अपने डोमेन पर किसी साइट के अवरोधन के साथ जीथब पेज पर हमला

अधिकांश डेवलपर्स जीथब पेज जानते और पसंद करते हैं। यदि आप उनसे नहीं मिले हैं, तो यह सेवा आपकी रिपॉजिटरी से एक स्थिर साइट बनाना संभव बनाती है, जो smth.imtqy.com डोमेन पर उपलब्ध होगी। यह किसी भी अस्थायी स्टेटिक्स, प्रलेखन, छोटे सरल साइटों और इतने पर के लिए अविश्वसनीय रूप से सुविधाजनक है। किसी प्रकार के अतिरिक्त वेब सर्वर के बारे में सोचने की आवश्यकता नहीं है।

आपके डोमेन को भंडार में बाँधने का अवसर भी है - फिर सब कुछ बहुत सुंदर होगा। यहां तक ​​कि एसएसएल समर्थन भी है।

इस संक्षिप्त परिचय के बाद, हम लेख के वास्तविक विषय की ओर मुड़ते हैं। हाल ही में (9 नवंबर) मुझे एक दिलचस्प कहानी मिली। मैं इसे एक चक्कर में नहीं पढ़ने की सलाह देता हूं, लेकिन समय-समय पर रोक देता हूं और आश्चर्यचकित करता हूं कि इस समय प्राप्त सभी परिचयात्मक नोट क्या हैं। मुझे लगता है कि इससे एक दिलचस्प कसरत सामने आएगी, हालांकि मेरी जासूसी की साजिश बहुत लंबी और मुड़ी हुई नहीं थी।

मैंने अपने फिर से शुरू के पते को अगले प्रोफाइल में जोड़ने का फैसला किया। सारांश सिर्फ गितुब पृष्ठों पर निहित है, क्योंकि क्यों नहीं। आदत से बाहर, उन्होंने यह जांचने के लिए क्लिक किया कि क्या सब कुछ काम कर रहा था ... और अचानक मुझे वहां कुछ अजीब सा लगा:

मुझे बहुत आश्चर्य हुआ। रिपॉजिटरी सेटिंग्स में गए। मैंने देखा कि फिलहाल यह उस डोमेन से बंधा नहीं है जिस पर इसे बांधना चाहिए। मैंने झांकने की कोशिश की। अचानक एक त्रुटि हुई:

CNAME whois.jehy.ru पहले से ही लिया गया है। अधिक जानकारी के लिए https://help.github.com/articles/troublesourcing-custom-domains/#cname-already-taken देखें

वह थोड़ा थक गया और हैरान रह गया। उसके बाद मैं इस अचानक पृष्ठ को करीब से देखने गया। पहले की तरह, मैंने वहां केवल एक निश्चित मानक टेम्पलेट, 2013 से कॉपीराइट और अचानक साइट मानचित्र का लिंक देखा। साइटमैप में वर्तमान तिथि से इसकी पीढ़ी की तारीख होती है, साथ ही एक स्थैतिक googlef3e716e930ae1730 दस्तावेज़ जिसमें एक नाम और सामग्री होती है जो Google सत्यापन विधि (नाम googlef3e716e930ae1730 , googlef3e716e930ae1730 google-site-verification: googlef3e716e930ae1730.html सामग्री google-site-verification: googlef3e716e930ae1730.html ) की बहुत याद दिलाती है। यहाँ मैं पहले से ही जोरदार तनाव में था, भागा, एनएस रिकॉर्ड को अपने सर्वर में बदल दिया, और सोचने लगा कि क्या गलत हुआ है।

भूतल गुग्लिंग ने निम्नलिखित खुलासा किया:

• ऐसा लगता है कि डोमेन अपहरण एक संभावित ज्ञात समस्या है, और यह पहले से ही हल हो गया है - यह CNAME में आपके भंडार का पता दर्ज करने के लिए पर्याप्त है।
• इसके बावजूद, एक गीथब को एक डोमेन (शीर्ष 10 खोजों से शामिल) पर बांधने के कई निर्देशों में, आईपी सीधे या केवल जीथबियो लिखे जाते हैं।

तब मुझे लगा कि शायद मेरा CNAME रिकॉर्ड है। इसलिए मैंने इसे अपने रिपॉजिटरी से जोड़ते हुए इसे सही में बदल दिया। अब प्रविष्टि इस तरह दिखाई देती है:

 dig whois.jehy.ru +nostats +nocomments +nocmd ; <<>> DiG 9.11.3-1ubuntu1.2-Ubuntu <<>> whois.jehy.ru +nostats +nocomments +nocmd ;; global options: +cmd ;whois.jehy.ru. IN A whois.jehy.ru. 6984 IN CNAME jehy.github.io. jehy.github.io. 3384 IN A 185.199.108.153 jehy.github.io. 3384 IN A 185.199.110.153 jehy.github.io. 3384 IN A 185.199.109.153 jehy.github.io. 3384 IN A 185.199.111.153 

और जब मैं फिर से इस अद्भुत "जल्द ही आ रहा है" लैंडिंग देखकर मेरा विस्मय था!

जाँच करने के लिए, मैंने एक और परीक्षण भी किया:

1) एक नया CNAME रिकॉर्ड परीक्षण शुरू किया। Jhy.ru और उसे रयान डाहल की एक प्रोफ़ाइल के लिए संकेत दिया
2) एक परीक्षण भंडार शुरू किया, इसके लिए एक कस्टम डोमेन परीक्षण निर्दिष्ट किया। निर्देशों के अनुसार सब कुछ सही लगता है, और बाध्यकारी को काम नहीं करना चाहिए। लेकिन अफसोस, परिणाम स्पष्ट है ।

इसके बाद, मैंने साइट पर एक विचित्र रूप के माध्यम से गिटब के तकनीकी समर्थन से संपर्क किया। वहाँ उन्होंने मुझे बताया कि यदि मैं अपने आप में एक और एनएस रिकॉर्ड जोड़ लेता हूं तो वे मेरे डोमेन से किसी और के भंडार को खोल सकते हैं। मैंने इसे किया, इसे वापस लिखा, और शुक्रवार से लेकर सोमवार तक मुझे जवाब नहीं मिला। शायद इस रूप में फिर से लिखना आवश्यक था - लेकिन यह पहले से ही मेरी ताकत से अधिक था। इसलिए मैंने अपने स्थिर साइट को अपने सर्वर पर छोड़ दिया।

उस समय मेरे पास तीन विकल्प थे कि क्या हुआ:

1) किसी ने गलती से 2018 में अपनी रिपॉजिटरी में "whois.jehy.ru" पते को नीचे लिखा था, जबकि 2013 से "जल्द ही आ रहा है" के साथ एक लैंडिंग पृष्ठ बिछा रहा था, जहां किसी कारण से अधिकारों की जांच के लिए एक Google HTML निहित है। खैर, शायद ही।
2) कुछ पागल बग हुआ। इसकी भी संभावना नहीं है। उन्होंने दूसरे टेस्ट साइट पर दोहराया।
3) CNAME- आधारित फ़ोकस या तो कभी काम नहीं किया, या यह टूट गया, और हमलावर इसका उपयोग हमले के लिए करते हैं। अब तक, यह मुझे सबसे अधिक संभावना वाला विकल्प लग रहा था।

तब मुझे याद आया कि डोमेन बाइंडिंग के मामले में, जीथब खुद ही आपकी रिपॉजिटरी में CNAME नामक फाइल बनाता है। और वह खोज रहा था कि मेरे डोमेन को किसने जोड़ा है। और - बिंगो!

एक हमलावर को एक खोज में पाया गया था:

यहाँ मेरा डोमेन है:

और यहाँ दूसरों का एक समूह है:

जैसा कि आप देख सकते हैं, यह एक दुर्घटना नहीं थी। किसी ने डोमेन की एक सभ्य राशि चुरा ली है - दूसरे स्तर सहित! और उसने अपनी सामग्री पर पूर्ण नियंत्रण प्राप्त कर लिया, जिसमें Google को इन डोमेन के मालिक होने के अधिकारों की पुष्टि करना शामिल है!

वैसे, आप यह भी जोड़ सकते हैं कि कभी-कभी एक हैकर न केवल साइट की सामग्री को प्रतिस्थापित करता है, बल्कि मूल रिपॉजिटरी को कांटा करता है, जिसके बाद यह वहां सत्यापन फ़ाइलों को जोड़ता है। और इसलिए यह कम से कम एक महीने के लिए मजेदार रहा है (मैंने पाया कि 6 अक्टूबर से अपमानित किया गया)। खैर, अनुयायी वहां समान हैं।

इसके अलावा, इस तरह के हमले के बारे में मेरी धारणाएं हैं, और इसकी आवश्यकता क्यों है।

1) सबसे पहले, हैकर उन साइटों को ढूंढता है जो imtqy.com पर हल करते हैं। यह करना बहुत आसान है।
2) अगला, यह उन्हें फ़िल्टर करता है, केवल उन लोगों को छोड़कर जो एक त्रुटि लौटाते हैं (ऐसा लगता है कि वहां सिर्फ 404 हैं)। ऐसे कई मामले हो सकते हैं जहां रिपॉजिटरी बंधी हुई नहीं थीं - किसी ने रिपॉजिटरी को कॉन्फ़िगर नहीं किया था, किसी ने इसे डिलीट कर दिया था, किसी को बाइंडिंग सेटिंग मिल गई थी (मुझे ऐसा लगता है कि जब मैंने github पेज के लिए ब्रांच बदल दी तो ऐसा हुआ)।
3) तब हैकर बस अपनी जरूरत की सामग्री के साथ एक नया भंडार बनाता है और उसे "मुक्त" डोमेन पर बांध देता है। देखा!
4) फिर सब कुछ हैकर की कल्पना पर ही निर्भर करता है। डोरवेज, लिंक रखना, डेटा को इंटरसेप्ट करना, Google के माध्यम से Google Apps प्रबंधन तक पहुंच बनाना ... बहुत सारे विकल्प हैं।

हाथ पर बाइंडिंग के दुर्भावनापूर्ण उपयोग के सभी सबूतों के साथ मैंने आगे क्या किया:

• समर्थन के साथ पत्राचार में वर्णित ।@gubub.com सभी विवरण;
• एक बार फिर उन्हें संपर्क फ़ॉर्म में फिर से लिखा;
• Hackerone.com पर एक टिकट जोड़ा। मुझे कहना होगा कि यह बताता है कि githubpages.io इनाम कार्यक्रम में शामिल नहीं है, लेकिन कोई अन्य विकल्प नहीं थे। इसलिए, मुझे इस चेतावनी को अनदेखा करना पड़ा, और यहां तक ​​कि रोबोट को भी, जिन्होंने धीरे-धीरे मुझे इस रिपोर्ट को उन्हीं कारणों से न भेजने की सलाह दी।

आज तक, उन्होंने आज तक संपर्क फ़ॉर्म का जवाब नहीं दिया है, लेकिन दो दिन बाद उन्होंने मुझे हैकरोन पर जवाब दिया। संक्षेप में, जवाब था कि यह सेवा की एक ज्ञात विशेषता है, यह एक भेद्यता नहीं है, और स्पैम टीम ऐसी चीजों में लगी हुई है। रिपोर्ट को "सूचनात्मक" के रूप में बंद कर दिया गया था, इसलिए मैं हर चीज के बारे में लिखता हूं जो स्पष्ट विवेक के साथ हुआ। उन्होंने मुझे यह भी बताया कि मेरे द्वारा बताए गए खाते पर प्रतिबंध लगा दिया गया था। मैंने चेक किया- हाँ, वो नहीं है। उनके अनुयायी कुछ दिनों बाद गायब हो गए (यह स्पष्ट नहीं है कि अभी क्यों नहीं)।

कोई इस पर समाप्त हो सकता है और कह सकता है कि सब कुछ क्रम में है ... लेकिन वास्तव में, मैं इस स्थिति से बेहद शर्मिंदा हूं:

• महीनों में ये खाते क्यों नहीं हैं? समान सामग्री है, हर जगह Google सत्यापन फ़ाइलें हैं, एक खाते पर बहुत सारी ऐसी साइटें हैं ... सामान्य संकेत - एक गाड़ी और एक छोटी गाड़ी।
• स्पैम टीम ने संबंधित रिपॉजिटरी की जाँच क्यों नहीं की?
• किसी डोमेन को बाइंड करने के निर्देशों में आपको सुरक्षा का भ्रम क्यों दिखाई देता है, यह सुझाव देते हुए कि आपने CNAME में अपनी रिपॉजिटरी का नाम सेट कर दिया है, यदि इससे कुछ भी प्रभावित नहीं होता है?
• कोई चेतावनी तंत्र क्यों नहीं है जो कहेगा कि एक डोमेन जो पहले आपके खाते से जुड़ा था, अब दूसरे से जुड़ा हुआ है?
• गीथब में समर्थन से ईमेल का जवाब देना असंभव क्यों है? या शायद मैं किसी तरह के फिल्टर के नीचे गिर गया?

लेकिन मुख्य प्रश्न जो मुझे परेशान करता है कि जीथब उन डोमेन के एनएस रिकॉर्ड की जांच क्यों नहीं करता है जो कि जीआईटीबी पेज पर सूचीबद्ध हैं उनमें CNAME विशिष्ट रिपॉजिटरी की उपस्थिति के लिए सूचीबद्ध हैं? यह सबसे सरल ऑपरेशन है जो एक डोमेन को बांधते समय किया जा सकता है, और इसमें समय नहीं लगता है ... इसके अलावा, निर्देश यह एहसास दिलाते हैं कि ऐसा करने का इरादा था ...। तो यह चेक क्यों टूटा?

सामान्य तौर पर, मैं इस पोस्ट को इस उम्मीद के साथ लिखता हूं कि किसी न किसी रूप में यह गीथूब तक पहुंच जाएगा, और लोग कार्रवाई करेंगे। सवाल के आगे "क्यों इसके बारे में बात करते हैं, हर कोई अब इसे करने के लिए चढ़ जाएगा" - मैं जवाब दूंगा कि छेद पहले से ही अच्छी तरह से जाना जाता है और सक्रिय रूप से शोषण किया जाता है। और इसलिए अब स्पष्ट रूप से "परित्यक्त" डोमेन लगातार स्कैन किए जा रहे हैं, इसलिए कई नए प्रतिभागी तस्वीर को नहीं बदलेंगे।

आमतौर पर मैं ऐसा नहीं करता, लेकिन यह बहुत अच्छा होगा यदि आप इस लेख के अनुवाद को थपथपाएँ, जिसे मैंने माध्यम पर रखा है। हां, मुझे पता है कि हब्र अब बहुभाषी है, लेकिन हर समय मैंने अंग्रेजी में डेढ़ पोस्ट देखे हैं, और मुझे नहीं लगता कि कोई भी उन पर ध्यान दे सकता है। और माध्यम पर, अक्सर अच्छे तकनीकी पद होते हैं। तो यह बहुत अच्छा होगा अगर आप इस छेद पर ध्यान देने में मदद करेंगे। अगर कुछ भी - मुझे इसके लिए कोई पैसा नहीं मिलेगा, कोई यूएस कार्ड नहीं है, ब्याज विशुद्ध रूप से परोपकारी है।

आप आखिर में और क्या सोच सकते हैं? संभवतः जब आप थर्ड-पार्टी कैपेसिटी पर कुछ रखते हैं तो यह हमेशा याद रखने योग्य है। बेशक, इंटरनेट पर कुछ भी व्यक्तिगत नहीं है, और सब कुछ तृतीय-पक्ष है - "आपके" डोमेन रजिस्ट्रार के हैं, "आपके" सर्वर Google, अमेज़ॅन या किसी और के हैं ... यह नहीं कहा जा सकता है कि गीथब किसी भी "स्वयं" सर्वर से कम विश्वसनीय नहीं है ... लेकिन "आपका" सर्वर किसी तरह शरीर के करीब है और अधिक पूर्वानुमान है। सामान्य तौर पर, आपको हमेशा अपने संसाधनों, उनके महत्व, संभावित अवरोधों के बारे में याद रखना चाहिए, जब वे अवरोधन करते हैं, और यह कि तीसरे पक्ष की सेवाओं में काम की बहुत ही विशिष्ट विशिष्टता हो सकती है।

तस्वीर के लिए पीएस धन्यवाद कैविन और लेख को अंग्रेजी में अनुवाद करने के लिए pndpnd ।