优惠论坛

标题: 网址劫持说明 [打印本页]
作者: zayoxo    时间: 2012-10-21 17:58
标题: 网址劫持说明
本帖最后由 zayoxo 于 2012-10-21 18:01 编辑 1 k7 l, x4 y0 n- ?8 W- ]
; E) |; r' i7 t) N: p3 ]
      简单来说，域名劫持就是把原本准备访问某网站的用户，在不知不觉中，劫持到仿冒的网站上，例如用户准备访问某家知名品牌的网上商店，黑客就可以通过域名劫持的手段，把其带到假的网上商店，同时收集用户的ID信息和密码等。　
6 b0 P  @& d3 j$ `# l
& h, A# H7 o" G. ~7 L
9 Y1 n! D) F/ Z+ K8 C8 J6 k+ k　　这种犯罪一般是通过DNS服务器的缓存投毒（cache poisoning）或域名劫持来实现的。最近几个月里，黑客已经向人们展示了这种攻击方式的危害。今年3月，SANS Institute发现一次将1,300个著名品牌域名改变方向的缓存投毒攻击，这些品牌包括ABC、American Express, Citi和Verizon Wireless等；1月份，Panix的域名被一名澳大利亚黑客所劫持；4月，Hushmail的主域名服务器的IP地址被修改为连接到一家黑客粗制滥造的网站上。6 r# \; I  A9 |' p0 V$ ~  L
- s" P- s9 h& S$ ^9 u- p+ [
  U* V, F& q0 ]: E% z! ?) s- K" ]
　　跟踪域名劫持事件的统计数据目前还没有。不过，反网页欺诈工作组(APWG)认为，这一问题已经相当严重，该工作组已经把域名劫持归到近期工作的重点任务之中。* b/ w/ W' a7 u9 Z- m% x6 k

& o6 s; S9 w# ]7 }& {8 R. G/ @; B6 Q+ Z0 J
　　专家们说，缓存投毒和域名劫持问题早已经引起了相关机构的重视，而且，随着在线品牌的不断增多，营业额的不断增大，这一问题也更加突出，人们有理由担心，骗子不久将利用这种黑客技术欺骗大量用户，从而获取珍贵的个人信息，引起在线市场的混乱。
+ U7 A  C* V: l  F5 P5 v  G
+ e! ?9 o5 }2 z' I5 v" t& D9 E; J' N6 \0 B
　　虽然，域名劫持在技术上和组织上解决起来十分复杂。但是在目前情况下，我们还是可以采取一些措施，来保护企业的DNS服务器和域名不被域名骗子所操纵。
$ R+ e% ^$ Y2 }) r2 |/ P1 p+ n/ J& K( ]$ f9 Z
" f( X' [% I. t7 v9 b2 D

8 T* X( I! f1 M% E破解困境
' _, E3 ~5 l) N* R' \/ a% V; X7 O! s; ?" G2 E$ q5 v
' f" s* e* W' k0 H' f) u+ q) d; u. ]
　　DNS安全问题的根源在于Berkeley Internet Domain (BIND)。BIND充斥着过去5年广泛报道的各种安全问题。VeriSign公司首席安全官Ken Silva说，如果您使用基于BIND的DNS服务器，那么请按照DNS管理的最佳惯例去做。7 y$ I: C" F% S: T4 |3 w) \

7 |/ \( X2 s* b0 y; b2 C4 Q; ^5 N. f
6 E$ x! F* u) c　　SANS首席研究官Johannes认为：“目前的DNS存在一些根本的问题，最主要的一点措施就是坚持不懈地修补DNS服务器，使它保持最新状态。”
  l9 z8 J# g1 m" c1 ~! e4 P  _  y# {8 x8 _, D
5 `% ^! U0 y  ]5 A

/ G1 [1 O9 j( k$ }0 `4 ^　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。' X0 m, k$ `( f" G- ~3 J: b

$ k! G2 K3 {1 Z/ E/ }2 P3 d7 i0 D9 D5 R  p+ S$ N$ _  e
　　不管您使用哪种DNS，请遵循以下最佳惯例：4 ?# z* l2 P( D, |" ?4 T; @* ^
7 \) H) f& C" p4 B6 K% z- S& B

6 S: u0 }9 ~! y* X　　1．在不同的网络上运行分离的域名服务器来取得冗余性。& L  x' Z1 Z# V' E$ n

+ S' T- e6 }9 S5 H. k  ?. h+ U3 A8 \  g! U9 H# c/ X; t6 V; x
　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。0 L4 U$ }! S5 n

/ v2 h5 K/ x' V# u. l5 Q: H( Y% P$ |, ~/ x+ Z$ b4 Z2 p
　　3． 可能时，限制动态DNS更新。, @, ~% a6 Q# c1 q' ~, L
: ^  V' I5 S* C
3 j/ M% E( g; f
　　4． 将区域传送仅限制在授权的设备上。. N3 G0 G* L( f. Y9 Q2 A# \

' Z3 m; \, u+ h3 t" F' e) R) U4 w8 ?4 m( o4 D, ?: d( ?
　　5． 利用事务签名对区域传送和区域更新进行数字签名。
% R. [2 ~, e, Y, K" k5 c: V! d3 r% w' H. S( g. X" a
2 w# U$ m# I/ o7 R- k; K
　　6． 隐藏运行在服务器上的BIND版本。3 P5 w3 {) S4 }; q4 L4 h
; K3 `; O/ X1 X+ ]2 A5 {2 X

; e' A3 ~4 `! A4 C8 K　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。
6 j, J3 s5 A0 x9 m9 Q3 z% o* \+ L/ W% _8 h4 @7 Z
3 g: V% a' w9 [( }
　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。$ {. g; \4 v6 `# q) o3 @

2 W, A% k- |8 }4 F) _& p% O0 C. |( |. A
　　让注册商承担责任
3 u9 _9 j& @% b, `
6 m2 B0 }% h+ B* d" b　　域名劫持的问题从组织上着手解决也是重要的一环。不久前，有黑客诈骗客户服务代表修改了Hushmail的主域名服务器的IP地址。对于此时，Hushmail公司的CTO Brian Smith一直忿忿不已，黑客那么容易就欺骗了其域名注册商的客户服务代表，这的确令人恼火。' L# v3 N/ i# n& Y1 h' y

/ B) I: d" \  s$ K: ~) _$ f( |* O" c' L# y# d  l. N2 w4 z' ?
　　Smith说：“这件事对于我们来说真正糟透了。我希望看到注册商制定和公布更好的安全政策。但是，我找不出一家注册商这样做，自这件事发生后，我一直在寻找这样的注册商。”3 H/ g/ J1 {) i5 Z$ y0 I
9 T! D3 g3 E& r; U0 _. o

% }8 k4 T1 {' m& B# ?8 K. T, Z! v! y　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。% m) y5 h* q* ~. L, s# m3 U; F
9 }8 W6 f. F: }! C& \
$ j3 R* R2 z! d. v/ y7 U
　　不管您使用哪种DNS，请遵循以下最佳惯例：
! R; m) p( [0 G& Z  S, s: Y3 R8 O% Y$ m2 C1 `, ]# y* ~

  `6 o& W, n' e9 R　　1．在不同的网络上运行分离的域名服务器来取得冗余性。
* y: l0 p6 T/ a4 ^
2 x  w+ k1 w+ W+ A
' `. }" G) P: h2 J　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。4 D! L. Q+ c8 [; b5 D; W' g
* [; G. }5 T$ `1 ]( s8 q4 K) a
: \  F  d3 I+ o  _/ u* k

& c3 U" X& r& g" V) h9 |4 ?3 A) l# q% ?) n; G- s
　　3． 可能时，限制动态DNS更新。
5 A" }& k+ x4 L0 z3 z  D$ D6 u( N; I# i' Z- O2 g, C% p

7 s5 C6 k) Q' s1 t$ |+ A: O　　4． 将区域传送仅限制在授权的设备上。
5 {; p$ j/ i# H( A+ ?
& a9 v0 H( N. A( B7 F5 g4 B- |$ d9 i$ F4 [$ q& M- d; d
　　5． 利用事务签名对区域传送和区域更新进行数字签名。
6 i: Y: s8 g8 f  g& A& r  f
- Y; ]! T5 k0 K! P  d: {" }- @$ K* ~
5 f7 b6 e% u( j　　6． 隐藏运行在服务器上的BIND版本。
9 n& Z7 k0 |  S2 I' f5 ^; X1 {1 h* n, D0 G  m
: t8 ~- v: F( P, L  L4 D
　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。1 z2 N- u) f, x
6 L4 f7 |/ ?* s* f, P  x

$ O1 i* a9 `& p: P  k　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。
作者: 飞天猫    时间: 2012-10-21 17:59
谢谢分享啊。好
作者: bet    时间: 2012-10-21 18:14
天朝的垃圾宽带商那个没有做这种事？
作者: cwj88    时间: 2012-10-21 18:15
感谢楼主的分享
作者: 三月里的小雨    时间: 2012-10-21 18:16
顶一下咯！！！！！！！！！
作者: hyy01311990    时间: 2012-10-21 18:16
谢谢分享，长知识了
作者: lol    时间: 2012-10-21 18:18
感谢楼主的分享,扫盲了。
作者: 村长    时间: 2012-10-21 18:20
多谢楼主给我们普及一下知识
作者: w8814060    时间: 2012-10-21 18:23
终于懂了一点了。。
作者: saab    时间: 2012-10-21 18:34
感谢普及知识
作者: 提款机    时间: 2012-10-21 19:28
多谢楼主给我们普及一下知识
作者: dwer777    时间: 2012-10-21 19:40
感谢楼主分享   又学习到新知识了
作者: 刘得桦    时间: 2012-10-21 19:43
太深奥了。。。
作者: mm3252    时间: 2012-10-21 20:06
略懂就好，深入也没啥意思
作者: shaogui2008    时间: 2012-10-21 20:37
懂了一点点啊
作者: 36391318    时间: 2012-10-21 20:44
谢谢楼主分享了
作者: xiaobingchuma    时间: 2012-10-21 20:55
谢谢楼主的分享
作者: 第一帅围脖    时间: 2012-10-21 20:57
谢谢楼主的教学！
作者: 幸运博彩者123    时间: 2012-10-21 21:41
感谢楼主的分享
作者: 情迷    时间: 2012-10-21 21:42
黑客太TMD可恶了
作者: datuanshan    时间: 2012-10-21 23:27
很详细，楼主对网络很精通！
作者: jiangguo    时间: 2012-10-21 23:38
真心感谢楼主无私分享.
作者: luorunfa88    时间: 2012-10-21 23:41
感谢楼主，很详细0...
作者: 我爱台妹    时间: 2012-10-21 23:46
楼主的提点，让我们了解到整个事件！谢谢！
作者: 卷心菜    时间: 2012-10-21 23:52
谢谢分享  :lol
作者: 上帝也菠菜    时间: 2012-10-22 01:10
卤煮想表达什么。
作者: 妞妞    时间: 2012-10-22 02:37
感谢分享^^呵呵～没看完～好多！！
作者: 慢步云端    时间: 2012-10-22 02:53
提示: 作者被禁止或删除 内容自动屏蔽
作者: 鬼拉拉    时间: 2012-10-22 03:31
大概懂了些，谢谢楼主分享了！
作者: wu1968    时间: 2012-10-22 03:52
感谢楼主的分享
作者: 414995670ya    时间: 2012-10-22 04:11
谢谢楼主的分享，楼主知道得很多啊~·
作者: 飞虎神鹰    时间: 2012-10-22 04:52
楼主懂得好多啊！！！厉害哦！
作者: livingtoom922    时间: 2012-10-22 05:40
看看也好，必须知道的
作者: vvvvvv    时间: 2012-10-22 07:24
太深奥了啊，不是专业人士
作者: acer    时间: 2012-10-22 08:23
这个好专业的样子
作者: Terrance    时间: 2012-10-22 08:46
电信都会劫持用户！
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: yongchen    时间: 2012-10-22 10:02
学习了，谢谢了
作者: rich383838    时间: 2012-10-22 10:04
DNS安全问题。。。。。。。。。。。。
作者: 慢步云端    时间: 2012-10-22 10:20
提示: 作者被禁止或删除 内容自动屏蔽
作者: 青年近卫军    时间: 2012-10-22 10:32
天朝的东西要谨慎
作者: l3065807    时间: 2012-10-22 10:34
长知识了这个好
作者: 大脚丫    时间: 2012-10-22 10:35
感谢楼主的分享。
作者: lz452686613    时间: 2012-10-22 10:36
虽然看不懂还是谢谢
作者: yucunjuner    时间: 2012-10-22 11:03
处处都有风险，小人骗子犯罪分子无处不在，哎。



欢迎光临 优惠论坛 (https://tcelue.cc/) Powered by Discuz! X3.1