विश्लेषकको हातमा निष्क्रिय DNS

डोमेन नाम प्रणाली (DNS) फोन बुक जस्तै हो जसले प्रयोगकर्ता-अनुकूल नामहरू जस्तै "ussc.ru" लाई IP ठेगानाहरूमा अनुवाद गर्दछ। प्रोटोकलको पर्वाह नगरी DNS गतिविधि लगभग सबै सञ्चार सत्रहरूमा उपस्थित भएको हुनाले। तसर्थ, DNS लगिङ जानकारी सुरक्षा विशेषज्ञहरूको लागि डाटाको एक बहुमूल्य स्रोत हो, तिनीहरूलाई विसंगतिहरू पत्ता लगाउन वा अध्ययन अन्तर्गत प्रणालीको बारेमा थप डेटा प्राप्त गर्न अनुमति दिन्छ।

2004 मा, Florian Weimer ले Passive DNS नामक लगिङ विधि प्रस्ताव गर्नुभयो, जसले तपाईंलाई DNS डेटा परिवर्तनहरूको इतिहासलाई अनुक्रमणिका र खोजी गर्ने क्षमताको साथ पुनर्स्थापना गर्न अनुमति दिन्छ, जसले निम्न डेटामा पहुँच प्रदान गर्न सक्छ:

• Имя имя
• अनुरोध गरिएको डोमेन नामको IP ठेगाना
• प्रतिक्रियाको मिति र समय
• प्रतिक्रिया प्रकार
• र यति।

निष्क्रिय DNS को लागि डाटा पुनरावर्ती DNS सर्भरहरूबाट निर्मित मोड्युलहरूद्वारा वा क्षेत्रका लागि जिम्मेवार DNS सर्भरहरूबाट प्रतिक्रियाहरू अवरोध गरेर सङ्कलन गरिन्छ।

चित्र 1. निष्क्रिय DNS (साइटबाट लिइएको Ctovision.com)

निष्क्रिय DNS को एक विशेषता भनेको ग्राहकको आईपी ठेगाना दर्ता गर्न आवश्यक छैन, जसले प्रयोगकर्ताको गोपनीयता सुरक्षित गर्न मद्दत गर्दछ।

यस समयमा, त्यहाँ धेरै सेवाहरू छन् जसले निष्क्रिय DNS डाटामा पहुँच प्रदान गर्दछ:

DNSDB
भाइरस कुल
PassiveTotal
अक्टोपस
सुरक्षा ट्रेल्स
छाता अनुसन्धान

दृढ
Farsight सुरक्षा
भाइरस कुल
जोखिम
SafeDNS
सुरक्षा ट्रेल्स
सिस्को

पहुँच
अनुरोधमा
दर्ता आवश्यक छैन
दर्ता निःशुल्क छ
अनुरोधमा
दर्ता आवश्यक छैन
अनुरोधमा

एपीआई
वर्तमान
वर्तमान
वर्तमान
वर्तमान
वर्तमान
वर्तमान

ग्राहकको उपलब्धता
वर्तमान
वर्तमान
वर्तमान
कुनै
कुनै
कुनै

डाटा सङ्कलन सुरु
2010 वर्ष
2013 वर्ष
2009 वर्ष
पछिल्लो 3 महिना मात्र प्रदर्शन गर्दछ
2008 वर्ष
2006 वर्ष

तालिका १. निष्क्रिय DNS डाटामा पहुँच भएका सेवाहरू

निष्क्रिय DNS को लागि केसहरू प्रयोग गर्नुहोस्

निष्क्रिय DNS प्रयोग गरेर तपाइँ डोमेन नामहरू, NS सर्भरहरू र IP ठेगानाहरू बीच जडानहरू निर्माण गर्न सक्नुहुन्छ। यसले तपाइँलाई अध्ययन अन्तर्गत प्रणालीहरूको नक्सा निर्माण गर्न र पहिलो खोजबाट हालको क्षणमा यस्तो नक्सामा परिवर्तनहरू ट्र्याक गर्न अनुमति दिन्छ।

निष्क्रिय DNS ले ट्राफिक विसंगतिहरू पत्ता लगाउन पनि सजिलो बनाउँछ। उदाहरणका लागि, NS जोनहरूमा ट्र्याकिङ परिवर्तनहरू र A र AAAA प्रकारका रेकर्डहरूले तपाईंलाई द्रुत प्रवाह विधि प्रयोग गर्ने दुर्भावनापूर्ण साइटहरू पहिचान गर्न अनुमति दिन्छ, पत्ता लगाउन र अवरुद्धबाट C&C लुकाउन डिजाइन गरिएको। किनभने वैध डोमेन नामहरू (लोड सन्तुलनका लागि प्रयोग गरिएका बाहेक) तिनीहरूको IP ठेगानाहरू प्रायः परिवर्तन गर्दैनन्, र धेरै वैध क्षेत्रहरूले विरलै तिनीहरूको NS सर्भरहरू परिवर्तन गर्छन्।

निष्क्रिय DNS, शब्दकोषहरू प्रयोग गरेर सबडोमेनहरूको प्रत्यक्ष खोजको विपरीत, तपाईंलाई सबैभन्दा विदेशी डोमेन नामहरू पनि फेला पार्न अनुमति दिन्छ, उदाहरणका लागि "222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru"। यसले कहिलेकाहीँ तपाईंलाई वेबसाइट, विकासकर्ता सामग्री, आदिको परीक्षण (र कमजोर) क्षेत्रहरू फेला पार्न अनुमति दिन्छ।

निष्क्रिय DNS प्रयोग गरेर ईमेलबाट लिङ्क अनुसन्धान गर्दै

हाल, स्प्याम मुख्य तरिकाहरू मध्ये एक हो जसको माध्यमबाट आक्रमणकारीले पीडितको कम्प्युटरमा प्रवेश गर्छ वा गोप्य जानकारी चोर्छ। यस विधिको प्रभावकारिता मूल्याङ्कन गर्न निष्क्रिय DNS प्रयोग गरेर यस्तो पत्रबाट लिङ्क जाँच गर्ने प्रयास गरौं।

चित्र २. स्प्याम इमेल

यस पत्रको लिङ्कले साइट magnit-boss.rocks लाई नेतृत्व गर्यो, जसले स्वचालित रूपमा बोनसहरू सङ्कलन गर्न र पैसा प्राप्त गर्न प्रस्ताव गर्यो:

चित्र ३. magnit-boss.rocks डोमेनमा होस्ट गरिएको पृष्ठ

यो साइट अध्ययन गर्न, मैले प्रयोग गरें API Riskiq, जसमा पहिले नै 3 रेडिमेड ग्राहकहरू छन् अजगर, रूबी и खियाले.

सबैभन्दा पहिले, हामी यस डोमेन नामको सम्पूर्ण इतिहास फेला पार्नेछौं, यसको लागि हामी आदेश प्रयोग गर्नेछौं:

pt-client pdns —query magnet-boss.rocks

यो आदेशले यस डोमेन नामसँग सम्बन्धित सबै DNS समाधानहरूको बारेमा जानकारी प्रदर्शन गर्नेछ।

चित्र 4. Riskiq API बाट प्रतिक्रिया

API बाट प्रतिक्रियालाई थप भिजुअल फारममा राखौं:

चित्र 5. प्रतिक्रियाबाट सबै प्रविष्टिहरू

थप अनुसन्धानको लागि, हामीले 01.08.2019/92.119.113.112/85.143.219.65 मा पत्र प्राप्त भएको समयमा यो डोमेन नाम समाधान गरिएको IP ठेगानाहरू लिएका छौं, त्यस्ता IP ठेगानाहरू निम्न ठेगानाहरू हुन् XNUMX र XNUMX।

आदेश प्रयोग गर्दै:

pt-client pdns --query

तपाईंले यी IP ठेगानाहरूसँग सम्बन्धित सबै डोमेन नामहरू प्राप्त गर्न सक्नुहुन्छ।
IP ठेगाना 92.119.113.112 मा 42 अद्वितीय डोमेन नामहरू छन् जसले यो IP ठेगानामा समाधान गर्दछ, जसमध्ये निम्न नामहरू छन्:

• magnet-boss.club
• igroie-avtomaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• र अन्य

IP ठेगाना 85.143.219.65 मा 44 अद्वितीय डोमेन नामहरू छन् जसले यस IP ठेगानामा समाधान गर्दछ, जसमध्ये निम्न नामहरू छन्:

• cvv2.name (क्रेडिट कार्ड डाटा बेच्ने साइट)
• emaills.world
• www.mailru.space
• र अन्य

यी डोमेन नामहरूसँगको जडानहरूले फिसिङको सुझाव दिन्छ, तर हामी असल मानिसहरूमा विश्वास गर्छौं, त्यसैले 332 rubles को बोनस प्राप्त गर्ने प्रयास गरौं? "हो" बटनमा क्लिक गरेपछि, साइटले हामीलाई खाता अनलक गर्न कार्डबाट 501.72 rubles स्थानान्तरण गर्न सोध्छ र डेटा प्रविष्ट गर्न as-torpay.info साइटमा पठाउँछ।

चित्र 6. साइट ac-pay2day.net को गृह पृष्ठ

यो कानूनी साइट जस्तो देखिन्छ, त्यहाँ एक https प्रमाणपत्र छ, र मुख्य पृष्ठले यो भुक्तानी प्रणालीलाई तपाइँको साइटमा जडान गर्न प्रस्ताव गर्दछ, तर, अफसोस, जडान गर्नका लागि सबै लिङ्कहरू काम गर्दैनन्। यो डोमेन नामले 1 IP ठेगाना मात्र समाधान गर्छ - 190.115.19.74। यो, बारीमा, 1475 अद्वितीय डोमेन नामहरू छन् जुन यस IP ठेगानामा समाधान गर्दछ, जसमा निम्न नामहरू समावेश छन्:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• र अन्य

हामी देख्न सक्छौं, Passive DNS ले तपाईंलाई अध्ययन अन्तर्गत संसाधनको बारेमा छिटो र प्रभावकारी रूपमा डेटा सङ्कलन गर्न र फिंगरप्रिन्टको एक प्रकारको निर्माण गर्न अनुमति दिन्छ जसले तपाईंलाई व्यक्तिगत डेटा चोरीको लागि सम्पूर्ण योजना उजागर गर्न अनुमति दिन्छ, बिक्रीको सम्भावित स्थानसम्म।

चित्र 7. अध्ययन अन्तर्गत प्रणालीको नक्सा

सबै कुरा हामीले चाहेको जस्तो गुलाबी हुँदैन। उदाहरणका लागि, त्यस्ता अनुसन्धानहरू CloudFlare वा समान सेवाहरूमा सजिलै असफल हुन सक्छन्। र सङ्कलन डाटाबेसको प्रभावकारिता निष्क्रिय DNS डाटा सङ्कलन गर्न मोड्युल मार्फत पारित DNS अनुरोधहरूको संख्यामा धेरै निर्भर गर्दछ। तर जे होस्, निष्क्रिय DNS अनुसन्धानकर्ताको लागि थप जानकारीको स्रोत हो।

लेखक: सुरक्षा प्रणालीका लागि यूराल केन्द्रका विशेषज्ञ

स्रोत: www.habr.com