被遗忘的DNS记录
如何沦为黑产温床？
-
域名使用CNAME记录指向另外一个域名，例如，sub.test_a.com CNAME test_b.com。
-
在某一时间，test_b.com因过期使得任何人都可以注册。
-
由于test_a.com的CNAME记录并没有清除，因此注册test_b.com的人可以完全控制sub.test_a.com。
-
早期，该协会网站曾经部署在IP49.***.***.7上面，并配置了通用的DNS解析记录*.***da.cn指向IP49.***.***.7。
-
其后，该协会把网站迁移到了IP120.***.***.244，但忘记删除历史的DNS解析记录（*.***da.cn指向IP49.***.***.7）。这样就导致除了该协会网站预设的子域名外，其余的子域名都会解析到49.***.***.7这个IP下面。
-
黑产在发现这个问题之后，发现49.***.***.7是某云平台的IP，还没有被占用，于是将该IP注册，并在上面搭建了大量的色情页面。黑产通过各种渠道大肆传播可以解析到49.***.***.7的子域名。这导致该协会域名下资源访问热度和子域名数量出现爆炸性增长。
-
用户浏览黑产通过子域名接管漏洞接管的企业子域名下面的某个页面，这个页面实际上是一个空白页面，只执行特定的JS。
-
这个特定的JS首先会执行平台检测，如果非指定平台，则会重定向到一些知名的大站。如果是在指定平台上访问的话，则执行下一步。
-
特定的JS会向黑产搭建的服务器后台发起请求，获取虚假红包页面。
-
在接收到黑产后台返回的响应内容后，JS会清空当前页面，根据返回的信息重绘当前页面，或者重定向到另外一个页面。
-
用户现在看到的就是虚假红包页面，会根据页面的相关指引进行后续分享、关注某些公众号资源或者在网站上登记相关个人信息。
子域名安全防护“六步法”
-
定期审查子域名与DNS记录。可以使用工具定期扫描所有子域名，建立完整的资产清单。并及时删除不再使用的子域名或更新其DNS记录，避免指向失效的第三方服务。
-
强化DNS配置。通过DNS安全扩展防止DNS劫持，确保解析结果的真实性和完整性。此外也可以应用最小权限言责，避免过度授权。
-
监控与自动化防护。实时监控DNS记录变更，设置告警机制。此外还可以应用对应工具定期检测漏洞。
-
第三方服务管理。验证第三方服务的所有权，即便服务停用，在第三方平台保留占位页面或保留资源所有权。
-
安全策略与培训。为所有的子域名强制HTTPS、HSTS和内容安全策略。并增强管理员和开发人员的风险意识。
-
应急响应。明确安全事件的处置步骤，定期备份DNS区域文件，确保可快速回滚至安全状态。
文件校验不全
政企官网成了黑产“马甲”
-
文件上传接口没有校验上传文件的类型，在这种情况下，本来只应该接收图片格式的文件上传接口，被用户上传了HTML文件。
-
文件上传接口只校验上传文件的后缀，在这种情况下，本来只应该接收图片格式的文件上传接口，被用户上传了HTML文件，但只是后缀改成了PNG。
-
文件上传接口只校验上传文件的文件头，在这种情况下，用户可以只调整文件头和后缀，文件头后的实际内容为HTML内容。
-
用户浏览黑产通过文件上传漏洞上传的引流页面，这个页面实际上是一个空白页面，只执行特定的JS。
-
特定的JS首先执行调试模式检测，如果是调试模式，则终端整个流程。非调试模式，则执行下一步。
-
特定的JS执行平台检测，如果不在指定平台范围内，则会重定向到一些知名的大站。如果是指定平台，则执行下一步。
-
JS向黑产的后台发起请求。
-
黑产后台处理请求，并返回需要重绘的页面，由JS完成页面重绘。
-
用户点击重绘页面中的按钮，再次向黑产后台发起新的请求。
-
黑产后台处理相关的请求，计算得到重定向的目标网站。
-
黑产后台返回重定向的目标网站。
-
用户终端重定向到目标网站。
-
用户继续观看目标网站上的恶意内容，进行分享观看及购买等相关操作。
文件上传漏洞
“四重防护盾”构建
-
文件校验：白名单校验，仅允许特定扩展名，避免黑名单方式，但这种容易被绕过；MIME类型校验，检查Content-Type，防止伪造文件类型；文件内容检查，通过文件头验证真实格式；文件大小限制，如限制在2MB以内。
-
存储安全：随机重命名，生成随机文件名，避免路径预测或覆盖；非Web目录存储，上传文件保存到不可以直接访问的目录；禁用执行权限，通过服务器配置禁止上传目录解析脚本。
-
服务器配置：独立文件服务器，使用单独域名/CDN分发文件，利用同源策略限制攻击；禁用危险函数，如PHP的system、exec等；HTTPS传输，防止上传过程被篡改。
-
监控与审计：病毒扫描，使用工具扫描上传文件；日志记录，记录所有上传操作，方便追踪异常行为；定期检查，审计上传内容和服务器日志。
原文始发于微信公众号（腾讯安全）：上千家政企网站沦为黑产跳板：子域名接管与文件上传漏洞深度分析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论