亚洲视频二区_亚洲欧洲日本天天堂在线观看_日韩一区二区在线观看_中文字幕不卡一区

公告：魔扣目錄網為廣大站長提供免費收錄網站服務，提交前請做好本站友鏈：【 網站目錄：http://www.430618.com 】， 免友鏈快審服務（50元/站），

點擊這里在線咨詢客服
新站提交
  • 網站：51998
  • 待審：31
  • 小程序：12
  • 文章：1030137
  • 會員：747

一次成功的子域名劫持

發布時間：2023-07-03 02:09:16 作者：網友整理

公眾號：白帽子左一
專注分享滲透經驗，干貨技巧....

福利領：見者有份｜10余本書+滲透工具包，直接送！

很久之前就看過介紹子域名劫持的文章，可是一直沒有遇到過，直到在最近的一次測試中真正遇到了，下面從什么是域名解析開始，大體梳理一下子域名劫持漏洞的成因、挖掘思路、工具，最后通過一個真實的案例來將整個漏洞做一個梳理。

一.域名解析

域名解析也叫DNS解析，是將域名指向網絡中的IP地址。

訪問網絡中的服務都需要獲取其IP地址才能訪問，但是記住不同的IP地址過于繁瑣，通過使用域名解析，可以使人們不用記住繁瑣的IP地址，而是可以通過一個通俗易懂的域名來訪問相應的網站。

在域名解析中，一個域名只能對應一個IP地址，但是一個IP地址可以對應多個域名。
用于解析域名的協議叫做域名解析協議，也就是DNS協議。

域名解析的過程

1、在瀏覽器中輸入www.ichunqiu.com域名，系統會先檢查自己本地的hosts文件是否有這個網址映射關系，如果有就先調用這個IP地址映射，完成當前域名的解析。


2、如果hosts里沒有這個域名的映射，則查找本地DNS解析器緩存，是否有這個網址映射關系，如果有，直接返回，完成域名解析。


3、如果hosts與本地DNS解析器緩存都沒有相應的網址映射關系，首先會找TCP/IP參數中設置的首選DNS服務器，在此我們叫它本地DNS服務器，此服務器收到查詢時，如果要查詢的域名，包含在本地配置區域資源中，則返回解析結果給客戶機，完成域名解析，此解析具有權威性。


4、如果要查詢的域名，不由本地DNS服務器區域解析，但該服務器已緩存了此網址映射關系，則調用這個IP地址映射，完成域名解析，此解析不具有權威性。


5、如果本地DNS服務器本地區域文件與緩存解析都失效，則根據本地DNS服務器的設置（是否設置轉發器）進行查詢

如果未用轉發模式，本地DNS就把請求發至13臺根DNS，根DNS服務器收到請求后會判斷這個域名(.com)是誰來授權管理，并會返回一個負責該頂級域名服務器的一個IP。

本地DNS服務器收到IP信息后，將會聯系負責.com域的這臺服務器。

這臺負責.com域的服務器收到請求后，如果自己無法解析，它就會找一個管理.com域的下一級DNS服務器地址(ichunqiu.com)給本地DNS服務器。

當本地DNS服務器收到這個地址后，就會找ichunqiu.com域服務器，重復上面的動作，進行查詢，直至找到www.ichunqiu.com主機。


6、如果用的是轉發模式，此DNS服務器就會把請求轉發至上一級DNS服務器，由上一級服務器進行解析，上一級服務器如果不能解析，或找根DNS或把轉請求轉至上上級，以此循環。不管是本地DNS服務器用是是轉發，還是根提示，最后都是把結果返回給本地DNS服務器，由此DNS服務器再返回給客戶機。

CNAME解析

在DNS協議中，存在多種記錄類型，比如最常見的A記錄是把某個主機名解析到服務器的IP；

NS記錄：域名服務器記錄，如果需要把子域名交給其他DNS服務商解析，就需要添加NS記錄；

CNAME記錄：是主機名到主機名的映射，比如你擁有aaa.com和bbb.com,

你想把對aaa.com的訪問指向到bbb.com，就可以通過C記錄，

當訪問aaa.com時，會解析到bbb.com，然后通過A記錄，解析到了bbb.com的IP地址。

二.子域名劫持漏洞成因

子域名劫持的前提就是使用了CNAME解析，一些服務提供商會在提供服務的時候提供一個域名用來訪問相應的服務

例如在Shopify上申請了服務，它給你分配了test.shopify.com作為你的服務的地址

但是你已經有自己的域名了，想讓其他人通過你的域名來訪問自己注冊的服務

那么可以通在自己aaa.com上增加CNAME記錄來實現，

例如添加了一個shop.aaa.com的子域名，類型為CNAME，

類型記錄為test.shopify.com

這時用戶訪問shop.aaa.com會解析到test.shopify.com。
 

如果有一天開通的服務到期了，或者是關閉了服務，而沒有在域名上刪除相應的CNAME記錄

這時攻擊者自己申請一個test.shopify.com的服務域名并且放上自己的內容，那么當用戶訪問shop.aaa.com時，訪問的就是攻擊者的頁面。

對于用戶而言，shop.aaa.com是一個可信的域名，對于這個域名的信任導致攻擊者可以對用戶實施釣魚攻擊。

從另一方面來說，如果網站使用了單點登錄，并且Cookies在整個域中共享，攻擊者可以通過誘導用戶訪問具有子域名劫持的域名來獲取用戶的Cookies。

 

綜合上面來看，形成子域名劫持需要的前提條件是

  • 子域名shop.aaa.com存在CNAME記錄，并且指向另一個域，例如test.shopify.com
  • test.shopify.com過期或者服務關閉，其他用戶可以在服務提供商申請當前域名
  • shop.aaa.com沒有刪除之前的CNAME記錄

 

三.DNS記錄查詢工具

通過上面成因的講解，可以了解到要存在子域名劫持漏洞，首先需要有CNAME記錄。

對于一個已知的子域名，例如shop.aaa.com，可以通過查看該子域名的DNS記錄來判斷是否具有CNAME記錄，這里可以使用的查詢命令有nslookup、host，dig

 

nslookup命令

用來查詢DNS的記錄，查看域名解析情況

可以使用[nslookup 子域名 dns-server]來直接查詢域名的解析情況，例如

一次成功的子域名劫持

 

使用 [nslookup -qt=type 子域名 dns-server] 來查詢特定類型的記錄，例如查詢CNAME記錄

一次成功的子域名劫持

 

上面命令后面的dns-server是使用的DNS服務器，不加的時候是使用默認的DNS服務器，可以自己指定，例如使用8.8.8.8

一次成功的子域名劫持

 

host命令

host 命令是常用的分析域名查詢工具，是一個 DNS 查找實用程序，用于查找域名的 IP 地址。

它還執行反向查找，查找與 IP 地址關聯的域名。
語法格式

host [OPTIONS] {name} [server]

用法

host: illegal option -- h
Usage: host [-aCdilrTvVw] [-c class] [-N ndots] [-t type] [-W time]
            [-R number] [-m flag] [-p port] hostname [server]
       -a is equivalent to -v -t ANY
       -A is like -a but omits RRSIG, NSEC, NSEC3
       -c specifies query class for non-IN data
       -C compares SOA records on authoritative nameservers
       -d is equivalent to -v
       -l lists all hosts in a domain, using AXFR
       -m set memory debugging flag (trace|record|usage)
       -N changes the number of dots allowed before root lookup is done
       -p specifies the port on the server to query
       -r disables recursive processing
       -R specifies number of retries for UDP packets
       -s a SERVFAIL response should stop query
       -t specifies the query type
       -T enables TCP/IP mode
       -U enables UDP mode
       -v enables verbose output
       -V print version number and exit
       -w specifies to wait forever for a reply
       -W specifies how long to wait for a reply
       -4 use IPv4 query transport only
       -6 use IPv6 query transport only

查詢www.baidu.com 的DNS記錄并顯示過程詳細信息

$ host -a www.baidu.com
Trying "www.baidu.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49888
;; flags: qr rd; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.baidu.com.                 IN      ANY

;; ANSWER SECTION:
www.baidu.com.          0       IN      CNAME   www.a.shifen.com.

Received 74 bytes from 172.27.224.1#53 in 20 ms

查詢指定類型的DNS記錄

$ host -t CNAME www.baidu.com
www.baidu.com is an alias for www.a.shifen.com.

dig命令

dig命令是用來查詢單個主機的信息

dig 命令默認的輸出信息比較豐富，大概可以分為 5 個部分。

  1. dig 命令的版本和輸入的參數。
  2. 服務返回的一些技術詳情，比較重要的是 status。如果 status 的值為 NOERROR 則說明本次查詢成功結束。
  3. "QUESTION SECTION" 顯示我們要查詢的域名。
  4. "ANSWER SECTION" 是查詢到的結果。
  5. 本次查詢的一些統計信息，比如用了多長時間，查詢了哪個 DNS 服務器，在什么時間進行的查詢等等。
一次成功的子域名劫持

 


默認情況下dig命令只查詢A記錄，可以在后面添加類型來查詢特定的類型

$ dig www.baidu.com CNAME

; <<>> DiG 9.16.6-Debian <<>> www.baidu.com CNAME
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 53008
;; flags: qr rd ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;www.baidu.com.                 IN      CNAME

;; ANSWER SECTION:
www.baidu.com.          0       IN      CNAME   www.a.shifen.com.

;; Query time: 30 msec
;; SERVER: 172.27.224.1#53(172.27.224.1)
;; WHEN: Sun Jun 13 22:16:34 CST 2021
;; MSG SIZE  rcvd: 74

dig命令可以設置使用特定的DNS服務器來進行查詢

$ dig @8.8.8.8 www.baidu.com

; <<>> DiG 9.16.6-Debian <<>> @8.8.8.8 www.baidu.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 30073
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;www.baidu.com.                 IN      A

;; ANSWER SECTION:
www.baidu.com.          442     IN      CNAME   www.a.shifen.com.
www.a.shifen.com.       39      IN      CNAME   www.wshifen.com.
www.wshifen.com.        39      IN      A       103.235.46.39

;; Query time: 90 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Sun Jun 13 22:19:20 CST 2021
;; MSG SIZE  rcvd: 111

上面介紹的三個命令都是查詢域名信息的很強大的命令，子域名劫持漏洞的挖掘工具很多都是用到了這三個命令。

 

四.子域名劫持挖掘思路

想要發現子域名解析漏洞，首先需要挖掘收集目標的子域名，并且密切關注這些子域名的變化

收集子域名的方式有很多，也有很多優秀的工具可以進行查詢，例如Oneforall、Layer子域名挖掘機、Subdomain3、Sublist3r等

還有一些其他的方法來進行收集，例如在之前的文章中有介紹。

收集完成子域名后，有兩種方式來對這些子域名是否存在子域名劫持漏洞，一種思路是訪問這些域名，根據網頁內容進行判斷。

例如頁面內容如下時，可能存在github子域名劫持

一次成功的子域名劫持

 

對于可能存在子域名劫持的頁面，這里有個項目已經做了整理和收集，can-i-take-over-xyz對許多可能存在子域名劫持的頁面都進行了整理，列出了其指紋以及相關的文章。

另外一個檢測的思路就是檢查域名的DNS記錄，如果存在可疑的記錄，那么就可以通過手工驗證的方法是來檢測漏洞是否存在。

五.漏洞挖掘工具

sub404

Sub 404是一個使用Python編寫的工具，利用異步方式批量檢查子域劫持漏洞。

它會批量查詢目標URL的狀態，通過404頁面的內容來判斷是否具有子域名劫持漏洞，另外，它還會通過獲取CNAME來進行檢測，這個工具使用的前提是安裝了sublist3r 和 subfinder。

如果不想再另外安裝這兩個工具，可以使用Docker來運行sub404。

Docker運行方式

https://github.com/r3curs1v3-pr0xy/sub404.git
cd sub404
docker build -t sub404 .
docker run --rm sub404 -h

選項

描述

例子

-d

目標的域名。

python3 sub404.py -d noobarmy.tech

-f

如果未安裝 subfinder，請提供子域文件的位置以檢查接管。

python3 sub404.py -f subdomain.txt

-p

為請求設置協議。默認值為"http"。

python3 sub404.py -f subdomain.txt -p https 或 python3 sub404.py -d noobarmy.tech -p https

-o

將 sublist3r 和 subfinder 的唯一子域輸出到文本文件。默認為"uniqueURL.txt"

python3 sub404.py -d noobarmy.tech -o output.txt

-h

顯示此幫助信息并退出

python3 sub404.py -h

 
docker run --rm sub404 -d xxxxx.com                                                                #這里使用docker方式運行，并且只測試一個域名的子域名劫持漏洞
一次成功的子域名劫持

 

在運行過程中可能會報一個錯誤，這是sublist3r的報錯，主要是python版本問題導致的。

可以忽略，也可以自己動手改一下，這個工具是很厲害的，檢測速度也非?？?，如果自己已經收集了子域名，可以將子域名放到一個文本文件里，使用-f選項來檢測文件中的子域名。

NtHiM(https://github.com/TheBinitGhimire/NtHiM)

NtHiM同樣可以針對單個目標和批量進行測試

用法

選項

描述

例子

-H

顯示與使用相關的幫助

NtHiM -h

-t

掃描單個目標

NtHiM -t https://example.example.com

-F

從文件掃描目標列表

NtHiM -f 主機名.txt

-C

并發線程數

NtHiM -c 100 -f 主機名.txt

-v

啟用詳細模式

NtHiM -v -f 主機名.txt

-o

將輸出寫入文件

NtHiM -f 主機名.txt -o 輸出.txt

-u

更新簽名緩存

NtHiM -u

-V

顯示版本信息

NtHiM -V

上面僅僅是列舉了兩個我在挖掘子域名劫持漏洞的兩個工具，還有不少其他的漏洞檢測工具具有類似的功能，甚至是可以自己根據經驗編寫一個自動化的驗證工具。

 

六.子域名劫持漏洞實例

聲明:截至文章發出時，該漏洞已提交廠商并且修復完成

在一次滲透測試過程中，獲得了要測試站點的主域名，這里就暫且用xxxxxx.com來表示

首先在資產收集的過程中，就收集了一些子域名

使用了一些比較常見的工具，例如Oneforall、Layer子域名挖掘機，在獲取了大量子域名后想到了之前看過的子域名劫持漏洞

這里就用到了一些工具進行測試，其中就有上面介紹的兩個工具，運行工具測試后發現了一個提示具有漏洞的子域名，這里就叫hacker.xxxxxx.com，然后通過訪問，發現了一個網頁的提示信息如下圖所示

一次成功的子域名劫持

 

通過查看can-i-take-over-xyz中介紹的可能存在子域名劫持的頁面的提示信息

通過這個提示[https://github.com/EdOverflow/can-i-take-over-xyz/issues/46]可以判斷可以對其進行劫持

另外使用dig命令查看hacker.xxxxxx.com的CNAME記錄，可以看到具有myshopify的cname記錄

一次成功的子域名劫持

 


然后嘗試對hacker.xxxxxx.com進行子域名劫持，首先需要注冊一個myshopify的賬號，這個網站提供的服務是收費的，但是首次注冊可以試用幾天。

 

注冊好后創建一個shopify托管域名和頁面，假設這里創建的域名是test.myshopify.com，這個可以自己定義頁面的內容，我就只寫了一點可以驗證的內容，寫好后修改頁面的信息，將其連接到hacker.xxxxxx.com

一次成功的子域名劫持

 


這里就將之前發現具有漏洞的域名寫上，它會驗證是否可以與這個域名連接，驗證的方式就是查詢那個域名是否具有shops.myshopify.com的cname記錄。

一次成功的子域名劫持

 


修改保存后，就完成了對該子域名的劫持，這時去訪問hacker.xxxxxx.com，訪問到的就是自己創建的頁面的內容。

一次成功的子域名劫持

 

七.總結

本文從域名解析的過程和子域名劫持漏洞產生的原因來大概的介紹了一下漏洞原理，

 

后面又通過對一些工具的介紹和挖掘思路的介紹來展示的挖掘該漏洞的方式和方法，最后通過實例，來對一個具有漏洞的子域名的驗證過程做了詳細介紹。

 

子域名劫持的方式還有很多種，有的甚至可以對郵件內容進行劫持，但是由于那樣的接觸的不多，所以沒有做過多的介紹.

參考

https://www.freebuf.com/articles/web/183254.html
https://xz.aliyun.com/t/2414
http://blog.itpub.net/69990085/viewspace-2741950/
https://hackerone.com/reports/416474
https://github.com/EdOverflow/can-i-take-over-xyz
https://help.aliyun.com/document_detail/137913.html

作者：i春秋-W4rnIn9

分享到：
標簽：劫持 域名
用戶無頭像

網友整理

注冊時間：

網站：5 個   小程序：0 個  文章：12 篇

  • 51998

    網站

  • 12

    小程序

  • 1030137

    文章

  • 747

    會員

趕快注冊賬號，推廣您的網站吧！
最新入駐小程序

數獨大挑戰2018-06-03

數獨一種數學游戲，玩家需要根據9

答題星2018-06-03

您可以通過答題星輕松地創建試卷

全階人生考試2018-06-03

各種考試題，題庫，初中，高中，大學四六

運動步數有氧達人2018-06-03

記錄運動步數，積累氧氣值。還可偷

每日養生app2018-06-03

每日養生,天天健康

體育訓練成績評定2018-06-03

通用課目體育訓練成績評定