حمله تصاحب زیردامنه چیست؟ روش‌های شناسایی و پیشگیری

حمله تصاحب زیردامنه (Subdomain Takeover) زمانی رخ می‌دهد که مهاجم بتواند کنترل زیردامنه‌ای را به دست بگیرد که همچنان به یک سرویس یا منبع خارجی اشاره می‌کند اما آن سرویس دیگر فعال نیست یا منبع مربوط به آن در دسترس صاحب اصلی قرار ندارد.

این حمله ممکن است پیچیده به نظر برسد، اما معمولاً از یک اشتباه ساده در پیکربندی ناشی می‌شود و آن باقی ماندن یک رکورد DNS قدیمی پس از حذف سرویس مقصد است.

سازمان‌ها به‌طور مداوم برای وب‌سایت‌ها، اپلیکیشن‌ها، محیط‌های توسعه، پلتفرم‌های پشتیبانی، سرویس‌های ابری و کمپین‌های بازاریابی، زیردامنه‌های جدیدی ایجاد می‌کنند. هنگامی که این سرویس‌ها از رده خارج می‌شوند، رکورد DNS مرتبط با آنها نیز باید بروزرسانی یا حذف گردد. در غیر این صورت، ممکن است رکوردی به نام DNS معلق (Dangling DNS Record) باقی بماند.

این اشتباه در پیکربندی می‌تواند فرصتی برای مهاجم فراهم کند تا منبع رهاشده را در اختیار بگیرد و محتوای دلخواه خود را از طریق زیردامنه سازمان منتشر نماید.

در ادامه، نحوه وقوع تصاحب زیردامنه، پیامدهای امنیتی آن و روش‌های پیشگیری از این حمله بررسی می‌شود.

تصویر(1)

تصاحب زیردامنه یا Subdomain Takeover چیست؟

زیردامنه بخشی از ساختار نام دامنه است که برای تفکیک سرویس‌ها یا بخش‌های مختلف یک وب‌سایت به کار می‌رود. برای مثال، نام‌های زیر ساختار یک دامنه و زیردامنه‌های آن را نشان می‌دهند.

• example.com به‌عنوان دامنه اصلی شناخته می‌شود.
• blog.example.com به‌عنوان زیردامنه وبلاگ است.
• support.example.com به‌عنوان زیردامنه پشتیبانی شناخته می‌شود.

سازمان‌ها اغلب با استفاده از رکوردهای DNS، زیردامنه‌های خود را به پلتفرم‌های خارجی متصل می‌کنند. برای مثال، ممکن است یک کسب‌وکار رکورد زیر را ایجاد کند.

blog.example.com CNAME company-blog.example-hosting.com

رکورد CNAME مشخص می‌کند که نام blog.example.com نام مستعار مقصدی دیگر است و DNS resolvers باید برای یافتن مقصد نهایی، زنجیره نام‌گذاری مربوط را دنبال کند.

تا زمانی که سازمان منبع مقصد را در اختیار داشته باشد و سرویس مرتبط به‌درستی کار کند، این پیکربندی عملکرد عادی خود را حفظ خواهد کرد. مشکل زمانی ایجاد می‌شود که سازمان منبع خارجی را حذف کند اما رکورد CNAME را در زون DNS خود باقی بگذارد.

در چنین شرایطی، رکورد DNS همچنان به مقصدی اشاره می‌کند که ممکن است دیگر تحت کنترل سازمان نباشد. اگر ارائه‌دهنده سرویس امکان ثبت مجدد یا ایجاد دوباره منبع رها شده را برای دیگران فراهم نماید، مهاجم ممکن است بتواند آن را تصاحب کند. در نتیجه، بازدیدکنندگانی که از زیردامنه اصلی استفاده می‌کنند، احتمالا محتوایی را مشاهده نمایند که مهاجم کنترل آن را در اختیار دارد. این وضعیت تصاحب زیردامنه نامیده می‌شود.

تصاحب زیردامنه چگونه اتفاق می‌افتد؟

تصاحب زیردامنه معمولاً توسط زنجیره‌ای ساده از رویدادها شکل می‌گیرد. برای مثال، شرکتی زیردامنه store.example.com را ایجاد می‌کند و آن را به یک پلتفرم تجارت الکترونیک شخص ثالث متصل می‌نماید.

تصویر(2)

مدتی بعد، شرکت فروشگاه اینترنتی خود را تعطیل می‌کند و منبع مرتبط با آن را در پلتفرم مربوط حذف می‌نماید. بااین‌حال، رکورد DNS زیردامنه همچنان باقی می‌ماند و به مقصد قبلی اشاره می‌کند.

این فرایند ممکن است طی مراحل زیر رخ دهد:

۱. شرکت یک زیردامنه ایجاد می‌کند.

۲. یک رکورد DNS، زیردامنه را به سرویس خارجی متصل می‌نماید.

۳. شرکت استفاده از سرویس را متوقف می‌نماید و منبع مربوط به آن را حذف می‌کند.

۴. رکورد DNS قدیمی همچنان در زون DNS باقی می‌ماند.

۵. ارائه‌دهنده سرویس امکان ثبت مجدد منبع رهاشده را فراهم می‌کند.

۶. مهاجم منبع رهاشده را در اختیار می‌گیرد.

۷. زیردامنه شرکت محتوایی را نمایش می‌دهد که مهاجم آن را کنترل می‌کند.

برای اجرای این حمله، مهاجم لزوماً به حساب DNS یا حساب ثبت دامنه شرکت دسترسی پیدا نمی‌کند. این آسیب‌پذیری از آنجا ناشی می‌شود که رکورد DNS معتبر همچنان به منبعی اشاره می‌نماید که دیگر تحت کنترل سازمان نیست.

تصویر(3)

کدام رکوردهای DNS ممکن است تحت تأثیر قرار گیرند؟

رکوردهای CNAME معمولاً در حملات تصاحب زیردامنه نقش مهمی ایفا می‌کنند؛ زیرا سازمان‌ها از آن‌ها برای اتصال زیردامنه‌ها به پلتفرم‌های ابری، سرویس‌های میزبانی، شبکه‌های توزیع محتوا (CDN) و اپلیکیشن‌های SaaS استفاده می‌نمایند.

بااین‌حال، پیکربندی‌های دیگری نیز می توانند خطر ایجاد کنند. برای مثال، یک رکورد A ممکن است به آدرس IP اشاره کند که سازمان آن را به ارائه‌دهنده خدمات ابری بازگردانده است. اگر آن آدرس بعداً به شخص دیگری اختصاص داده شود و شرایط فنی لازم برای میزبانی از طریق آن فراهم باشد، رکورد DNS قدیمی ممکن است ترافیک را به زیرساختی هدایت کند که دیگر تحت کنترل سازمان نیست.

همچنین، یک ارجاع رهاشده از نوع NS می‌تواند خطر جدی‌تری ایجاد کند. اگر مدیریت DNS یک زیردامنه به nameserver هایی واگذار شده باشد که سازمان دیگر کنترلی بر آن‌ها ندارد، شخص دیگری ممکن است بتواند تنظیمات DNS آن زیردامنه یا بخش‌های زیرمجموعه را تغییر دهد. میزان خطر در هر مورد به نوع رکورد، وضعیت منبع مقصد، قابلیت‌های ارائه‌دهنده سرویس و پیکربندی زیرساخت بستگی دارد.

چرا تصاحب زیردامنه خطرناک است؟

یک زیردامنه فراموش‌شده ممکن است چندان مهم نباشد، به‌ویژه اگر سازمان سال‌ها پیش استفاده از آن را متوقف کرده باشد. بااین‌حال، کاربران همچنان نام دامنه معتبر سازمان را در نوار نشانی مرورگر مشاهده می‌کنند و ممکن است محتوای ارائه‌شده از طریق آن را قابل‌اعتماد بدانند.

این اعتماد می‌تواند زمینه‌ساز چندین خطر امنیتی شود:

1. حملات فیشینگ: مهاجم می‌تواند روی زیردامنه تصاحب‌شده، صفحه ورود جعلی یا وب‌سایتی فریبنده ایجاد کند. به عنوان مثال، نشانی account.example.com ممکن است برای کاربران معتبرتر از دامنه‌ای ناشناخته باشد و احتمال موفقیت حملات فیشینگ را افزایش دهد.

2. انتشار بدافزار و محتوای مخرب: مهاجم ممکن است از زیردامنه برای انتشار بدافزار، محتوای فریبنده یا مطالب نامناسب استفاده کند و همزمان از اعتبار دامنه اصلی سازمان بهره ببرد. چنین وضعیتی می‌تواند اعتماد کاربران را کاهش دهد و خطرات امنیتی بیشتری ایجاد کند.

3. خطرات مرتبط با کوکی‌ها و اپلیکیشن‌ها: برخی وب‌سایت‌ها کوکی‌ها یا سیاست‌های امنیتی خود را به‌گونه‌ای تنظیم می‌کنند که چندین زیردامنه را پوشش دهند. در چنین شرایطی، تصاحب یک زیردامنه ممکن است امنیت داده‌های احراز هویت یا تعامل با اپلیکیشن‌های مرتبط را تحت تأثیر قرار دهد. میزان این خطر به تنظیمات کوکی‌ها، ویژگی‌هایی مانند HttpOnly و Secure و سیاست‌های امنیتی اپلیکیشن بستگی دارد.

4. آسیب به برند و اعتبار سازمان: کاربران معمولاً از جزئیات زیرساخت DNS یک سازمان اطلاع ندارند و محتوای نمایش‌داده‌شده در زیردامنه‌های آن را به خود سازمان نسبت می‌دهند. بنابراین، اگر یک زیردامنه معتبر ناگهان محتوای کلاهبرداری، اسپم یا مطالب نامناسب نمایش دهد، ممکن است اعتبار سازمان آسیب ببیند.

چگونه موارد احتمالی تصاحب زیردامنه شناسایی می‌شوند؟

ممیزی منظم DNS یکی از روش‌های مؤثر برای کاهش خطر تصاحب زیردامنه محسوب می‌شود. در این فرایند، سازمان باید رکوردهای زون های DNS خود را بررسی نماید و مشخص کند که آیا هر زیردامنه همچنان مورد استفاده قرار می‌گیرد، آیا سرویس مقصد فعال است، آیا مقصد همچنان تحت کنترل سازمان قرار دارد و کدام تیم مسئول نگهداری آن می باشد.

همچنین، باید مشخص شود که آیا ادامه استفاده از هر رکورد DNS ضرورت دارد یا خیر. در این بررسی، رکوردهایی که به پلتفرم‌های شخص ثالث و سرویس‌های ابری اشاره می‌کنند، باید با دقت بیشتری ارزیابی شوند.

نمایش صفحات خطای ارائه‌دهنده سرویس، پیام‌هایی مانند «منبع پیدا نشد» (Resource Not Found)، محتوای غیرمنتظره یا نشانه‌های حذف سرویس مقصد ممکن است حاکی از وجود پیکربندی آسیب‌پذیر باشند. بااین‌حال، مشاهده چنین نشانه‌هایی به‌تنهایی وقوع تصاحب زیردامنه را اثبات نمی‌کند و بررسی وضعیت منبع مقصد نیز ضرورت دارد. در زیرساخت‌های بزرگ، استفاده از ابزارهای خودکار برای پایش DNS، شناسایی منابع رهاشده و مدیریت دارایی‌های دیجیتال می‌تواند فرایند شناسایی این موارد را آسان‌تر کند.

تصویر(4)

چگونه باید از تصاحب زیردامنه جلوگیری می‌شود؟

پیشگیری از تصاحب زیردامنه به هماهنگی مستمر میان رکوردهای DNS و منابعی بستگی دارد که این رکوردها به آن‌ها اشاره می‌کنند.

حذف یا اصلاح رکوردهای DNS پیش از آزادسازی منابع

هنگام از رده خارج کردن یک وب‌سایت، اپلیکیشن ابری، مخزن ذخیره‌سازی یا منبع خارجی دیگر، سازمان باید ابتدا پیکربندی DNS مرتبط با آن را بررسی کند. در صورت عدم نیاز به زیردامنه، رکورد مربوطه باید پیش از آزادسازی منبع حذف شود. اگر زیردامنه همچنان کاربرد دارد، باید مقصد آن به منبعی معتبر و تحت کنترل سازمان تغییر کند.

پس از اعمال تغییرات، سازمان باید نتیجه را بررسی نماید و از حذف یا اصلاح صحیح رکورد اطمینان حاصل کند. رعایت این ترتیب از باقی ماندن رکوردی جلوگیری خواهد کرد که ممکن است در آینده به منبعی قابل‌تصاحب اشاره کند.

نگهداری فهرستی از رکوردهای DNS

سازمان باید فهرستی بروز از رکوردهای مهم DNS، مقصدهای آن‌ها و تیم‌های مسئول نگهداری منابع مرتبط تهیه کند. این اقدام به‌ویژه برای سازمان‌های بزرگی اهمیت دارد که در آن‌ها تیم‌های مختلف، مدیریت DNS، اپلیکیشن‌ها و زیرساخت‌های ابری را بر عهده دارند. وجود چنین فهرستی، شناسایی رکوردهای فراموش‌شده و تعیین مسئولیت هر منبع را آسان‌تر می‌کند.

ممیزی منظم زون‌های DNS

پیکربندی DNS در طول زمان تغییر می‌کند؛ زیرا پروژه‌ها به پایان می‌رسند، اپلیکیشن‌ها به زیرساخت‌های دیگر منتقل می‌شوند و منابع ابری از دسترس خارج می‌گردند. بنابراین، سازمان باید بازبینی زون‌های DNS را به‌صورت دوره‌ای انجام دهد و رکوردهایی را که دیگر کاربردی ندارند، حذف یا اصلاح کند.

پایش تغییرات DNS و زیرساخت

پایش مستمر می‌تواند به شناسایی تغییرات غیرمنتظره DNS، منابع از دسترس خارج‌شده و نشانه‌های احتمالی پیکربندی آسیب‌پذیر کمک کند. سازمان‌هایی که تعداد زیادی دامنه و زیردامنه دارند، باید از ابزارهای کنترل خودکار استفاده کنند و بررسی دستی را تنها روش شناسایی خطر در نظر نگیرند.

تصویر(5)

گنجاندن پاک‌سازی DNS در فرایند از رده خارج کردن منابع

پاک‌سازی DNS باید بخش جدایی‌ناپذیر فرایند حذف سرویس‌ها باشد. سازمان می‌تواند با تعریف یک چک‌لیست مشخص، اطمینان حاصل کند که ابتدا رکوردهای DNS بروزرسانی یا حذف می‌شوند، سپس صحت تغییرات بررسی می‌گردد و در نهایت منبع خارجی آزاد می‌شود. در نظر گرفتن مدیریت DNS به‌عنوان بخشی از چرخه عمر منابع، احتمال باقی ماندن رکوردهای معلق را تا حد قابل‌توجهی کاهش می‌دهد.

آیا DNSSEC از تصاحب زیردامنه جلوگیری می‌کند؟

خیر، DNSSEC به‌تنهایی از تصاحب زیردامنه جلوگیری نمی‌کند. این فناوری با فراهم کردن امکان بررسی اصالت و یکپارچگی داده‌های DNS، خطر دستکاری پاسخ‌های DNS را کاهش می‌دهد، اما مشخص نخواهد کرد که آیا سازمان همچنان کنترل منبعی که رکورد DNS به آن اشاره می‌کند را در اختیار دارد یا خیر.

بنابراین، حتی یک زون DNS که به‌درستی اعتبارسنجی شده، ممکن است همچنان حاوی رکورد CNAME معلق یا رکورد قدیمی دیگری باشد. DNSSEC یکی از اجزای مهم امنیت DNS محسوب می‌شود، اما پیشگیری از تصاحب زیردامنه به مدیریت صحیح رکوردها، پایش منابع و حذف تنظیمات منسوخ‌شده نیز نیاز دارد.

جمع‌بندی

تصاحب زیردامنه اغلب از یک اشتباه ساده در مدیریت زیرساخت آغاز می‌شود و آن باقی ماندن رکوردی است که مقصد آن دیگر تحت کنترل سازمان نیست. موثرترین راه پیشگیری، رعایت اصول صحیح مدیریت DNS است. سازمان باید زیردامنه‌های خود را شناسایی کند، مقصد رکوردهای آن‌ها را بشناسد، وضعیت سرویس‌های مرتبط را پایش نماید و هنگام از رده خارج کردن منابع، رکوردهای قدیمی را حذف یا اصلاح کند.

با گسترش زیرساخت DNS، اهمیت ممیزی‌های منظم، خودکارسازی بررسی‌ها و تعیین مسئولیت‌های روشن نیز افزایش می‌یابد. بررسی یک رکورد DNS قدیمی می‌تواند از تبدیل شدن زیردامنه فراموش‌شده به آسیب‌پذیری امنیتی جدی جلوگیری کند.