WHOIS सेवेसह कालबाह्य झालेले डोमेन वापरून विदेशी मोबी डोमेनसाठी TLS प्रमाणपत्रे मिळवण्याचा प्रयत्न

वॉचटॉवर लॅब्सच्या संशोधकांनी .MOBI डोमेन रजिस्ट्रारच्या लेगसी WHOIS सेवेचे अपहरण करणाऱ्या प्रयोगाचे निकाल प्रकाशित केले आहेत. रजिस्ट्रारने WHOIS पत्ता बदलल्याने, तो whois.dotmobiregistry.net वरून नवीन होस्ट, whois.nic.mobi वर हलवल्याने हा अभ्यास करण्यात आला. दरम्यान, dotmobiregistry.net डोमेन डिसेंबर २०२३ मध्ये रद्द करण्यात आला आणि रिलीज करण्यात आला, ज्यामुळे ते नोंदणीसाठी उपलब्ध झाले.

संशोधकांनी २० डॉलर्स खर्च करून हे डोमेन खरेदी केले, नंतर त्यांच्या सर्व्हरवर whois.dotmobiregistry.net ही त्यांची स्वतःची बनावट WHOIS सेवा सुरू केली. आश्चर्याची गोष्ट म्हणजे, अनेक सिस्टीम नवीन होस्ट, whois.nic.mobi वर स्विच केल्या नाहीत, परंतु जुन्या नावाचा वापर करत राहिल्या. या वर्षी ३० ऑगस्ट ते ४ सप्टेंबर पर्यंत, १३५,००० हून अधिक अद्वितीय सिस्टीममधून जुन्या नावासाठी २.५ दशलक्ष क्वेरी रेकॉर्ड केल्या गेल्या.

विनंत्या पाठवणाऱ्यांमध्ये पोस्टल होते सर्व्हर WHOIS, सुरक्षा कंपन्या आणि सुरक्षा प्लॅटफॉर्म (VirusTotal, Group-IB), तसेच प्रमाणन अधिकारी, डोमेन पडताळणी सेवा, SEO सेवा आणि डोमेन रजिस्ट्रार (उदा., domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io आणि webchart.org) द्वारे ईमेलमध्ये दिसणारे डोमेन तपासणाऱ्या सरकारी आणि लष्करी संस्था.

".MOBI" डोमेन झोनसाठी जुन्या WHOIS सेवेला विनंतीच्या प्रतिसादात कोणताही डेटा पाठविण्याची क्षमता विनंतीकर्त्यांविरुद्ध अनेक प्रकारचे हल्ले विकसित करण्यासाठी वापरली गेली. पहिला हल्ला या गृहीतकावर आधारित होता की जर कोणी दीर्घकाळापासून बंद असलेल्या सेवेची विनंती करत राहिले तर ते कदाचित असुरक्षितता असलेल्या जुन्या साधनांचा वापर करून असे करत असतील.

उदाहरणार्थ, २०१५ मध्ये, phpWHOIS मध्ये CVE-2015-5243 ही भेद्यता आढळली, ज्यामुळे WHOIS सर्व्हरद्वारे परत केलेल्या विशेषतः तयार केलेल्या डेटाचे विश्लेषण करताना आक्रमणकर्त्याच्या कोडची अंमलबजावणी शक्य होते. दुसरे उदाहरण म्हणजे CVE-2021-32749 ही भेद्यता, जी २०२१ मध्ये Fail2Ban पॅकेजमध्ये आढळली, जी ब्लॉकिंग वॉर्निंग जनरेट करण्यासाठी वापरल्या जाणाऱ्या WHOIS सेवेद्वारे विकृत डेटा परत केला जातो तेव्हा बाह्य कोडची अंमलबजावणी करण्यास अनुमती देते (Fail2Ban ने WHOIS द्वारे होस्ट प्रशासकाचा ईमेल पत्ता निश्चित केला आणि विशेष वर्ण योग्यरित्या न सोडता मेल कमांड चालवताना तो निर्दिष्ट केला).

दुसरा हल्ला काही CAs वर अवलंबून आहे जे डोमेन रजिस्ट्रारच्या डेटाबेसमध्ये सूचीबद्ध केलेल्या ईमेल पत्त्याद्वारे डोमेन मालकी सत्यापित करण्याची क्षमता देतात, जे WHOIS प्रोटोकॉलद्वारे प्रवेशयोग्य असते. असे दिसून आले की या पडताळणी पद्धतीला समर्थन देणारे अनेक CAs ".MOBI" डोमेन विस्तारासाठी जुन्या WHOIS सर्व्हरचा वापर करत आहेत.

अशाप्रकारे, whois.dotmobiregistry.net या नावावर नियंत्रण मिळवल्यानंतर, हल्लेखोर त्यांचा डेटा पुनर्प्राप्त करू शकतात, पडताळणी करू शकतात आणि मिळवू शकतात TLS प्रमाणपत्र .MOBI झोनमधील कोणत्याही डोमेनसाठी." उदाहरणार्थ, प्रयोगादरम्यान, संशोधकांनी ग्लोबलसाइन रजिस्ट्रारकडून microsoft.mobi डोमेनसाठी TLS प्रमाणपत्राची विनंती केली आणि काल्पनिक WHOIS सेवेद्वारे परत केलेला "whois@watchTowr.com" हा ईमेल डोमेन मालकी पडताळणी कोड पाठवण्यासाठी उपलब्ध म्हणून इंटरफेसमध्ये प्रदर्शित झाला.

स्त्रोत: opennet.ru