करते हैं, सुरक्षा कंपनियां और सुरक्षा प्लेटफॉर्म (VirusTotal, Group-IB), साथ ही प्रमाणन प्राधिकरण, डोमेन सत्यापन सेवाएं, SEO सेवाएं और डोमेन रजिस्ट्रार (जैसे domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io और webchart.org)।

.MOBI डोमेन ज़ोन की पुरानी WHOIS सेवा के अनुरोध के जवाब में कोई भी डेटा भेजने की क्षमता का उपयोग अनुरोधकर्ताओं पर कई प्रकार के हमलों को विकसित करने के लिए किया गया था। पहला हमला इस धारणा पर आधारित था कि यदि कोई लंबे समय से प्रतिस्थापित सेवा के लिए अनुरोध भेजना जारी रखता है, तो वे संभवतः कमजोरियों वाले पुराने टूलींग का उपयोग करके ऐसा कर रहे हैं।

उदाहरण के लिए, 2015 में phpWHOIS में, CVE-2015-5243 भेद्यता की पहचान की गई थी, जो WHOIS सर्वर द्वारा लौटाए गए विशेष रूप से स्वरूपित डेटा को पार्स करते समय हमलावर कोड को निष्पादित करने की अनुमति देता है। एक अन्य उदाहरण Fail2021Ban पैकेज में 2021 में पहचानी गई भेद्यता CVE-32749-2 है, जो ब्लॉकिंग चेतावनी उत्पन्न करने की प्रक्रिया में उपयोग की जाने वाली WHOIS सेवा द्वारा गलत डेटा लौटाए जाने पर बाहरी कोड को निष्पादित करने की अनुमति देता है (FAIL2Ban ने होस्ट प्रशासक के ईमेल को निर्धारित किया है) WHOIS के माध्यम से और विशेष वर्णों से उचित रूप से बचकर बिना कमांड मेल चलाते समय इसे निर्दिष्ट किया गया)।

दूसरा हमला इस तथ्य पर आधारित है कि कुछ प्रमाणन प्राधिकरण डोमेन रजिस्ट्रार डेटाबेस में निर्दिष्ट ईमेल के माध्यम से डोमेन स्वामित्व को सत्यापित करने की क्षमता प्रदान करते हैं, जो WHOIS प्रोटोकॉल के माध्यम से पहुंच योग्य है। यह पता चला कि इस सत्यापन पद्धति का समर्थन करने वाले कई प्रमाणन प्राधिकरण ".MOBI" डोमेन ज़ोन के लिए पुराने WHOIS सर्वर का उपयोग करना जारी रखते हैं।

इस प्रकार, whois.dotmobiregistry.net नाम पर नियंत्रण प्राप्त करने के बाद, हमलावर अपना डेटा प्राप्त कर सकते हैं, सत्यापन कर सकते हैं और उसे हासिल कर सकते हैं। टीएलएस प्रमाणपत्र .MOBI ज़ोन में किसी भी डोमेन के लिए।" उदाहरण के लिए, प्रयोग के दौरान, शोधकर्ताओं ने ग्लोबलसाइन रजिस्ट्रार से microsoft.mobi डोमेन के लिए एक TLS प्रमाणपत्र का अनुरोध किया, और काल्पनिक WHOIS सेवा द्वारा लौटाया गया ईमेल "whois@watchTowr.com" इंटरफ़ेस में डोमेन स्वामित्व सत्यापन कोड भेजने के लिए उपलब्ध के रूप में प्रदर्शित किया गया।

स्रोत: opennet.ru