【论文分享】过期域名剩余信任引发的潜在安全风险分析

如果不通过实际的访问或查询，域名“易主”（即使用权发生转移）行为是难以预知的。举例来说，我们每天都要访问搜索引擎，但它们的域名明天还能否正常工作，或者是会不会变成其他的服务呢——我们只有明天再访问一次才能知道。这就产生了对域名的“剩余信任”（residual trust）：“老访客”不知道域名已经易主，以为它还是之前的服务，并因此仍然访问它。

对于一些曾经投入特殊用途的域名来说，这样的“剩余信任”是存在潜在安全风险的。例如，用于软件更新服务的域名，每天都会接收来自成千上万主机的自动更新请求；它们过期后可能会被攻击者重新注册并滥用，如下发植入恶意代码的更新文件等，带来严重的安全隐患。

3）访客的持续性

当过期域名被重新注册后，一个自然的想法是：随着时间的推移，“老访客”会逐渐得知域名已经“易主”，与“剩余信任”相关的安全威胁也会逐渐缓解。然而，蜜罐服务器的访客（以源IP计）数量在长达4个月的时间范围内仅有少量衰减（图表6），因此过期域名的“剩余信任”将会长期存在。

3. 过期域名案例和潜在风险

图表7：部分曾投入特殊用途的过期域名

部分域名曾投入特殊用途（如图表7所示），被攻击者重新注册后可能导致安全风险，典型案例包括：

域名的“剩余信任”在某些情况下可能导致潜在的安全风险。本文从攻击者视角出发，提出了一种简单直接的方法筛选“有攻击价值”的过期域名，并搭建蜜罐服务器对其流量进行长期监听。在统计维度方面，本文发现由“剩余信任”产生的流量规模较大，并不会随时间出现大幅衰减。在域名属性方面，证实攻击者可以实际注册一些投入特殊用途的过期域名，存在潜在的安全威胁。

文章的实验设计细致（例如设计详尽的规则识别bot流量），对照实验和经验型学习完备（例如搭建空白蜜罐服务器、假设验证过程等），这在我们未来的研究过程中是非常值得参考和学习的。

相较而言，文章后半部分对于来访流量的分析维度（规模、端口、稳定性等）较为常规，对于没有搭建服务的端口（被恶意软件感染的机器可能会主动连接这些端口）流量缺乏进一步分析也稍显遗憾。对于“剩余信任”引发的安全问题，以多个案例证实存在“潜在”安全风险，但到实际利用或许仍然存在距离（例如，需要分析恶意软件通信协议才能实现控制）。

原文始发于微信公众号（NISL实验室）：【论文分享】过期域名“剩余信任”引发的潜在安全风险分析