优惠论坛

标题: 网址劫持说明 [打印本页]
作者: zayoxo    时间: 2012-10-21 17:58
标题: 网址劫持说明
本帖最后由 zayoxo 于 2012-10-21 18:01 编辑
2 E) d5 n7 k% K1 H. R6 K  [: F, `8 j" E! l: M: m
      简单来说，域名劫持就是把原本准备访问某网站的用户，在不知不觉中，劫持到仿冒的网站上，例如用户准备访问某家知名品牌的网上商店，黑客就可以通过域名劫持的手段，把其带到假的网上商店，同时收集用户的ID信息和密码等。　
# V0 x! N1 g% b- R5 C
: `" r$ B/ ]& t, S% Q5 T) p8 ^4 |& S2 V" Y/ C6 Y
　　这种犯罪一般是通过DNS服务器的缓存投毒（cache poisoning）或域名劫持来实现的。最近几个月里，黑客已经向人们展示了这种攻击方式的危害。今年3月，SANS Institute发现一次将1,300个著名品牌域名改变方向的缓存投毒攻击，这些品牌包括ABC、American Express, Citi和Verizon Wireless等；1月份，Panix的域名被一名澳大利亚黑客所劫持；4月，Hushmail的主域名服务器的IP地址被修改为连接到一家黑客粗制滥造的网站上。( |4 |- S% r. R9 J4 m$ n
7 f8 E" }6 k* V9 _+ x; y4 a, x
% H( U1 F  `7 r% _7 V1 |) ?
　　跟踪域名劫持事件的统计数据目前还没有。不过，反网页欺诈工作组(APWG)认为，这一问题已经相当严重，该工作组已经把域名劫持归到近期工作的重点任务之中。, X0 e. r: [( |: i. A

. x- i: ~  j- ?1 l! D! o# v4 c1 M" V9 @; s7 A
　　专家们说，缓存投毒和域名劫持问题早已经引起了相关机构的重视，而且，随着在线品牌的不断增多，营业额的不断增大，这一问题也更加突出，人们有理由担心，骗子不久将利用这种黑客技术欺骗大量用户，从而获取珍贵的个人信息，引起在线市场的混乱。$ s5 u% Y. @: Q3 x

9 j  D3 H: L- X1 T$ u9 G1 B0 @) P2 Y, e& T- C. {
　　虽然，域名劫持在技术上和组织上解决起来十分复杂。但是在目前情况下，我们还是可以采取一些措施，来保护企业的DNS服务器和域名不被域名骗子所操纵。
& X8 l7 s& h0 D2 N& Z+ Y. w: a6 R/ a- O- C* N. A
# p  L0 p3 U& [' G. \% c+ }) o

$ K" G6 }8 O9 `3 ^破解困境
7 c' b- r8 ^  _( d8 G7 J. n2 p' @# T

& q( \3 L1 R  g+ C% |' f5 C　　DNS安全问题的根源在于Berkeley Internet Domain (BIND)。BIND充斥着过去5年广泛报道的各种安全问题。VeriSign公司首席安全官Ken Silva说，如果您使用基于BIND的DNS服务器，那么请按照DNS管理的最佳惯例去做。! e; F# U6 e1 L# c4 r4 M+ s
7 s! {+ q$ A3 \$ c$ x7 c+ G- C
* f( \: B% l$ {- F; ?2 T
　　SANS首席研究官Johannes认为：“目前的DNS存在一些根本的问题，最主要的一点措施就是坚持不懈地修补DNS服务器，使它保持最新状态。”# q+ M( W  U+ o  n. h5 \
6 X7 U$ E/ q3 {8 ]( }
6 j5 f# G: t! h7 b7 k8 x

' P9 o7 u% `- O, c* a) P6 Z　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。8 p, {: [6 U4 }" [  Y4 Z
- h( n0 T0 [" g) {% u

$ Q  @! F% f$ t2 V2 T9 k　　不管您使用哪种DNS，请遵循以下最佳惯例：- p8 W/ m- P0 v9 Y
$ @1 G) u* n0 s

1 \' m1 x( F$ R! L  K( j# W　　1．在不同的网络上运行分离的域名服务器来取得冗余性。
4 F) e2 O; f# s% f" w, n' z! K7 H
, E( s  _; g. {) W: E3 {0 U
　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。) V3 G( o% P& g3 |
' }+ z6 _6 F6 v, c

: j. Q# L4 i. R/ @" g　　3． 可能时，限制动态DNS更新。' E6 y+ a" p# i; ~" W, \; ?
+ ]& `  F$ d7 }9 H

& w3 f! K6 X+ z3 f6 W! C. }$ a* m. B　　4． 将区域传送仅限制在授权的设备上。* F0 }+ X( U# f  e% f% J  H

6 y+ K( x9 Z' Y" b& c% v9 O
6 f  n- w, v' l; T$ T! e8 P　　5． 利用事务签名对区域传送和区域更新进行数字签名。5 U; F, F. R8 H

0 {0 D- W" U0 v9 Q5 R& h" |
- p+ c* B6 k# \3 L* }" [5 |' @4 t　　6． 隐藏运行在服务器上的BIND版本。- F9 Y( H4 I4 u5 K' s
1 D& |6 L: z  e/ A. u

* {1 q- y) n/ f5 D: E　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。! r: G# V; P/ V2 M7 U
  `. @( x( P$ w5 o/ K

  X$ S/ C- Q4 p$ ^1 n* [7 ~　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。. h! f% g( O. `" G- P" G4 v

& V9 v1 K# a9 @4 x7 Y6 Q; y( N5 w  {4 Z$ G) D$ r) j
　　让注册商承担责任7 Y! Z. j% D+ p( s

  H- C) N" b! W1 U4 f　　域名劫持的问题从组织上着手解决也是重要的一环。不久前，有黑客诈骗客户服务代表修改了Hushmail的主域名服务器的IP地址。对于此时，Hushmail公司的CTO Brian Smith一直忿忿不已，黑客那么容易就欺骗了其域名注册商的客户服务代表，这的确令人恼火。
, n# c" M$ }+ ]3 |
- ]0 [* ]/ r: B8 f. f% O$ p8 V& p: Z: K' t
　　Smith说：“这件事对于我们来说真正糟透了。我希望看到注册商制定和公布更好的安全政策。但是，我找不出一家注册商这样做，自这件事发生后，我一直在寻找这样的注册商。”& H8 n$ B0 a; B6 N7 Y( V$ q
/ w; g( g+ U* H, S

- i) x, h- j; X4 n! H, l　　Nominum公司首席科学家、DNS协议原作者Paul Mockapetris说，升级到BIND 9.2.5或实现DNSSec，将消除缓存投毒的风险。不过，如果没有来自BlueCat Networks、Cisco、F5 Networks、Lucent和Nortel等厂商的DNS管理设备中提供的接口，完成这类迁移非常困难和耗费时间。一些公司，如Hushmail，选择了用开放源代码TinyDNS代替BIND。替代DNS的软件选择包括来自Microsoft、PowerDNS、JH Software以及其他厂商的产品。
# k9 j3 X  D8 a, C4 ?5 @- [0 y# I0 j) Y9 Q3 f0 G2 ~: T" ]

2 L' z8 l5 j/ Y- p8 t8 O/ n2 o　　不管您使用哪种DNS，请遵循以下最佳惯例：$ G6 u2 @: [% ?( b: k, y2 @

$ K4 |- A/ |  B: {5 y
9 f0 f) C$ Y' @& X% ?( G0 K: v　　1．在不同的网络上运行分离的域名服务器来取得冗余性。
) X/ m- Y$ C* D) r: B
. s2 E  f& s# a8 T( i' C/ b6 i$ \3 p* ]. c) S: c1 D1 a# i) J/ O
　　2．将外部和内部域名服务器分开（物理上分开或运行BIND Views）并使用转发器（forwarders）。外部域名服务器应当接受来自几乎任何地址的查询，但是转发器则不接受。它们应当被配置为只接受来自内部地址的查询。关闭外部域名服务器上的递归功能（从根服务器开始向下定位DNS记录的过程）。这可以限制哪些DNS服务器与Internet联系。% O( ^* t1 P1 o& F! A

1 h- b0 u+ U$ ~6 W/ `2 J9 x2 A, c* W
/ F+ f( Y4 O) Z! P

( c' B/ d0 X3 F1 H　　3． 可能时，限制动态DNS更新。) Y  M! {$ L/ |9 E, E8 |4 R

) [/ {* f7 b; E* ^
2 f& _9 m9 }. [6 j: P6 y5 ?9 i　　4． 将区域传送仅限制在授权的设备上。
3 b' d) k& {' I6 i' P' e+ p. K8 b! e( D, Q9 P
  ?& z) A7 T- M) ?
　　5． 利用事务签名对区域传送和区域更新进行数字签名。
" Q  v6 \# _- b6 g) }* b
0 p6 P+ t% \2 \) s$ a4 l# {
+ E' F0 o& D# c# p2 K; M" z　　6． 隐藏运行在服务器上的BIND版本。
6 O# {6 u+ N# V" w; J9 ~
% Q1 w) h, h8 q4 t# Q
) m: B- m( U% ?5 m! t0 p# O. }　　7． 删除运行在DNS服务器上的不必要服务，如FTP、telnet和HTTP。0 l+ u& L; Q# v( C& z

: T5 U4 `# F# t+ a7 {1 y5 U
* T8 E/ i8 g3 k4 X- \% e* `　　8． 在网络外围和DNS服务器上使用防火墙服务。将访问限制在那些DNS功能需要的端口/服务上。
作者: 飞天猫    时间: 2012-10-21 17:59
谢谢分享啊。好
作者: bet    时间: 2012-10-21 18:14
天朝的垃圾宽带商那个没有做这种事？
作者: cwj88    时间: 2012-10-21 18:15
感谢楼主的分享
作者: 三月里的小雨    时间: 2012-10-21 18:16
顶一下咯！！！！！！！！！
作者: hyy01311990    时间: 2012-10-21 18:16
谢谢分享，长知识了
作者: lol    时间: 2012-10-21 18:18
感谢楼主的分享,扫盲了。
作者: 村长    时间: 2012-10-21 18:20
多谢楼主给我们普及一下知识
作者: w8814060    时间: 2012-10-21 18:23
终于懂了一点了。。
作者: saab    时间: 2012-10-21 18:34
感谢普及知识
作者: 提款机    时间: 2012-10-21 19:28
多谢楼主给我们普及一下知识
作者: dwer777    时间: 2012-10-21 19:40
感谢楼主分享   又学习到新知识了
作者: 刘得桦    时间: 2012-10-21 19:43
太深奥了。。。
作者: mm3252    时间: 2012-10-21 20:06
略懂就好，深入也没啥意思
作者: shaogui2008    时间: 2012-10-21 20:37
懂了一点点啊
作者: 36391318    时间: 2012-10-21 20:44
谢谢楼主分享了
作者: xiaobingchuma    时间: 2012-10-21 20:55
谢谢楼主的分享
作者: 第一帅围脖    时间: 2012-10-21 20:57
谢谢楼主的教学！
作者: 幸运博彩者123    时间: 2012-10-21 21:41
感谢楼主的分享
作者: 情迷    时间: 2012-10-21 21:42
黑客太TMD可恶了
作者: datuanshan    时间: 2012-10-21 23:27
很详细，楼主对网络很精通！
作者: jiangguo    时间: 2012-10-21 23:38
真心感谢楼主无私分享.
作者: luorunfa88    时间: 2012-10-21 23:41
感谢楼主，很详细0...
作者: 我爱台妹    时间: 2012-10-21 23:46
楼主的提点，让我们了解到整个事件！谢谢！
作者: 卷心菜    时间: 2012-10-21 23:52
谢谢分享  :lol
作者: 上帝也菠菜    时间: 2012-10-22 01:10
卤煮想表达什么。
作者: 妞妞    时间: 2012-10-22 02:37
感谢分享^^呵呵～没看完～好多！！
作者: 慢步云端    时间: 2012-10-22 02:53
提示: 作者被禁止或删除 内容自动屏蔽
作者: 鬼拉拉    时间: 2012-10-22 03:31
大概懂了些，谢谢楼主分享了！
作者: wu1968    时间: 2012-10-22 03:52
感谢楼主的分享
作者: 414995670ya    时间: 2012-10-22 04:11
谢谢楼主的分享，楼主知道得很多啊~·
作者: 飞虎神鹰    时间: 2012-10-22 04:52
楼主懂得好多啊！！！厉害哦！
作者: livingtoom922    时间: 2012-10-22 05:40
看看也好，必须知道的
作者: vvvvvv    时间: 2012-10-22 07:24
太深奥了啊，不是专业人士
作者: acer    时间: 2012-10-22 08:23
这个好专业的样子
作者: Terrance    时间: 2012-10-22 08:46
电信都会劫持用户！
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: xsq888    时间: 2012-10-22 09:35
谢谢分享啊。好
作者: yongchen    时间: 2012-10-22 10:02
学习了，谢谢了
作者: rich383838    时间: 2012-10-22 10:04
DNS安全问题。。。。。。。。。。。。
作者: 慢步云端    时间: 2012-10-22 10:20
提示: 作者被禁止或删除 内容自动屏蔽
作者: 青年近卫军    时间: 2012-10-22 10:32
天朝的东西要谨慎
作者: l3065807    时间: 2012-10-22 10:34
长知识了这个好
作者: 大脚丫    时间: 2012-10-22 10:35
感谢楼主的分享。
作者: lz452686613    时间: 2012-10-22 10:36
虽然看不懂还是谢谢
作者: yucunjuner    时间: 2012-10-22 11:03
处处都有风险，小人骗子犯罪分子无处不在，哎。



欢迎光临 优惠论坛 (https://tcelue.tv/) Powered by Discuz! X3.1