REG.RU में किसी भेद्यता को किसी भी डोमेन का पंजीकरण डेटा प्राप्त करने की अनुमति कैसे दी जाती है

आज मैं बात करना चाहता हूं कि 2012 में वापस, मुझे REG.RU डोमेन पंजीकरण प्रणाली में एक भेद्यता मिली। बहुत बार मैं ऐसी कहानियां देखता हूं जिनमें लेखक यह कहते हुए कमजोरियों के बारे में बात करते हैं कि कंपनी ने लंबे समय तक पाए गए बग पर पर्याप्त ध्यान नहीं दिया या इसे बिल्कुल ठीक नहीं किया। मेरे मामले में, सब कुछ बिल्कुल विपरीत था, और भेद्यता बहुत जल्दी समाप्त हो गई थी।



सितंबर 2012 में, REG.RU ने ru.com ज़ोन में डोमेन पंजीकृत करना शुरू किया और अपने सभी ग्राहकों को पत्र भेजकर एक नया ज़ोन एक नए ज़ोन में एक डोमेन के लिए मुफ्त में प्राप्त करने के प्रस्ताव के साथ भेजा, जिसमें पहले से ही पंजीकृत ज़ोन आरयू , आरएफ , सु , कॉम , नेट में एक पंजीकृत डोमेन का नाम था।

एक निशुल्क डोमेन प्राप्त करना काफी सरल निकला: आपको पत्र से लिंक का पालन करना था, डोमेन सक्रियण कोड दर्ज करना था, और एक वर्ष के लिए डोमेन मुफ्त में पंजीकृत किया गया था।



एक डोमेन रजिस्टर करने से पहले, सिस्टम ने "मूल" डोमेन के संपर्क विवरण से परिचित होने की पेशकश की, जिसके लिए उपहार डोमेन पंजीकृत किया जाएगा, लेकिन ये डेटा केवल संपादन की संभावना के बिना देखने के लिए खुले थे, इसलिए उनके प्रदर्शन का अर्थ स्पष्ट नहीं था। हालाँकि, यह पहला बग था: एक नए डोमेन का पंजीकरण https://www.reg.ru/domain/new/get_free_ru_com?service_id=XXXX फॉर्म के लिंक के माध्यम से उपलब्ध था, और सेवा आईडी को केवल यह देखकर ही एनरोमेट किया जा सकता था कि यह किसे पंजीकृत किया गया था। एक या अन्य डोमेन।

REG.RU के विशेषज्ञों ने यह सुनिश्चित किया कि सभी संपर्क पूरी तरह से नहीं दिखाए गए हैं, लेकिन प्रत्येक क्षेत्र के केवल पहले 7 अक्षर प्रदर्शित किए गए हैं, जो सैद्धांतिक रूप से डोमेन स्वामी के बारे में पूरी तरह से जानकारी का खुलासा नहीं करना चाहिए, हालांकि, उदाहरण के लिए, मेरा नाम और उपनाम 7 वर्णों से कम लंबा था और वे पूरी तरह से दिखाया। ठीक है, सब कुछ के अलावा, यदि आप नाम के पहले 7 अक्षर दिखाते हैं, तो आप अक्सर अनुमान लगा सकते हैं कि आपको किन पात्रों को जोड़ने की आवश्यकता है, एक सरल उदाहरण "व्लादिमी" है।

यह बग बहुत जल्दी तय हो गया था, और अब सिस्टम ने केवल पहले 4 अक्षर दिखाए, जो कि बहुत बेहतर था, हालांकि "हान सोलो" नाम वाला व्यक्ति बहुत प्रसन्न नहीं होगा।



अगला बग एक सक्रियण कोड दर्ज किए बिना डोमेन को पंजीकृत करने की क्षमता है। सभी डोमेन मालिकों को एक ही बार में मुफ्त डोमेन रजिस्टर करने से रोकने के लिए, REG.RU ने तुरंत नहीं, बल्कि कुछ दिनों के भीतर पत्र भेजने का फैसला किया, इसलिए समान रूप से लोड वितरित किया गया। तकनीकी दृष्टिकोण से, यह कुछ इस तरह था: डोमेन के साथ तालिका में डेटाबेस में, एक नया स्तंभ "प्राधिकरण कोड" एक खाली मान के साथ बनाया गया था, और समय-समय पर उपयोगकर्ताओं को इस क्षेत्र को भरने वाले समान कोड के साथ पत्र भेजे गए थे। एक साधारण खोज https://www.reg.ru/domain/new/get_free_ru_com?service_id=XXXX जैसे लिंक पर जा सकती है, सेवा आईडी को उस मूल्य तक बढ़ा सकती है जब सिस्टम अभी तक ऐसे डोमेन के लिए एक प्राधिकरण कोड जारी करने और डोमेन को रिक्त करने के लिए पंजीकृत करने में कामयाब नहीं हुआ था। कोड।

ऐसे डोमेन को पंजीकृत करने में कुछ भी गलत नहीं था, लेकिन पंजीकरण के बाद छिपे हुए पात्रों के बिना "मूल" डोमेन के मालिक के पूर्ण संपर्क विवरण (नाम, पता और टेलीफोन नंबर) को देखना संभव हो गया। इस बग को ठीक करना मुश्किल नहीं था, बस पंजीकरण के दौरान एक गैर-खाली प्राधिकरण कोड के लिए एक चेक जोड़ना, जिसे REG.RU के विशेषज्ञों ने भी निर्धारित किया।

थोड़ी देर बाद मुझे एक और बग मिला, लेकिन इसे सर्विस आईडी के माध्यम से छांटने की तुलना में थोड़ी अधिक कार्रवाई की आवश्यकता थी। उपहार डोमेन के पंजीकरण की प्रक्रिया को सरल बनाने के लिए, REG.RU ने एक पत्र से एक प्राधिकरण कोड दर्ज किए बिना एक डोमेन पंजीकृत करना संभव बनाया, अगर reg.ru प्रणाली में ई-मेल खाता मूल डोमेन में संपर्क के रूप में निर्दिष्ट ई-मेल पते के साथ मेल खाता हो। यह उपयोगकर्ता के लिए काफी सुविधाजनक था, लेकिन सुरक्षा के मामले में, सब कुछ इतना अच्छा नहीं था।

2012 में, वर्तमान संस्करण में व्यक्तिगत डेटा की सुरक्षा पर कोई कानून नहीं था, और खंड क्षेत्र में कई डोमेन के लिए, आप Whois के माध्यम से संपर्क ई-मेल पता देख सकते थे। इस बग को खोजने के समय, ईमेल पता पहले से ही छिपा हुआ था, लेकिन Whois इतिहास देखने वाली सेवाओं के माध्यम से आप ईमेल को देख सकते हैं और, उच्च संभावना के साथ, यह प्रासंगिक था। उसके बाद, आपको इस ईमेल पते के साथ REG.RU प्रणाली में पंजीकरण करने का प्रयास करना था और उसके बाद, प्राधिकरण कोड के बिना, एक निःशुल्क डोमेन प्राप्त करें, जो मूल डोमेन की संपर्क जानकारी तक पहुंच खोले।

संक्षिप्त होने के लिए, प्रक्रिया इस प्रकार है:

1. हम फॉर्म https://www.reg.ru/domain/new/get_free_ru_com?service_id=XXXX एक पृष्ठ पर जाते हैं और इस आईडी के साथ डोमेन नाम को देखते हैं , उदाहरण के लिए, habr.ru.com ।
2. Whois इतिहास दर्शक सेवा के माध्यम से हम डोमेन habr.ru के लिए ई-मेल पता प्राप्त करते हैं।
3. इस ईमेल पते का उपयोग करके हम REG.RU प्रणाली में एक खाता बनाते हैं (ई-मेल पते के स्वामित्व की पुष्टि तब आवश्यक नहीं थी)।
4. सत्यापन कोड दर्ज किए बिना, हम डोमेन habr.ru.com को पंजीकृत करते हैं और मालिक habr.ru का पूरा संपर्क विवरण देखते हैं।

REG.RU द्वारा बनाई गई त्रुटियां संभावित रूप से डोमेन स्वामियों के व्यक्तिगत डेटा की एक बड़ी मात्रा के रिसाव को जन्म दे सकती हैं, लेकिन सभी बग बहुत जल्दी तय हो गए थे। पहला पत्र लिखने के क्षण से दो दिन से भी कम समय रह गया है (और मैंने इसे व्यक्तिगत रूप से REG.RU के कार्यकारी निदेशक को लिखा था) और सभी कमजोरियों को ठीक करने से पहले, जो कि मेरी राय में, इस आकार की कंपनी के लिए काफी कम समय है और अन्य निगमों में अन्य कमजोरियों को ठीक करने के लिए है।

वर्चुअल सर्वर खोजने के लिए साइट VPS.today पर एक नज़र डालें । 120 होस्टरों से 1400 टैरिफ, एक सुविधाजनक इंटरफ़ेस और सबसे अच्छा वर्चुअल सर्वर खोजने के लिए बड़ी संख्या में मानदंड।