對比攻擊前后DNS信息 揭開百度被黑真相
1月12日早上7點多開始，百度（baidu.com）出現(xiàn)了長時間無法訪問故障，網(wǎng)民訪問百度首頁時發(fā)現(xiàn)，網(wǎng)頁會被重定向到一個位于荷蘭的IP地址。上午10點多，百度對大面積癱瘓事件進行了首次回應(yīng)，稱由于www.baidu.com的域名在美國域名注冊商處被非法篡改，導(dǎo)致百度不能被正常訪問。這一事件是自百度建立以來，所遭遇的持續(xù)時間最長、影響最嚴(yán)重的黑客攻擊。下面我們就來對比分析百度被黑前后的DNS信息吧。
百度被攻擊前和攻擊后的相關(guān)信息對比如下：
百度攻擊事件前baidu.com最后修改的時間是2008年12月3號，到期日期是2014年8月11號。
百度攻擊事件后修改的時間變?yōu)槭?010年的1月12號。
有關(guān)涉及到域名解析的whois信息在此過程中曾被進行多次修改，其中可證實的包括：
根據(jù)有關(guān)whois信息查詢，百度的域名注冊服務(wù)商是register.com，是一家頂級域名注冊機構(gòu)。
百度Whois 信息如下：
對whois.register.com 與www.register.com 的IP獲取如下：
whois.register.com IP: 216.21.239.106
www.register.com IP: 216.21.239.101
兩臺IP服務(wù)器位于同一個網(wǎng)段。
通過有關(guān)信息可以對有關(guān)網(wǎng)絡(luò)傳聞作出如下結(jié)論
1、百度域名到期日為2014年10月14日，可以明確排除百度因域名未續(xù)費導(dǎo)致異常的傳聞。
2、百度域名異常期間，可以驗證其主站及其他2級域名可以按照如下IP規(guī)則進行訪問并獲得正常搜索結(jié)果。
可以排除百度自身信息系統(tǒng)因遭遇故障導(dǎo)致問題的可能。
3、可以確認(rèn)百度域名訪問異常的核心原因是百度域名服務(wù)商register.com遭到攻擊 ，導(dǎo)致其whois系統(tǒng)向全球DNS體系提供了錯誤的域名解析服務(wù)器導(dǎo)致。但攻擊register.com的具體方法尚難推定。初步分析認(rèn)為www.register.com有一定安全隱患，不能排除是攻擊者入侵入口，并進一步攻擊了whois.register.com的可能性。盡管whois.register.com采用的是SSL的加密交互方式，但SSL的脆弱性在過去1年內(nèi)已經(jīng)被很多公開資料所披露。有關(guān)攻擊技巧的組合有可能嚴(yán)重威脅傳統(tǒng)的域名注冊機構(gòu)、以及代理機構(gòu)的安全。
總結(jié)
在相關(guān)歷史案例中whois信息更多與非法獲取域名所有權(quán)的有關(guān)糾紛相關(guān)，但以此為入口對主流互聯(lián)網(wǎng)廠商進行域名劫持攻擊并不是十分常見，過去安全業(yè)界更多的關(guān)注根DNS的安全性以及局部的類似DNS緩存感染類的威脅，而對域名業(yè)務(wù)體系的安全性關(guān)注不夠。而從現(xiàn)有效果來看，這無疑是具有全局威脅、難以響應(yīng)防范的一種攻擊，因為攻擊點位于域名所有者可以控范圍之外，而由于DNS體系的特點、DNS管理權(quán)利的不均衡、地區(qū)時間差、缺少理性溝通機制等諸多因素，都可能導(dǎo)致國內(nèi)互聯(lián)網(wǎng)站點在自身信息系統(tǒng)完全正常的情況下遭到“滅頂之災(zāi)”，而鞭長莫及。
從2000年的YAHOO等大型站點遭遇DoS,隨后帶動TFN2K等攻擊工具和方法泛濫等案例來看，每一次 “非典型攻擊”都會成為一個惡性的示范樣板，有關(guān)事件必然誘使DNS業(yè)務(wù)體系成為未來一階段攻擊的重災(zāi)區(qū)。
【編輯推薦】
