विश्लेषकाच्या हातात निष्क्रिय DNS

डोमेन नेम सिस्टम (DNS) हे फोन बुक सारखे आहे जे "ussc.ru" सारख्या वापरकर्त्यासाठी अनुकूल नावांचे IP पत्त्यांमध्ये भाषांतर करते. प्रोटोकॉलची पर्वा न करता, जवळजवळ सर्व संप्रेषण सत्रांमध्ये DNS क्रियाकलाप उपस्थित असतो. अशा प्रकारे, डीएनएस लॉगिंग माहिती सुरक्षा तज्ञांसाठी डेटाचा एक मौल्यवान स्रोत आहे, ज्यामुळे त्यांना विसंगती शोधता येतात किंवा तपासाधीन प्रणालीबद्दल अतिरिक्त डेटा प्राप्त होतो.

2004 मध्ये, फ्लोरियन वेमरने पॅसिव्ह डीएनएस नावाची लॉगिंग पद्धत प्रस्तावित केली, जी तुम्हाला अनुक्रमणिका आणि शोध करण्याच्या क्षमतेसह डीएनएस डेटा बदलांचा इतिहास पुनर्संचयित करण्यास अनुमती देते, जे खालील डेटामध्ये प्रवेश प्रदान करू शकते:

• Имя имя
• विनंती केलेल्या डोमेन नावाचा IP पत्ता
• प्रतिसादाची तारीख आणि वेळ
• प्रतिसाद प्रकार
• आणि याप्रमाणे.

निष्क्रिय DNS साठी डेटा रिकर्सिव्ह DNS सर्व्हरवरून अंगभूत मॉड्यूल्सद्वारे किंवा झोनसाठी जबाबदार असलेल्या DNS सर्व्हरच्या प्रतिसादांना रोखून गोळा केला जातो.

आकृती 1. निष्क्रिय DNS (साइटवरून घेतलेले ctovision.com)

निष्क्रिय DNS चे वैशिष्ठ्य हे आहे की क्लायंटचा IP पत्ता नोंदणी करण्याची आवश्यकता नाही, जे वापरकर्त्याच्या गोपनीयतेचे संरक्षण करण्यास मदत करते.

याक्षणी, अशा अनेक सेवा आहेत ज्या निष्क्रिय DNS डेटामध्ये प्रवेश प्रदान करतात:

DNSDB
व्हायरसटॉटल
निष्क्रीय एकूण
आठ पायांचा सागरी प्राणी
सुरक्षा मार्ग
छत्री तपास

फर्म
दूरदृष्टी सुरक्षा
व्हायरसटॉटल
रिस्किक
सुरक्षित डीएनएस
सुरक्षा मार्ग
सिस्को

प्रवेश
विनंतीवरून
नोंदणीची आवश्यकता नाही
नोंदणी विनामूल्य आहे
विनंतीवरून
नोंदणीची आवश्यकता नाही
विनंतीवरून

API
उपस्थित
उपस्थित
उपस्थित
उपस्थित
उपस्थित
उपस्थित

ग्राहक उपस्थिती
उपस्थित
उपस्थित
उपस्थित
कोणत्याही
कोणत्याही
कोणत्याही

डेटा संकलनाची सुरुवात
2010 वर्ष
2013 वर्ष
2009 वर्ष
फक्त शेवटचे ३ महिने दाखवतो
2008 वर्ष
2006 वर्ष

तक्ता 1. निष्क्रिय DNS डेटामध्ये प्रवेश असलेल्या सेवा

निष्क्रिय DNS साठी केस वापरा

निष्क्रिय DNS वापरून, तुम्ही डोमेन नेम, NS सर्व्हर आणि IP पत्ते यांच्यात संबंध निर्माण करू शकता. हे तुम्हाला अभ्यासाधीन प्रणालींचे नकाशे तयार करण्यास आणि पहिल्या शोधापासून वर्तमान क्षणापर्यंत अशा नकाशातील बदलांचा मागोवा घेण्यास अनुमती देते.

पॅसिव्ह DNS ट्रॅफिकमधील विसंगती शोधणे देखील सोपे करते. उदाहरणार्थ, NS झोनमधील बदलांचा मागोवा घेणे आणि A आणि AAAA प्रकारातील नोंदी तुम्हाला फास्ट फ्लक्स पद्धतीचा वापर करून दुर्भावनापूर्ण साइट्स ओळखण्यास अनुमती देतात, C&C ला शोधण्यापासून आणि ब्लॉक करण्यापासून लपवण्यासाठी डिझाइन केलेले आहे. कारण वैध डोमेन नावे (लोड बॅलन्सिंगसाठी वापरल्या जाणार्‍या अपवाद वगळता) त्यांचे IP पत्ते सहसा बदलत नाहीत आणि बहुतेक वैध क्षेत्र त्यांचे NS सर्व्हर क्वचितच बदलतात.

पॅसिव्ह डीएनएस, डिक्शनरी वापरून सबडोमेनच्या थेट गणनेच्या उलट, तुम्हाला अगदी विदेशी डोमेन नावे शोधण्याची परवानगी देते, उदाहरणार्थ, “222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru”. हे काहीवेळा तुम्हाला वेबसाइटचे चाचणी (आणि असुरक्षित) क्षेत्रे, विकसक साहित्य इ. शोधण्याची अनुमती देते.

निष्क्रीय DNS वापरून ईमेलवरून लिंक तपासणे

याक्षणी, स्पॅम हा मुख्य मार्गांपैकी एक आहे ज्याद्वारे आक्रमणकर्ता पीडिताच्या संगणकात प्रवेश करतो किंवा गोपनीय माहिती चोरतो. या पद्धतीच्या प्रभावीतेचे मूल्यांकन करण्यासाठी निष्क्रिय DNS वापरून अशा ईमेलमधील दुव्याचे परीक्षण करण्याचा प्रयत्न करूया.

आकृती 2. स्पॅम ईमेल

या पत्रातील दुव्यामुळे साइट magnit-boss.rocks झाली, ज्याने आपोआप बोनस गोळा करण्याची आणि पैसे मिळवण्याची ऑफर दिली:

आकृती 3. magnit-boss.rocks डोमेनवर होस्ट केलेले पृष्ठ

या साइटच्या अभ्यासासाठी वापरण्यात आला Riskiq API, ज्याचे आधीच 3 रेडीमेड क्लायंट चालू आहेत python ला, रुबी и गंज.

सर्व प्रथम, आम्ही या डोमेन नावाचा संपूर्ण इतिहास शोधू, यासाठी आम्ही कमांड वापरू:

pt-क्लायंट pdns --query magnit-boss.rocks

हा कमांड या डोमेन नावाशी संबंधित सर्व DNS रिझोल्यूशनची माहिती देईल.

आकृती 4. Riskiq API कडून प्रतिसाद

चला API कडून प्रतिसाद अधिक दृश्य स्वरूपात आणूया:

आकृती 5. प्रतिसादातील सर्व नोंदी

पुढील संशोधनासाठी, आम्ही 01.08.2019/92.119.113.112/85.143.219.65 रोजी पत्र प्राप्त झाले तेव्हा या डोमेन नावाचे निराकरण केलेले IP पत्ते घेतले, असे IP पत्ते खालील पत्ते XNUMX आणि XNUMX आहेत.

कमांड वापरणे:

pt-क्लायंट pdns --query

दिलेल्या IP पत्त्यांशी संबंधित असलेली सर्व डोमेन नावे तुम्ही मिळवू शकता.
IP पत्ता 92.119.113.112 मध्ये 42 अद्वितीय डोमेन नावे आहेत ज्यांनी या IP पत्त्यावर निराकरण केले आहे, त्यापैकी खालील नावे आहेत:

• magnet-boss.club
• igroie-automaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• आणि इतर

IP पत्ता 85.143.219.65 मध्ये 44 अद्वितीय डोमेन नावे आहेत ज्यांनी या IP पत्त्यावर निराकरण केले आहे, त्यापैकी खालील नावे आहेत:

• cvv2.name (क्रेडिट कार्ड तपशील विकण्यासाठी वेबसाइट)
• emaills.world
• www.mailru.space
• आणि इतर

या डोमेन नावांच्या कनेक्शनमुळे फिशिंग होते, परंतु आम्ही दयाळू लोकांवर विश्वास ठेवतो, म्हणून 332 रूबलचा बोनस मिळवण्याचा प्रयत्न करूया? “होय” बटणावर क्लिक केल्यानंतर, साइट आम्हाला खाते अनलॉक करण्यासाठी कार्डमधून 501.72 रूबल हस्तांतरित करण्यास सांगते आणि डेटा प्रविष्ट करण्यासाठी आम्हाला as-torpay.info साइटवर पाठवते.

आकृती 6. ac-pay2day.net साइटचे मुख्य पृष्ठ

हे कायदेशीर साइटसारखे दिसते, एक https प्रमाणपत्र आहे आणि मुख्य पृष्ठ ही पेमेंट सिस्टम आपल्या साइटशी कनेक्ट करण्याची ऑफर देते, परंतु, अरेरे, कनेक्ट करण्यासाठी सर्व दुवे कार्य करत नाहीत. हे डोमेन नाव केवळ 1 ip पत्त्यावर निराकरण करते - 190.115.19.74. या बदल्यात, 1475 अनन्य डोमेन नावे आहेत जी या IP पत्त्याचे निराकरण करतात, या नावांसह:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• आणि इतर

जसे आपण पाहू शकतो, निष्क्रिय DNS तुम्हाला अभ्यासाधीन स्त्रोताविषयीचा डेटा जलद आणि कार्यक्षमतेने संकलित करण्यास आणि एक प्रकारची छाप तयार करण्यास अनुमती देते ज्यामुळे तुम्हाला वैयक्तिक डेटा चोरी करण्यासाठी, त्याच्या पावतीपासून विक्रीच्या संभाव्य ठिकाणापर्यंत संपूर्ण योजना उघड करण्याची परवानगी मिळते.

आकृती 7. अभ्यासाधीन प्रणालीचा नकाशा

प्रत्येक गोष्ट आपल्याला पाहिजे तितकी गुलाबी नसते. उदाहरणार्थ, CloudFlare किंवा तत्सम सेवांवर अशा तपासण्या सहजपणे खंडित होऊ शकतात. आणि संकलित डेटाबेसची परिणामकारकता निष्क्रिय DNS डेटा गोळा करण्यासाठी मॉड्यूलमधून जाणार्‍या DNS विनंत्यांच्या संख्येवर अवलंबून असते. तरीसुद्धा, निष्क्रिय DNS संशोधकासाठी अतिरिक्त माहितीचा स्रोत आहे.

लेखक: सुरक्षा प्रणालीसाठी उरल सेंटरचे विशेषज्ञ

स्त्रोत: www.habr.com