WHOIS ਸੇਵਾ ਦੇ ਨਾਲ ਮਿਆਦ ਪੁੱਗਣ ਵਾਲੇ ਡੋਮੇਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵਿਦੇਸ਼ੀ ਮੋਬੀ ਡੋਮੇਨਾਂ ਲਈ TLS ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼

watchTowr ਲੈਬਜ਼ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ .MOBI ਡੋਮੇਨ ਰਜਿਸਟਰਾਰ ਦੀ ਪੁਰਾਣੀ WHOIS ਸੇਵਾ ਨੂੰ ਹਾਈਜੈਕ ਕਰਨ ਵਾਲੇ ਇੱਕ ਪ੍ਰਯੋਗ ਦੇ ਨਤੀਜੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਹਨ। ਇਹ ਅਧਿਐਨ ਰਜਿਸਟਰਾਰ ਦੁਆਰਾ WHOIS ਪਤੇ ਵਿੱਚ ਤਬਦੀਲੀ, ਇਸਨੂੰ whois.dotmobiregistry.net ਤੋਂ ਇੱਕ ਨਵੇਂ ਹੋਸਟ, whois.nic.mobi ਵਿੱਚ ਤਬਦੀਲ ਕਰਨ ਦੁਆਰਾ ਪ੍ਰੇਰਿਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸ ਦੌਰਾਨ, dotmobiregistry.net ਡੋਮੇਨ ਨੂੰ ਦਸੰਬਰ 2023 ਵਿੱਚ ਬੰਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ ਅਤੇ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨਾਲ ਇਹ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਲਈ ਉਪਲਬਧ ਹੋ ਗਿਆ ਸੀ।

ਖੋਜਕਰਤਾਵਾਂ ਨੇ 20 ਡਾਲਰ ਖਰਚ ਕੀਤੇ ਅਤੇ ਇਸ ਡੋਮੇਨ ਨੂੰ ਖਰੀਦਿਆ, ਫਿਰ ਆਪਣੇ ਸਰਵਰ 'ਤੇ ਆਪਣੀ ਨਕਲੀ WHOIS ਸੇਵਾ, whois.dotmobiregistry.net, ਲਾਂਚ ਕੀਤੀ। ਹੈਰਾਨੀ ਦੀ ਗੱਲ ਹੈ ਕਿ ਬਹੁਤ ਸਾਰੇ ਸਿਸਟਮ ਨਵੇਂ ਹੋਸਟ, whois.nic.mobi 'ਤੇ ਨਹੀਂ ਗਏ, ਪਰ ਪੁਰਾਣੇ ਨਾਮ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਰਹੇ। ਇਸ ਸਾਲ 30 ਅਗਸਤ ਤੋਂ 4 ਸਤੰਬਰ ਤੱਕ, ਪੁਰਾਣੇ ਨਾਮ ਲਈ 2.5 ਮਿਲੀਅਨ ਪੁੱਛਗਿੱਛਾਂ ਰਿਕਾਰਡ ਕੀਤੀਆਂ ਗਈਆਂ, ਜੋ 135 ਤੋਂ ਵੱਧ ਵਿਲੱਖਣ ਸਿਸਟਮਾਂ ਤੋਂ ਭੇਜੀਆਂ ਗਈਆਂ।

ਬੇਨਤੀਆਂ ਭੇਜਣ ਵਾਲਿਆਂ ਵਿੱਚ ਡਾਕ ਸਨ ਸਰਵਰ ਸਰਕਾਰੀ ਅਤੇ ਫੌਜੀ ਸੰਗਠਨ ਜਿਨ੍ਹਾਂ ਨੇ WHOIS, ਸੁਰੱਖਿਆ ਕੰਪਨੀਆਂ ਅਤੇ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮਾਂ (VirusTotal, Group-IB), ਦੇ ਨਾਲ-ਨਾਲ ਪ੍ਰਮਾਣੀਕਰਣ ਅਧਿਕਾਰੀਆਂ, ਡੋਮੇਨ ਤਸਦੀਕ ਸੇਵਾਵਾਂ, SEO ਸੇਵਾਵਾਂ, ਅਤੇ ਡੋਮੇਨ ਰਜਿਸਟਰਾਰਾਂ (ਜਿਵੇਂ ਕਿ, domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io, ਅਤੇ webchart.org) ਰਾਹੀਂ ਈਮੇਲਾਂ ਵਿੱਚ ਦਿਖਾਈ ਦੇਣ ਵਾਲੇ ਡੋਮੇਨਾਂ ਦੀ ਜਾਂਚ ਕੀਤੀ।

".MOBI" ਡੋਮੇਨ ਜ਼ੋਨ ਲਈ ਪੁਰਾਣੀ WHOIS ਸੇਵਾ ਨੂੰ ਬੇਨਤੀ ਦੇ ਜਵਾਬ ਵਿੱਚ ਕੋਈ ਵੀ ਡੇਟਾ ਭੇਜਣ ਦੀ ਯੋਗਤਾ ਦਾ ਉਪਯੋਗ ਬੇਨਤੀਕਰਤਾਵਾਂ ਦੇ ਵਿਰੁੱਧ ਕਈ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲੇ ਵਿਕਸਤ ਕਰਨ ਲਈ ਕੀਤਾ ਗਿਆ ਸੀ। ਪਹਿਲਾ ਹਮਲਾ ਇਸ ਧਾਰਨਾ 'ਤੇ ਅਧਾਰਤ ਸੀ ਕਿ ਜੇਕਰ ਕੋਈ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਬੰਦ ਸੇਵਾ ਦੀ ਬੇਨਤੀ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ, ਤਾਂ ਉਹ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰੀਆਂ ਵਾਲੇ ਪੁਰਾਣੇ ਸਾਧਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਅਜਿਹਾ ਕਰ ਰਹੇ ਹਨ।

ਉਦਾਹਰਨ ਲਈ, 2015 ਵਿੱਚ, phpWHOIS ਵਿੱਚ ਕਮਜ਼ੋਰੀ CVE-2015-5243 ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ, ਜੋ WHOIS ਸਰਵਰ ਦੁਆਰਾ ਵਾਪਸ ਕੀਤੇ ਗਏ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਡੇਟਾ ਨੂੰ ਪਾਰਸ ਕਰਨ ਵੇਲੇ ਹਮਲਾਵਰ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਇੱਕ ਹੋਰ ਉਦਾਹਰਣ ਕਮਜ਼ੋਰੀ CVE-2021-32749 ਹੈ, ਜੋ 2021 ਵਿੱਚ Fail2Ban ਪੈਕੇਜ ਵਿੱਚ ਖੋਜੀ ਗਈ ਸੀ, ਜੋ ਕਿ ਬਾਹਰੀ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜਦੋਂ ਖਰਾਬ ਡੇਟਾ WHOIS ਸੇਵਾ ਦੁਆਰਾ ਵਾਪਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਬਲਾਕਿੰਗ ਚੇਤਾਵਨੀ ਪੈਦਾ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ (Fail2Ban ਨੇ WHOIS ਦੁਆਰਾ ਹੋਸਟ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਈਮੇਲ ਪਤੇ ਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅੱਖਰਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਬਚਾਏ ਬਿਨਾਂ ਮੇਲ ਕਮਾਂਡ ਚਲਾਉਂਦੇ ਸਮੇਂ ਇਸਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤਾ)।

ਦੂਜਾ ਹਮਲਾ ਕੁਝ CAs 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਜੋ ਡੋਮੇਨ ਰਜਿਸਟਰਾਰ ਦੇ ਡੇਟਾਬੇਸ ਵਿੱਚ ਸੂਚੀਬੱਧ ਈਮੇਲ ਪਤੇ ਰਾਹੀਂ ਡੋਮੇਨ ਮਾਲਕੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦੇ ਹਨ, ਜੋ WHOIS ਪ੍ਰੋਟੋਕੋਲ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਹੈ। ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ ਕਿ ਇਸ ਤਸਦੀਕ ਵਿਧੀ ਦਾ ਸਮਰਥਨ ਕਰਨ ਵਾਲੇ ਕਈ CAs ".MOBI" ਡੋਮੇਨ ਐਕਸਟੈਂਸ਼ਨ ਲਈ ਪੁਰਾਣੇ WHOIS ਸਰਵਰ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦੇ ਹਨ।

ਇਸ ਤਰ੍ਹਾਂ, whois.dotmobiregistry.net ਨਾਮ 'ਤੇ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਹਮਲਾਵਰ ਆਪਣਾ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ, ਤਸਦੀਕ ਕਰ ਸਕਦੇ ਹਨ, ਅਤੇ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ TLS ਸਰਟੀਫਿਕੇਟ .MOBI ਜ਼ੋਨ ਵਿੱਚ ਕਿਸੇ ਵੀ ਡੋਮੇਨ ਲਈ।" ਉਦਾਹਰਨ ਲਈ, ਪ੍ਰਯੋਗ ਦੌਰਾਨ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ GlobalSign ਰਜਿਸਟਰਾਰ ਤੋਂ microsoft.mobi ਡੋਮੇਨ ਲਈ ਇੱਕ TLS ਸਰਟੀਫਿਕੇਟ ਦੀ ਬੇਨਤੀ ਕੀਤੀ, ਅਤੇ ਫਰਜ਼ੀ WHOIS ਸੇਵਾ ਦੁਆਰਾ ਵਾਪਸ ਕੀਤੀ ਗਈ ਈਮੇਲ "whois@watchTowr.com" ਇੰਟਰਫੇਸ ਵਿੱਚ ਇੱਕ ਡੋਮੇਨ ਮਾਲਕੀ ਤਸਦੀਕ ਕੋਡ ਭੇਜਣ ਲਈ ਉਪਲਬਧ ਵਜੋਂ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਗਈ ਸੀ।

ਸਰੋਤ: opennet.ru