對(duì)比攻擊前后DNS信息 揭開百度被黑真相
1月12日早上7點(diǎn)多開始，百度（baidu.com）出現(xiàn)了長(zhǎng)時(shí)間無法訪問故障，網(wǎng)民訪問百度首頁時(shí)發(fā)現(xiàn)，網(wǎng)頁會(huì)被重定向到一個(gè)位于荷蘭的IP地址。上午10點(diǎn)多，百度對(duì)大面積癱瘓事件進(jìn)行了首次回應(yīng)，稱由于www.baidu.com的域名在美國(guó)域名注冊(cè)商處被非法篡改，導(dǎo)致百度不能被正常訪問。這一事件是自百度建立以來，所遭遇的持續(xù)時(shí)間最長(zhǎng)、影響最嚴(yán)重的黑客攻擊。下面我們就來對(duì)比分析百度被黑前后的DNS信息吧。
百度被攻擊前和攻擊后的相關(guān)信息對(duì)比如下：
百度攻擊事件前baidu.com最后修改的時(shí)間是2008年12月3號(hào)，到期日期是2014年8月11號(hào)。
百度攻擊事件后修改的時(shí)間變?yōu)槭?010年的1月12號(hào)。
有關(guān)涉及到域名解析的whois信息在此過程中曾被進(jìn)行多次修改，其中可證實(shí)的包括：
根據(jù)有關(guān)whois信息查詢，百度的域名注冊(cè)服務(wù)商是register.com，是一家頂級(jí)域名注冊(cè)機(jī)構(gòu)。
百度Whois 信息如下：
對(duì)whois.register.com 與www.register.com 的IP獲取如下：
whois.register.com IP: 216.21.239.106
www.register.com IP: 216.21.239.101
兩臺(tái)IP服務(wù)器位于同一個(gè)網(wǎng)段。
通過有關(guān)信息可以對(duì)有關(guān)網(wǎng)絡(luò)傳聞作出如下結(jié)論
1、百度域名到期日為2014年10月14日，可以明確排除百度因域名未續(xù)費(fèi)導(dǎo)致異常的傳聞。
2、百度域名異常期間，可以驗(yàn)證其主站及其他2級(jí)域名可以按照如下IP規(guī)則進(jìn)行訪問并獲得正常搜索結(jié)果。
可以排除百度自身信息系統(tǒng)因遭遇故障導(dǎo)致問題的可能。
3、可以確認(rèn)百度域名訪問異常的核心原因是百度域名服務(wù)商register.com遭到攻擊 ，導(dǎo)致其whois系統(tǒng)向全球DNS體系提供了錯(cuò)誤的域名解析服務(wù)器導(dǎo)致。但攻擊register.com的具體方法尚難推定。初步分析認(rèn)為www.register.com有一定安全隱患，不能排除是攻擊者入侵入口，并進(jìn)一步攻擊了whois.register.com的可能性。盡管whois.register.com采用的是SSL的加密交互方式，但SSL的脆弱性在過去1年內(nèi)已經(jīng)被很多公開資料所披露。有關(guān)攻擊技巧的組合有可能嚴(yán)重威脅傳統(tǒng)的域名注冊(cè)機(jī)構(gòu)、以及代理機(jī)構(gòu)的安全。
總結(jié)
在相關(guān)歷史案例中whois信息更多與非法獲取域名所有權(quán)的有關(guān)糾紛相關(guān)，但以此為入口對(duì)主流互聯(lián)網(wǎng)廠商進(jìn)行域名劫持攻擊并不是十分常見，過去安全業(yè)界更多的關(guān)注根DNS的安全性以及局部的類似DNS緩存感染類的威脅，而對(duì)域名業(yè)務(wù)體系的安全性關(guān)注不夠。而從現(xiàn)有效果來看，這無疑是具有全局威脅、難以響應(yīng)防范的一種攻擊，因?yàn)楣酎c(diǎn)位于域名所有者可以控范圍之外，而由于DNS體系的特點(diǎn)、DNS管理權(quán)利的不均衡、地區(qū)時(shí)間差、缺少理性溝通機(jī)制等諸多因素，都可能導(dǎo)致國(guó)內(nèi)互聯(lián)網(wǎng)站點(diǎn)在自身信息系統(tǒng)完全正常的情況下遭到“滅頂之災(zāi)”，而鞭長(zhǎng)莫及。
從2000年的YAHOO等大型站點(diǎn)遭遇DoS,隨后帶動(dòng)TFN2K等攻擊工具和方法泛濫等案例來看，每一次 “非典型攻擊”都會(huì)成為一個(gè)惡性的示范樣板，有關(guān)事件必然誘使DNS業(yè)務(wù)體系成為未來一階段攻擊的重災(zāi)區(qū)。
【編輯推薦】
