WHOIS सेवाको साथ म्याद सकिएको डोमेन प्रयोग गरी विदेशी मोबी डोमेनहरूको लागि TLS प्रमाणपत्रहरू प्राप्त गर्ने प्रयास

WatchTowr Labs का अन्वेषकहरूले .MOBI डोमेन जोन रजिस्ट्रारबाट पुरानो WHOIS सेवाको क्याप्चर समावेश गर्ने प्रयोगको नतिजा प्रकाशित गरेका छन्। अध्ययनको कारण यो थियो कि रजिस्ट्रारले WHOIS सेवा ठेगाना परिवर्तन गर्यो, डोमेन whois.dotmobiregistry.net बाट नयाँ होस्ट whois.nic.mobi मा सारियो। उही समयमा, dotmobiregistry.net डोमेन प्रयोग गर्न बन्द भयो र डिसेम्बर 2023 मा यो जारी गरियो र दर्ताको लागि उपलब्ध भयो।

अनुसन्धानकर्ताहरूले $20 खर्च गरेर यो डोमेन किनेका थिए, त्यसपछि उनीहरूले आफ्नो सर्भरमा आफ्नै काल्पनिक WHOIS सेवा whois.dotmobiregistry.net सुरु गरे। अचम्मको कुरा के थियो कि धेरै प्रणालीहरूले नयाँ होस्ट whois.nic.mobi मा स्विच गरेनन् र पुरानो नाम प्रयोग गर्न जारी राखे। यस वर्ष अगस्ट ३० देखि सेप्टेम्बर ४ सम्म पुरानो नामका लागि २५ लाख अनुरोधहरू रेकर्ड गरिएका थिए, जुन १३५ हजारभन्दा बढी अद्वितीय प्रणालीबाट पठाइएका थिए।

अनुरोध पठाउनेहरूमा हुलाक पनि थिए सर्भरहरू WHOIS, सुरक्षा कम्पनीहरू र सुरक्षा प्लेटफर्महरू (VirusTotal, Group-IB), साथै प्रमाणीकरण अधिकारीहरू, डोमेन प्रमाणिकरण सेवाहरू, SEO सेवाहरू, र डोमेन रजिस्ट्रारहरू (जस्तै, domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io, र webchart.org) मार्फत इमेलहरूमा देखा पर्ने डोमेनहरू जाँच गर्ने सरकारी र सैन्य संस्थाहरू।

.MOBI डोमेन जोनको पुरानो WHOIS सेवालाई अनुरोधको जवाफमा कुनै पनि डेटा पठाउने क्षमता अनुरोधकर्ताहरूमा धेरै प्रकारका आक्रमणहरू विकास गर्न प्रयोग गरिएको थियो। पहिलो आक्रमण यो धारणामा आधारित थियो कि यदि कसैले लामो-प्रतिस्थापित सेवामा अनुरोधहरू पठाउन जारी राख्छ भने, तिनीहरू सम्भवतः पुरानो टुलिङ प्रयोग गरेर कमजोरीहरू समावेश गर्दैछन्।

उदाहरण को लागी, 2015 मा phpWHOIS मा, CVE-2015-5243 जोखिम पहिचान गरिएको थियो, जसले WHOIS सर्भर द्वारा फिर्ता गरिएको विशेष ढाँचा गरिएको डेटा पार्स गर्दा आक्रमणकर्ता कोडलाई कार्यान्वयन गर्न अनुमति दिन्छ। अर्को उदाहरण Fail2021Ban प्याकेजमा 2021 मा पहिचान गरिएको भेद्यता CVE-32749-2 हो, जसले ब्लकिङ चेतावनी उत्पन्न गर्ने प्रक्रियामा प्रयोग गरिएको WHOIS सेवा द्वारा गलत डाटा फिर्ता गर्दा बाह्य कोडलाई कार्यान्वयन गर्न अनुमति दिन्छ (Fail2Ban ले होस्ट इमेल प्रशासकलाई निर्धारण गर्यो। WHOIS मार्फत र विशेष क्यारेक्टरहरूको उचित भाग बिना आदेश मेल चलाउँदा निर्दिष्ट गरिएको छ)।

दोस्रो आक्रमण यस तथ्यमा आधारित छ कि केहि प्रमाणीकरण अधिकारीहरूले डोमेन रजिस्ट्रार डाटाबेसमा निर्दिष्ट इमेल मार्फत डोमेन स्वामित्व प्रमाणित गर्ने क्षमता प्रदान गर्दछ, WHOIS प्रोटोकल मार्फत पहुँचयोग्य। यो प्रमाणीकरण विधिलाई समर्थन गर्ने धेरै प्रमाणीकरण अधिकारीहरूले ".MOBI" डोमेन क्षेत्रको लागि पुरानो WHOIS सर्भर प्रयोग गर्न जारी राखेका छन्।

यसरी, whois.dotmobiregistry.net नाममाथि नियन्त्रण प्राप्त गरेपछि, आक्रमणकारीहरूले आफ्नो डेटा पुन: प्राप्त गर्न, प्रमाणीकरण गर्न र प्राप्त गर्न सक्छन् TLS प्रमाणपत्र .MOBI क्षेत्रको कुनै पनि डोमेनको लागि।" उदाहरणका लागि, प्रयोगको क्रममा, अनुसन्धानकर्ताहरूले GlobalSign रजिस्ट्रारबाट microsoft.mobi डोमेनको लागि TLS प्रमाणपत्र अनुरोध गरे, र काल्पनिक WHOIS सेवाद्वारा फिर्ता गरिएको इमेल "whois@watchTowr.com" डोमेन स्वामित्व प्रमाणिकरण कोड पठाउनको लागि उपलब्ध रूपमा इन्टरफेसमा प्रदर्शित भयो।

स्रोत: opennet.ru