优惠论坛

标题: 网址劫持说明 [打印本页]
作者: zayoxo    时间: 2012-10-21 17:58
标题: 网址劫持说明
本帖最后由 zayoxo 于 2012-10-21 18:01 编辑
! z4 B! H1 K) v% b
3 }. `" j  W  F3 F! i      简单来说，域名劫持就是把原本准备访问某网站的用户，在不知不觉中，劫持到仿冒的网站上，例如用户准备访问某家知名品牌的网上商店，黑客就可以通过域名劫持的手段，把其带到假的网上商店，同时收集用户的ID信息和密码等。　: I$ r0 ?6 L  ?4 @! @: p- r8 r
4 e) ~* }) _" I

$ c; n# }1 D, P$ V5 C5 i6 T　　这种犯罪一般是通过DNS服务器的缓存投毒（cache poisoning）或域名劫持来实现的。最近几个月里，黑客已经向人们展示了这种攻击方式的危害。今年3月，SANS Institute发现一次将1,300个著名品牌域名改变方向的缓存投毒攻击，这些品牌包括ABC、American Express, Citi和Verizon Wireless等；1月份，Panix的域名被一名澳大利亚黑客所劫持；4月，Hushmail的主域名服务器的IP地址被修改为连接到一家黑客粗制滥造的网站上。9 O3 }$ c. p3 X5 a) V! R

6 t/ t. X6 Q3 N" n9 G  n, Y6 Y6 {+ V. n/ I
　　跟踪域名劫持事件的统计数据目前还没有。不过，反网页欺诈工作组(APWG)认为，这一问题已经相当严重，该工作组已经把域名劫持归到近期工作的重点任务之中。, ~  g/ ]. j0 ?9 ]% D& I

: U% k8 {* E% Q+ |' l2 W. I1 @! L. @* S) g  ?4 R: O
　　专家们说，缓存投毒和域名劫持问题早已经引起了相关机构的重视，而且，随着在线品牌的不断增多，营业额的不断增大，这一问题也更加突出，人们有理由担心，骗子不久将利用这种黑客技术欺骗大量用户，从而获取珍贵的个人信息，引起在线市场的混乱。
4 W) l: D0 R# d# a; S2 Z  `7 j& @" Z) N8 S8 [* V

4 ?# o; ^# S) w5 E- z　　虽然，域名劫持在技术上和组织上解决起来十分复杂。但是在目前情况下，我们还是可以采取一些措施，来保护企业的DNS服务器和域名不被域名骗子所操纵。
( ]5 M- ]2 w% |* M* C# o  u
# j. [" _# ~) T! [, q& {- A: h# K/ O. P# i& i

3 N7 G1 E7 V( d/ M8 p" `, Y4 D破解困境
9 g. p& J, V8 H3 E; f" e3 z( P
0 X) C& J1 b& t8 o$ @3 q& ?/ o
/ g& A/ n5 _- j  Z; M　　DNS安全问题的根源在于Berkeley Internet Domain (BIND)。BIND充斥着过去5年广泛报道的各种安全问题。VeriSign公司首席安全官Ken Silva说，如果您使用基于BIND的DNS服务器，那么请按照DNS管理的最佳惯例去做。
& H( N" N* Y4 Y) K0 E. e9 g. w; E8 d# K. v" m
" \  ^! S( ^! o0 W, g
　　SANS首席研究官Johannes认为：“目前的DNS存在一些根本的问题，最主要的一点措施就是坚持不懈地修补DNS服务器，使它保持最新状态。”9 y0 K: l8 Z# r( U, |" C

7 T1 K/ S+ `, D' p
1 `$ {' v2 k7 R& w5 k& `# y3 `7 ]5 \! k* ^9 d2 E; Z
　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。
8 `- \4 a, \" r+ q4 B( T' ]; k. q0 R- u! w3 Q$ R5 V1 _; ?- X

/ V1 d; c# @7 P" i, o& J: z　　不管您使用哪种DNS，请遵循以下最佳惯例：% |- \% v9 i( n
! }: G0 q. v5 T, B& ]* c
# M3 ]8 D/ ]" T* A. ]
　　1．在不同的网络上运行分离的域名服务器来取得冗余性。
5 g$ C7 u( ^, s# i! k% n2 c. q- E( W+ e7 B& |/ `+ r
0 I0 u4 b8 b6 m) S/ h# F
　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。
% ?- c; Z6 k! i5 g4 Q
3 ]8 Y0 D7 n0 \: x$ K) \) j! ^. S
　　3． 可能时，限制动态DNS更新。
9 \, _5 r3 `# f7 W) O8 h0 `& ^# M  K6 V1 t+ l
, {* e% C& H8 S$ x' I: w
　　4． 将区域传送仅限制在授权的设备上。! g  [$ k$ g4 u# _7 `
5 Q6 d- [$ X1 K0 Z7 U" y& B; J

9 \' D2 e- w6 d& V　　5． 利用事务签名对区域传送和区域更新进行数字签名。% H$ t" K0 Y1 v
; g8 N$ A: U7 o/ i& u
+ V: P" r! ]/ H, o: f- B& U& V
　　6． 隐藏运行在服务器上的BIND版本。
& Q9 F% t( i5 D' z
% m* W: z% l, [' l! |& @2 e
# ^& \" P# O0 W3 G0 J0 i9 y　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。, t: b4 |* B& r$ L2 [+ r
# b/ y/ ^0 e( U

( F; ]8 l2 Y- W' S3 m  k8 W　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。7 v* t2 X+ a! K* o! g% U
$ G5 o7 s" V! y

, @' _! R; ]! S　　让注册商承担责任
# Z8 @0 \4 K/ `9 u' H9 }' l
/ ^$ ^$ m0 I; s9 i6 b　　域名劫持的问题从组织上着手解决也是重要的一环。不久前，有黑客诈骗客户服务代表修改了Hushmail的主域名服务器的IP地址。对于此时，Hushmail公司的CTO Brian Smith一直忿忿不已，黑客那么容易就欺骗了其域名注册商的客户服务代表，这的确令人恼火。- A: p0 s2 x4 E! P* Z' Q
5 C  `9 l. V0 b; {( Z2 F# s
" V9 F" p# a1 O5 w7 r3 Q  ^* g
　　Smith说：“这件事对于我们来说真正糟透了。我希望看到注册商制定和公布更好的安全政策。但是，我找不出一家注册商这样做，自这件事发生后，我一直在寻找这样的注册商。”& Q2 M3 `+ F6 _. D) r) C3 t

- r9 z" O6 i" K" _! O- G$ b5 u- F) Q' }) Q& z# T/ J8 `$ U1 e7 _
　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。8 }5 X0 x( p' D. ?5 l' ~

6 c8 X* K! W; v9 e9 e1 T* s* ?7 v7 Z
　　不管您使用哪种DNS，请遵循以下最佳惯例：
% M' o) f/ h* o
6 w" S7 ^# S. J" ^" f/ S% b, H0 ?3 |( U
　　1．在不同的网络上运行分离的域名服务器来取得冗余性。: d: y; R# t) E; v4 {0 W

+ ^5 D9 n  M0 Q+ ]# K" q& Y/ v6 _, H3 G7 V
　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。
  m: v- v& P0 t) @- b/ c, f" H: U' ]0 e) L) R

9 z! V3 p* ^; {2 Y% _; _/ D/ D% ]3 q5 h9 O3 s

8 L5 j/ `! t. V　　3． 可能时，限制动态DNS更新。
  e  ?2 B( Q% H6 J3 X3 H5 C5 U& I7 a6 f1 n) Z" f
, x7 n2 ]  ~0 ^, R# ?  H! b# S
　　4． 将区域传送仅限制在授权的设备上。+ m  z' N/ z) C  Q
; P* e# v7 d+ n' }

( ?9 I* @! ~( c! r/ u) H& E　　5． 利用事务签名对区域传送和区域更新进行数字签名。. Q# `3 l% i( s
) m# Z9 s; N0 x+ E

# K8 ^$ r) M( U6 ?# J& X& R　　6． 隐藏运行在服务器上的BIND版本。
" t, _' K) V5 n* H7 ^9 h( a) r* ^0 ~9 \6 m! ]: T1 O9 ^7 z
% ]: n2 w$ {4 e0 k
　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。
) J( Y/ _9 @8 k3 b& w5 ^3 v
. N5 }; K0 ?# L3 @( a" k
- g' H( e0 a/ c+ V! x8 E　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。
作者: 飞天猫    时间: 2012-10-21 17:59
谢谢分享啊。好
作者: bet    时间: 2012-10-21 18:14
天朝的垃圾宽带商那个没有做这种事？
作者: cwj88    时间: 2012-10-21 18:15
感谢楼主的分享
作者: 三月里的小雨    时间: 2012-10-21 18:16
顶一下咯！！！！！！！！！
作者: hyy01311990    时间: 2012-10-21 18:16
谢谢分享，长知识了
作者: lol    时间: 2012-10-21 18:18
感谢楼主的分享,扫盲了。
作者: 村长    时间: 2012-10-21 18:20
多谢楼主给我们普及一下知识
作者: w8814060    时间: 2012-10-21 18:23
终于懂了一点了。。
作者: saab    时间: 2012-10-21 18:34
感谢普及知识
作者: 提款机    时间: 2012-10-21 19:28
多谢楼主给我们普及一下知识
作者: dwer777    时间: 2012-10-21 19:40
感谢楼主分享   又学习到新知识了
作者: 刘得桦    时间: 2012-10-21 19:43
太深奥了。。。
作者: mm3252    时间: 2012-10-21 20:06
略懂就好，深入也没啥意思
作者: shaogui2008    时间: 2012-10-21 20:37
懂了一点点啊
作者: 36391318    时间: 2012-10-21 20:44
谢谢楼主分享了
作者: xiaobingchuma    时间: 2012-10-21 20:55
谢谢楼主的分享
作者: 第一帅围脖    时间: 2012-10-21 20:57
谢谢楼主的教学！
作者: 幸运博彩者123    时间: 2012-10-21 21:41
感谢楼主的分享
作者: 情迷    时间: 2012-10-21 21:42
黑客太TMD可恶了
作者: datuanshan    时间: 2012-10-21 23:27
很详细，楼主对网络很精通！
作者: jiangguo    时间: 2012-10-21 23:38
真心感谢楼主无私分享.
作者: luorunfa88    时间: 2012-10-21 23:41
感谢楼主，很详细0...
作者: 我爱台妹    时间: 2012-10-21 23:46
楼主的提点，让我们了解到整个事件！谢谢！
作者: 卷心菜    时间: 2012-10-21 23:52
谢谢分享  :lol
作者: 上帝也菠菜    时间: 2012-10-22 01:10
卤煮想表达什么。
作者: 妞妞    时间: 2012-10-22 02:37
感谢分享^^呵呵～没看完～好多！！
作者: 慢步云端    时间: 2012-10-22 02:53
提示: 作者被禁止或删除 内容自动屏蔽
作者: 鬼拉拉    时间: 2012-10-22 03:31
大概懂了些，谢谢楼主分享了！
作者: wu1968    时间: 2012-10-22 03:52
感谢楼主的分享
作者: 414995670ya    时间: 2012-10-22 04:11
谢谢楼主的分享，楼主知道得很多啊~·
作者: 飞虎神鹰    时间: 2012-10-22 04:52
楼主懂得好多啊！！！厉害哦！
作者: livingtoom922    时间: 2012-10-22 05:40
看看也好，必须知道的
作者: vvvvvv    时间: 2012-10-22 07:24
太深奥了啊，不是专业人士
作者: acer    时间: 2012-10-22 08:23
这个好专业的样子
作者: Terrance    时间: 2012-10-22 08:46
电信都会劫持用户！
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: yongchen    时间: 2012-10-22 10:02
学习了，谢谢了
作者: rich383838    时间: 2012-10-22 10:04
DNS安全问题。。。。。。。。。。。。
作者: 慢步云端    时间: 2012-10-22 10:20
提示: 作者被禁止或删除 内容自动屏蔽
作者: 青年近卫军    时间: 2012-10-22 10:32
天朝的东西要谨慎
作者: l3065807    时间: 2012-10-22 10:34
长知识了这个好
作者: 大脚丫    时间: 2012-10-22 10:35
感谢楼主的分享。
作者: lz452686613    时间: 2012-10-22 10:36
虽然看不懂还是谢谢
作者: yucunjuner    时间: 2012-10-22 11:03
处处都有风险，小人骗子犯罪分子无处不在，哎。



欢迎光临 优惠论坛 (https://tcelue.tv/) Powered by Discuz! X3.1