Badacze z firmy watchTowr Labs opublikowali wyniki eksperymentu dotyczącego przejęcia przestarzałego serwisu WHOIS rejestratora domeny „.MOBI”. Powodem badania było to, że rejestrator zmienił adres serwisu WHOIS, przenosząc go z domeny whois.dotmobiregistry.net na nowy host whois.nic.mobi. W wyniku tego domena dotmobiregistry.net przestała być używana i w grudniu 2023 roku została zwolniona, stając się dostępną do rejestracji.
Badacze wydali 20 dolarów na zakup tej domeny, po czym uruchomili na swoim serwerze własny fikcyjny serwis WHOIS whois.dotmobiregistry.net. Zaskoczeniem było to, że wiele systemów nie przeszło na nowy host whois.nic.mobi i nadal używało starej nazwy. Od 30 sierpnia do 4 września bieżącego roku odnotowano 2,5 miliona zapytań do starej nazwy, wysłanych z ponad 135 tysięcy unikalnych systemów.
Wśród nadawców zapytań znajdowały się e-maile serwery państwowych i wojskowych organizacji, które sprawdzały pojawiające się w e-mailach domeny za pośrednictwem WHOIS, oraz firmy zajmujące się bezpieczeństwem i platformy zapewniania bezpieczeństwa (VirusTotal, Group-IB), a także centra certyfikacji, usługi sprawdzania domen, usługi SEO i rejestratorzy domen (na przykład domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io oraz webchart.org).
Możliwość wysyłania jakichkolwiek danych w odpowiedzi na zapytania do starego serwisu WHOIS dla domeny „.MOBI” została wykorzystana do opracowania kilku rodzajów ataków na nadawców zapytań. Pierwsza opcja ataku opierała się na założeniu, że jeśli ktoś nadal wysyła zapytania do od dawna zastąpionego serwisu, to prawdopodobnie robi to za pomocą przestarzałych narzędzi, zawierających luki.
Na przykład w phpWHOIS w 2015 roku odkryto lukę CVE-2015-5243, która umożliwiała wykonanie kodu atakującego podczas analizy specjalnie sformatowanych danych zwracanych przez serwer WHOIS. Innym przykładem jest luka CVE-2021-32749 w pakiecie Fail2Ban, odkryta w 2021 roku, która umożliwia wykonanie zewnętrznego kodu w przypadku zwrócenia niepoprawnych danych przez serwis WHOIS, używany w procesie generowania ostrzeżenia o blokadzie (Fail2Ban określał przez WHOIS e-mail administratora hosta i wskazywał go przy uruchomieniu polecenia mail bez odpowiedniego escapowania znaków specjalnych).
Druga technika opiera się na tym, że niektóre centrum certyfikacji oferują możliwość weryfikacji posiadania domeny za pośrednictwem e-maila podanego w bazie rejestratora domeny, dostępnej przez protokół WHOIS. Okazało się, że kilka centrów certyfikacji wspierających tę metodę weryfikacji nadal używa starego serwera WHOIS dla strefy domenowej „.MOBI”.
W ten sposób, przejmując kontrolę nad nazwą whois.dotmobiregistry.net, atakujący mogą zwrócić swoje dane, przeprowadzić potwierdzenie i uzyskać TLS certificate dla dowolnej domeny w strefie .MOBI. Na przykład, w trakcie eksperymentu badacze wystąpili do rejestratora GlobalSign o certyfikat TLS dla domeny microsoft.mobi, a zwrócony przez fikcyjny serwis WHOIS e-mail „whois@watchTowr.com” był wyświetlany w interfejsie jako dostępny do wysłania kodu potwierdzającego posiadanie domeny.
Źródło: opennet.ru
