Passive DNS ຢູ່ໃນມືຂອງນັກວິເຄາະ

ລະບົບຊື່ໂດເມນ (DNS) ແມ່ນຄ້າຍຄືປື້ມໂທລະສັບທີ່ແປຊື່ທີ່ເປັນມິດກັບຜູ້ໃຊ້ເຊັ່ນ "ussc.ru" ເຂົ້າໄປໃນທີ່ຢູ່ IP. ເນື່ອງຈາກກິດຈະກໍາ DNS ແມ່ນມີຢູ່ໃນເກືອບທຸກກອງປະຊຸມການສື່ສານ, ໂດຍບໍ່ສົນເລື່ອງຂອງໂປໂຕຄອນ. ດັ່ງນັ້ນ, ການບັນທຶກ DNS ແມ່ນແຫຼ່ງຂໍ້ມູນທີ່ມີຄຸນຄ່າສໍາລັບຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ, ໃຫ້ພວກເຂົາກວດພົບຄວາມຜິດປົກກະຕິຫຼືໄດ້ຮັບຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບລະບົບພາຍໃຕ້ການສືບສວນ.

ໃນປີ 2004, Florian Weimer ໄດ້ສະເຫນີວິທີການບັນທຶກຂໍ້ມູນທີ່ເອີ້ນວ່າ Passive DNS, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຟື້ນຟູປະຫວັດການປ່ຽນແປງຂໍ້ມູນ DNS ດ້ວຍຄວາມສາມາດໃນການດັດສະນີແລະຄົ້ນຫາ, ເຊິ່ງສາມາດສະຫນອງການເຂົ້າເຖິງຂໍ້ມູນຕໍ່ໄປນີ້:

• ຊື່ໂດເມນ
• ທີ່ຢູ່ IP ຂອງຊື່ໂດເມນທີ່ຮ້ອງຂໍ
• ວັນທີ ແລະເວລາຕອບໂຕ້
• ປະເພດການຕອບສະໜອງ
• ແລະອື່ນໆ.

ຂໍ້ມູນສໍາລັບ DNS Passive ແມ່ນເກັບກໍາຈາກເຄື່ອງແມ່ຂ່າຍ DNS recursive ໂດຍໂມດູນໃນຕົວຫຼືໂດຍການຂັດຂວາງການຕອບສະຫນອງຈາກເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຮັບຜິດຊອບໃນເຂດ.

ຮູບ 1. Passive DNS (ເອົາມາຈາກເວັບໄຊທ໌ ctovision.com)

peculiarity ຂອງ Passive DNS ແມ່ນວ່າບໍ່ຈໍາເປັນຕ້ອງລົງທະບຽນທີ່ຢູ່ IP ຂອງລູກຄ້າ, ເຊິ່ງຊ່ວຍປົກປ້ອງຄວາມເປັນສ່ວນຕົວຂອງຜູ້ໃຊ້.

ໃນປັດຈຸບັນ, ມີຫຼາຍບໍລິການທີ່ສະຫນອງການເຂົ້າເຖິງຂໍ້ມູນ DNS Passive:

DNSDB
VirusTotal
PassiveTotal
Octopus
ເສັ້ນທາງຄວາມປອດໄພ
Umbrella ສືບສວນ

ບໍ​ລິ​ສັດ
ຄວາມປອດໄພທາງໄກ
VirusTotal
Riskiq
SafeDNS
ເສັ້ນທາງຄວາມປອດໄພ
Cisco

ການເຂົ້າເຖິງ
ຕາມການຮ້ອງຂໍ
ບໍ່ຈໍາເປັນຕ້ອງລົງທະບຽນ
ການລົງທະບຽນແມ່ນບໍ່ເສຍຄ່າ
ຕາມການຮ້ອງຂໍ
ບໍ່ຈໍາເປັນຕ້ອງລົງທະບຽນ
ຕາມການຮ້ອງຂໍ

API
ປະຈຸບັນ
ປະຈຸບັນ
ປະຈຸບັນ
ປະຈຸບັນ
ປະຈຸບັນ
ປະຈຸບັນ

ມີລູກຄ້າ
ປະຈຸບັນ
ປະຈຸບັນ
ປະຈຸບັນ
ບໍ່​ມີ
ບໍ່​ມີ
ບໍ່​ມີ

ການ​ເລີ່ມ​ຕົ້ນ​ຂອງ​ການ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​
2010 ປີ
2013 ປີ
2009 ປີ
ສະແດງພຽງແຕ່ 3 ເດືອນທີ່ຜ່ານມາ
2008 ປີ
2006 ປີ

ຕາຕະລາງ 1. ການບໍລິການທີ່ມີການເຂົ້າເຖິງຂໍ້ມູນ DNS Passive

ໃຊ້ກໍລະນີສໍາລັບ DNS Passive

ການນໍາໃຊ້ DNS Passive, ທ່ານສາມາດສ້າງຄວາມສໍາພັນລະຫວ່າງຊື່ໂດເມນ, ເຄື່ອງແມ່ຂ່າຍ NS ແລະທີ່ຢູ່ IP. ນີ້ອະນຸຍາດໃຫ້ທ່ານສ້າງແຜນທີ່ຂອງລະບົບພາຍໃຕ້ການສຶກສາແລະຕິດຕາມການປ່ຽນແປງໃນແຜນທີ່ດັ່ງກ່າວຈາກການຄົ້ນພົບຄັ້ງທໍາອິດຈົນເຖິງປັດຈຸບັນ.

Passive DNS ຍັງເຮັດໃຫ້ມັນງ່າຍຕໍ່ການກວດສອບຄວາມຜິດປົກກະຕິໃນການຈະລາຈອນ. ຕົວຢ່າງ, ການຕິດຕາມການປ່ຽນແປງໃນເຂດ NS ແລະບັນທຶກຂອງປະເພດ A ແລະ AAAA ຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດສະຖານທີ່ເປັນອັນຕະລາຍໂດຍໃຊ້ວິທີການ flux ໄວ, ຖືກອອກແບບມາເພື່ອຊ່ອນ C&C ຈາກການກວດພົບແລະການຂັດຂວາງ. ເນື່ອງຈາກວ່າຊື່ໂດເມນທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ (ຍົກເວັ້ນຜູ້ທີ່ໃຊ້ສໍາລັບການດຸ່ນດ່ຽງການໂຫຼດ) ຈະບໍ່ປ່ຽນທີ່ຢູ່ IP ຂອງພວກເຂົາເລື້ອຍໆ, ແລະເຂດທີ່ຖືກຕ້ອງຕາມກົດຫມາຍສ່ວນໃຫຍ່ບໍ່ຄ່ອຍຈະປ່ຽນເຄື່ອງແມ່ຂ່າຍ NS ຂອງພວກເຂົາ.

Passive DNS, ກົງກັນຂ້າມກັບການນັບໂດຍກົງຂອງໂດເມນຍ່ອຍໂດຍໃຊ້ວັດຈະນານຸກົມ, ຊ່ວຍໃຫ້ທ່ານຊອກຫາຊື່ໂດເມນທີ່ແປກປະຫຼາດທີ່ສຸດ, ຕົວຢ່າງ, "222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru". ມັນຍັງຊ່ວຍໃຫ້ທ່ານສາມາດຊອກຫາພື້ນທີ່ທົດສອບ (ແລະມີຄວາມສ່ຽງ) ຂອງເວັບໄຊທ໌, ອຸປະກອນພັດທະນາ, ແລະອື່ນໆ.

ກວດສອບການເຊື່ອມຕໍ່ຈາກອີເມວໂດຍໃຊ້ Passive DNS

ໃນປັດຈຸບັນ, spam ແມ່ນວິທີຕົ້ນຕໍທີ່ຜູ້ໂຈມຕີເຈາະເຂົ້າໄປໃນຄອມພິວເຕີຂອງຜູ້ເຄາະຮ້າຍຫຼືລັກເອົາຂໍ້ມູນລັບ. ໃຫ້ພະຍາຍາມກວດເບິ່ງການເຊື່ອມຕໍ່ຈາກອີເມວດັ່ງກ່າວໂດຍໃຊ້ Passive DNS ເພື່ອປະເມີນປະສິດທິຜົນຂອງວິທີການນີ້.

ຮູບ 2. ອີເມວຂີ້ເຫຍື້ອ

ການເຊື່ອມຕໍ່ຈາກຈົດຫມາຍສະບັບນີ້ນໍາໄປສູ່ເວັບໄຊທ໌ magnit-boss.rocks, ເຊິ່ງສະເຫນີໃຫ້ເກັບໂບນັດອັດຕະໂນມັດແລະຮັບເງິນ:

ຮູບທີ 3. ຫນ້າທີ່ໂຮດຢູ່ໃນໂດເມນ magnit-boss.rocks

ສໍາລັບການສຶກສາຂອງສະຖານທີ່ນີ້ຖືກນໍາໃຊ້ Riskiq API, ເຊິ່ງມີລູກຄ້າພ້ອມທີ່ຈະເຮັດແລ້ວ 3 ຄົນ Python, Ruby и rust.

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາຈະຊອກຫາປະຫວັດສາດທັງ ໝົດ ຂອງຊື່ໂດເມນນີ້, ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະໃຊ້ ຄຳ ສັ່ງ:

pt-client pdns --query magnit-boss.rocks

ຄໍາສັ່ງນີ້ຈະສົ່ງຄືນຂໍ້ມູນກ່ຽວກັບການແກ້ໄຂ DNS ທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບຊື່ໂດເມນນີ້.

ຮູບທີ 4. ການຕອບສະໜອງຈາກ Riskiq API

ໃຫ້ພວກເຮົານໍາເອົາການຕອບສະຫນອງຈາກ API ໄປສູ່ຮູບແບບທີ່ເບິ່ງເຫັນຫຼາຍຂຶ້ນ:

ຮູບທີ 5. ລາຍການທັງໝົດຈາກການຕອບສະໜອງ

ສໍາລັບການຄົ້ນຄວ້າເພີ່ມເຕີມ, ພວກເຮົາໄດ້ເອົາທີ່ຢູ່ IP ທີ່ຊື່ໂດເມນນີ້ໄດ້ແກ້ໄຂໃນເວລາທີ່ຈົດຫມາຍໄດ້ຮັບໃນວັນທີ 01.08.2019/92.119.113.112/85.143.219.65, ທີ່ຢູ່ IP ດັ່ງກ່າວເປັນທີ່ຢູ່ຕໍ່ໄປນີ້ XNUMX ແລະ XNUMX.

ການ​ນໍາ​ໃຊ້​ຄໍາ​ສັ່ງ​:

pt-client pdns --query

ທ່ານ​ສາ​ມາດ​ໄດ້​ຮັບ​ທັງ​ຫມົດ​ຊື່​ໂດ​ເມນ​ທີ່​ກ່ຽວ​ຂ້ອງ​ກັບ​ທີ່​ຢູ່ IP ທີ່​ໃຫ້​.
ທີ່ຢູ່ IP 92.119.113.112 ມີ 42 ຊື່ໂດເມນທີ່ເປັນເອກະລັກທີ່ໄດ້ແກ້ໄຂທີ່ຢູ່ IP ນີ້, ໃນນັ້ນມີຊື່ຕໍ່ໄປນີ້:

• magnet-boss.club
• igrovie-automaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• ແລະອື່ນໆ

ທີ່ຢູ່ IP 85.143.219.65 ມີ 44 ຊື່ໂດເມນທີ່ເປັນເອກະລັກທີ່ໄດ້ແກ້ໄຂທີ່ຢູ່ IP ນີ້, ໃນນັ້ນມີຊື່ຕໍ່ໄປນີ້:

• cvv2.name (ເວັບໄຊທ໌ສໍາລັບການຂາຍລາຍລະອຽດບັດເຄຣດິດ)
• emaills.world
• www.mailru.space
• ແລະອື່ນໆ

ການເຊື່ອມຕໍ່ກັບຊື່ໂດເມນເຫຼົ່ານີ້ນໍາໄປສູ່ການ phishing, ແຕ່ພວກເຮົາເຊື່ອໃນຄົນໃຈດີ, ດັ່ງນັ້ນພວກເຮົາພະຍາຍາມໄດ້ຮັບໂບນັດຂອງ 332 rubles? ຫຼັງຈາກທີ່ຄລິກໃສ່ປຸ່ມ “ແມ່ນແລ້ວ”, ເວັບໄຊທ໌ຂໍໃຫ້ພວກເຮົາໂອນເງິນ 501.72 ຮູເບີນຈາກບັດເພື່ອປົດລັອກບັນຊີ ແລະສົ່ງພວກເຮົາໄປຫາເວັບໄຊ as-torpay.info ເພື່ອປ້ອນຂໍ້ມູນ.

ຮູບທີ 6. ໜ້າຫຼັກຂອງເວັບໄຊ ac-pay2day.net

ມັນຄ້າຍຄືເວັບໄຊທ໌ທາງດ້ານກົດຫມາຍ, ມີໃບຢັ້ງຢືນ https, ແລະຫນ້າຫລັກສະເຫນີໃຫ້ເຊື່ອມຕໍ່ລະບົບການຈ່າຍເງິນນີ້ກັບເວັບໄຊຂອງເຈົ້າ, ແຕ່, ອະນິຈາ, ການເຊື່ອມຕໍ່ທັງຫມົດໃນການເຊື່ອມຕໍ່ບໍ່ເຮັດວຽກ. ຊື່ໂດເມນນີ້ແກ້ໄຂພຽງແຕ່ 1 ip address - 190.115.19.74. ໃນທາງກັບກັນ, ມັນມີ 1475 ຊື່ໂດເມນທີ່ເປັນເອກະລັກທີ່ແກ້ໄຂກັບທີ່ຢູ່ IP ນີ້, ລວມທັງຊື່ເຊັ່ນ:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• ແລະອື່ນໆ

ດັ່ງທີ່ພວກເຮົາສາມາດເຫັນໄດ້, Passive DNS ຊ່ວຍໃຫ້ທ່ານສາມາດເກັບກໍາຂໍ້ມູນກ່ຽວກັບຊັບພະຍາກອນທີ່ກໍາລັງສຶກສາໄດ້ໄວແລະມີປະສິດທິພາບແລະແມ້ກະທັ້ງສ້າງປະເພດຂອງການພິມທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດເປີດເຜີຍໂຄງການທັງຫມົດສໍາລັບການລັກຂໍ້ມູນສ່ວນບຸກຄົນ, ຈາກໃບຮັບເງິນຂອງມັນໄປຫາບ່ອນຂາຍ.

ຮູບທີ 7. ແຜນທີ່ຂອງລະບົບທີ່ກໍາລັງສຶກສາຢູ່

ບໍ່ແມ່ນທຸກຢ່າງຈະເປັນດອກກຸຫຼາບເທົ່າທີ່ເຮົາຕ້ອງການ. ຕົວຢ່າງ, ການສືບສວນດັ່ງກ່າວສາມາດທໍາລາຍໄດ້ງ່າຍໃນ CloudFlare ຫຼືບໍລິການທີ່ຄ້າຍຄືກັນ. ແລະປະສິດທິຜົນຂອງຖານຂໍ້ມູນທີ່ເກັບກໍາແມ່ນຂຶ້ນກັບຈໍານວນການສອບຖາມ DNS ທີ່ຜ່ານໂມດູນເພື່ອເກັບກໍາຂໍ້ມູນ DNS Passive. ຢ່າງໃດກໍຕາມ, Passive DNS ແມ່ນແຫຼ່ງຂອງຂໍ້ມູນເພີ່ມເຕີມສໍາລັບນັກຄົ້ນຄວ້າ.

ຜູ້ຂຽນ: ຜູ້ຊ່ຽວຊານຂອງສູນ Ural ສໍາລັບລະບົບຄວາມປອດໄພ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com