विश्लेषक के हाथों में निष्क्रिय डीएनएस

डोमेन नाम प्रणाली (डीएनएस) एक फोन बुक की तरह है जो आईपी पते में "ussc.ru" जैसे उपयोगकर्ता के अनुकूल नामों का अनुवाद करती है। चूंकि DNS गतिविधि प्रोटोकॉल की परवाह किए बिना लगभग सभी संचार सत्रों में मौजूद है। इस प्रकार, डीएनएस लॉगिंग एक सूचना सुरक्षा विशेषज्ञ के लिए एक मूल्यवान डेटा स्रोत है, जिससे उन्हें विसंगतियों का पता लगाने या अध्ययन के लिए सिस्टम के बारे में अतिरिक्त डेटा प्राप्त करने की अनुमति मिलती है।

2004 में, फ्लोरियन वीमर ने पैसिव DNS के रूप में लॉग इन करने का एक ऐसा तरीका प्रस्तावित किया, जो आपको इंडेक्स और खोज की क्षमता के साथ DNS डेटा परिवर्तनों के इतिहास को पुनर्स्थापित करने की अनुमति देता है, जो निम्न डेटा तक पहुंच प्रदान कर सकता है:

• डोमेन नाम
• अनुरोधित डोमेन नाम का आईपी पता
• उत्तर की तिथि और समय
• प्रतिक्रिया प्रकार
• आदि

निष्क्रिय डीएनएस के लिए डेटा अंतर्निहित मॉड्यूल के साथ पुनरावर्ती डीएनएस सर्वर से एकत्र किया जाता है या ज़ोन के लिए जिम्मेदार डीएनएस सर्वर से प्रतिक्रियाओं को इंटरसेप्ट करता है।

चित्र 1. निष्क्रिय DNS ( Ctovision.com से लिया गया)

पैसिव डीएनएस की ख़ासियत यह है कि क्लाइंट के आईपी पते को पंजीकृत करने की आवश्यकता नहीं है, जो उपयोगकर्ता की गोपनीयता की रक्षा करने में मदद करता है।

फिलहाल, कई सेवाएँ हैं जो पैसिव DNS डेटा तक पहुँच प्रदान करती हैं:

तालिका 1. निष्क्रिय DNS डेटा तक पहुंच के साथ सेवाएँ

निष्क्रिय DNS का उपयोग करने के लिए विकल्प

पैसिव DNS का उपयोग करके, आप डोमेन नाम, एनएस सर्वर और आईपी पते के बीच संबंध बना सकते हैं। यह आपको अध्ययन किए गए सिस्टम के नक्शे बनाने और इस तरह के नक्शे में परिवर्तन का पता लगाने के लिए पहली पहचान से वर्तमान क्षण तक की अनुमति देता है।

पैसिव DNS ट्रैफ़िक विसंगतियों का पता लगाने की सुविधा भी देता है। उदाहरण के लिए, एनएस ज़ोन और ए और एएएए जैसे रिकॉर्ड पर नज़र रखने से आप तेज़ प्रवाह विधि का उपयोग करके दुर्भावनापूर्ण साइटों की पहचान कर सकते हैं, जिसे सी एंड सी को पता लगाने और अवरुद्ध करने से छिपाने के लिए डिज़ाइन किया गया है। चूंकि वैध डोमेन नाम (लोड संतुलन के लिए उपयोग किए जाने वाले अपवादों के साथ) अक्सर उनके आईपी पते को नहीं बदलेंगे, और अधिकांश वैध क्षेत्र शायद ही कभी अपने एनएस सर्वरों को बदलते हैं।

निष्क्रिय DNS, शब्दकोशों द्वारा उप-डोमेन के प्रत्यक्ष गणना के विपरीत, आपको यहां तक ​​कि सबसे अधिक विदेशी डोमेन नाम भी खोजने की अनुमति देता है, उदाहरण के लिए, "222qmxacaiqaaaaazibq4aaidhmbqaaa0undhined7140c0.p.hoff.ru"। इसके अलावा, यह कभी-कभी आपको एक वेबसाइट के परीक्षण (और असुरक्षित) क्षेत्रों, डेवलपर्स के लिए सामग्री आदि खोजने की अनुमति देता है।

निष्क्रिय DNS का उपयोग करके ईमेल से लिंक की जांच करना

फिलहाल, स्पैम एक मुख्य तरीका है जिसके माध्यम से एक हमलावर पीड़ित के कंप्यूटर में प्रवेश करता है या गोपनीय जानकारी चुराता है। आइए इस पद्धति की प्रभावशीलता का मूल्यांकन करने के लिए पैसिव डीएनएस का उपयोग करते हुए इस तरह के पत्र से लिंक की जांच करने का प्रयास करें।

चित्रा 2. स्पैम ईमेल

इस पत्र के लिंक के कारण साइट मैग्नेट- boss.rock बन गई, जिसने स्वचालित रूप से बोनस एकत्र करने और पैसे प्राप्त करने की पेशकश की:

चित्र 3. मैग्नेट-boss.rocks पर होस्ट किया गया पृष्ठ

इस साइट का अध्ययन करने के लिए, रिस्कीक एपीआई का उपयोग किया गया था, जिसमें पहले से ही पायथन , रूबी और रस्ट में 3 तैयार ग्राहक हैं।

सबसे पहले, हम इस डोमेन नाम का पूरा इतिहास जानेंगे, इसके लिए हम कमांड का उपयोग करते हैं:

पीटी-क्लाइंट pdns --query magnit-boss.rocks

यह कमांड इस डोमेन नाम से जुड़े सभी DNS प्रस्तावों के बारे में जानकारी प्रदर्शित करेगा।

चित्रा 4. रिस्किक एपीआई से प्रतिक्रिया

आइए एपीआई से उत्तर को और अधिक दृश्य रूप में लाएं:

चित्रा 5. प्रतिक्रिया से सभी रिकॉर्ड

आगे के शोध के लिए, आईपी पते लिए गए थे, जिस पर इस डोमेन नाम को पत्र की प्राप्ति के समय हल किया गया था 01.08.2019, ऐसे आईपी पते निम्नलिखित पते हैं 92.119.113.112 और 85.143.219.65।

कमांड का उपयोग करना:

पीटी-क्लाइंट pdns --query

आप सभी डोमेन नाम प्राप्त कर सकते हैं जो इन आईपी पते से जुड़े हैं।
IP- पता 92.119.113.112 में 42 अद्वितीय डोमेन नाम हैं, जिन्होंने इस आईपी-पते में हल किया है, जिनमें से ऐसे नाम हैं:

• magnit-boss.club
• igrovie-avtomaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• और अन्य

IP पता 85.143.219.65 में 44 अद्वितीय डोमेन नाम हैं जिन्होंने इस IP पते को हल किया है, जिनमें से ऐसे नाम हैं:

• cvv2.name (क्रेडिट कार्ड डेटा की बिक्री के लिए साइट)
• emaills.world
• www.mailru.space
• और अन्य

इन डोमेन नामों के साथ कनेक्शन फ़िशिंग का सुझाव देते हैं, लेकिन हम अच्छे लोगों पर विश्वास करते हैं, इसलिए हम 332,501.72 रूबल का बोनस प्राप्त करने की कोशिश करेंगे? "YES" बटन पर क्लिक करने के बाद, साइट हमें खाता अनलॉक करने के लिए कार्ड से 300 रूबल ट्रांसफर करने के लिए कहती है और डेटा दर्ज करने के लिए as-torpay.info पर भेजती है।

चित्र 6. Ac-pay2day.net होम पेज

यह एक कानूनी साइट की तरह दिखता है, एक https प्रमाणपत्र है, और मुख्य पृष्ठ इस भुगतान प्रणाली को आपकी साइट से जोड़ने के लिए प्रदान करता है, लेकिन, अफसोस, कनेक्शन के सभी लिंक काम नहीं करते हैं। यह डोमेन नाम केवल 1 आईपी-पता - 190.115.19.74 पर आधारित है। बदले में, इसमें 1475 अद्वितीय डोमेन नाम हैं, जिन्होंने इस आईपी पते को हल किया है, जिसमें इस तरह के नाम शामिल हैं:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• और अन्य

जैसा कि हम देख सकते हैं, पैसिव डीएनएस आपको जांच किए गए संसाधन के बारे में डेटा को जल्दी और कुशलता से इकट्ठा करने की अनुमति देता है और यहां तक ​​कि एक तरह की छाप भी बनाता है जो आपको व्यक्तिगत डेटा की चोरी के लिए इसकी प्राप्ति से लेकर बिक्री के संभावित बिंदु तक पूरी योजना को प्रकट करने की अनुमति देता है।

चित्रा 7. जांच प्रणाली का नक्शा

सब कुछ वैसा ही नहीं है जैसा हम चाहेंगे। उदाहरण के लिए, ऐसी जाँचें CloudFlare या समान सेवाओं पर आसानी से टूट सकती हैं। और डेटाबेस की प्रभावशीलता पैसिव DNS डेटा एकत्र करने के लिए मॉड्यूल से गुजरने वाले DNS प्रश्नों की संख्या पर बहुत निर्भर है। फिर भी, पैसिव DNS शोधकर्ता के लिए अतिरिक्त जानकारी का एक स्रोत है।

लेखक: यूराल सेंटर फॉर सिक्योरिटी सिस्टम के विशेषज्ञ