Subdomain takeover: unutilgan DNS yozuvlar qanday xavf tug'diradi

Har bir kompaniyaning DNS zonasida vaqt o'tishi bilan ko'plab subdomenlar to'planadi. Bir yil oldin aksiya uchun ochilgan sahifa, sinov serveri, vaqtincha ishlatilgan onlayn so'rovnoma yoki tashqi yordam markazi uchun yozuvlar qo'shiladi. Xizmatlar to'xtatilgach, ular odatda o'chiriladi, lekin ularga ishora qiluvchi DNS yozuvlari zonada qolib ketadi. Aynan shunday unutilgan yozuvlar subdomenni egallab olish hujumiga yo'l ochadi.

Xavf qanday paydo bo'ladi

Tasavvur qiling, siz promo.example.uz subdomenini tashqi landing sahifa konstruktoriga ulash uchun CNAME yozuvi yaratgansiz va u example-promo.builder.example.net nomiga qaraydi. Aksiya tugagach, konstruktordagi loyiha o'chirildi, lekin DNS yozuvi joyida qoldi. Endi bu subdomen hech kimga tegishli bo'lmagan resursga ishora qilmoqda.

Ko'plab bulutli xizmatlarda loyiha nomi yoki ulangan domen birinchi so'ragan foydalanuvchiga beriladi va egalik qo'shimcha tekshirilmaydi. Agar hujumchi o'sha xizmatda xuddi shu nomli loyiha ochsa yoki promo.example.uz domenini o'z hisobiga ulasa, sizning subdomeningiz to'liq uning boshqaruviga o'tadi. Tashrif buyuruvchi brauzerda sizning domeningizni ko'radi, lekin sahifa mazmunini begona odam belgilaydi.

Xuddi shu muammo A yozuvlari bilan ham yuz berishi mumkin. Bulutli serverdan voz kechganingizda uning IP manzili provayderga qaytadi va keyinchalik boshqa mijozga berilishi mumkin. Agar test.example.uz hali ham o'sha IP manzilga qarab tursa, yangi egasi beixtiyor yoki ataylab sizning subdomeningizda kontent ko'rsatadi. Subdomenni boshqa DNS xizmatiga NS yozuvi orqali topshirib, keyin u yerdagi zonani o'chirib yuborish ham xuddi shunday xavfli vaziyat yaratadi.

Nima uchun bu jiddiy muammo

Birinchi qarashda unutilgan aksiya sahifasi uncha muhim emasdek tuyuladi. Ammo hujumchi uchun ishonchli domen ostidagi subdomen juda qimmatli. Uning orqali fishing sahifasi ochish mumkin va bunday sahifa sizning rasmiy domeningiz ostida bo'lgani uchun foydalanuvchilarda shubha uyg'otmaydi. Ko'p hollarda hujumchi bu subdomen uchun bemalol SSL sertifikat ham oladi, chunki sertifikat markazi DNS orqali nazoratni tekshiradi va nazorat haqiqatan uning qo'lida bo'ladi.

Bundan tashqari, agar asosiy saytingiz cookie fayllarini butun domen uchun, ya'ni .example.uz darajasida o'rnatsa, egallab olingan subdomen ularni o'qishi yoki o'zgartirishi mumkin. Bu foydalanuvchi sessiyalariga xavf tug'diradi. Shuningdek, egallangan subdomendan spam va zararli fayllar tarqatilsa, butun domeningizning obro'si qora ro'yxatlarda zarar ko'radi.

Misol: universitet qabul kampaniyasi

Bir xususiy universitet har yili qabul mavsumida qabul.example.uz manzilida alohida landing sahifa ochardi. Sahifa tashqi konstruktor xizmatida yaratilgan va subdomen CNAME orqali ulangan edi. Mavsum tugagach, marketing bo'limi konstruktordagi obunani bekor qildi, chunki keyingi yil boshqa vositadan foydalanishga qaror qilingan edi. DNS yozuvini o'chirish esa hech kimning vazifalar ro'yxatida yo'q edi.

Bir necha oydan keyin abituriyentlardan biri qabul sahifasida "ariza to'lovi" uchun karta ma'lumotlarini so'rayotgan forma borligini xabar qildi. Tekshiruv shuni ko'rsatdiki, kimdir o'sha konstruktorda yangi hisob ochib, universitet subdomenini o'z loyihasiga ulab olgan. Muammo DNS yozuvini o'chirish bilan bir necha daqiqada bartaraf etildi, lekin universitetga talabalar va ota-onalarni ogohlantirish uchun ancha vaqt va kuch sarflashga to'g'ri keldi.

Zaif yozuvlarni qanday topish mumkin

Birinchi qadam zonangizdagi barcha yozuvlarning to'liq ro'yxatini olish. Buni DNS boshqaruv panelidan eksport qilish orqali qilish eng oson. Keyin har bir CNAME yozuvining maqsadi hali ham mavjudligini tekshirish kerak. Oddiy shell skript bu ishni avtomatlashtiradi:

#!/bin/sh
# Tekshiriladigan subdomenlar ro'yxati
for sub in www shop qabul promo blog test help; do
  host="$sub.example.uz"
  target=$(dig +short CNAME "$host")
  [ -z "$target" ] && continue
  status=$(dig "$target" A | grep -o 'status: [A-Z]*')
  echo "$host -> $target ($status)"
done

Agar biror qatorda status: NXDOMAIN chiqsa, bu yozuv mavjud bo'lmagan nomga ishora qilmoqda va uni darhol ko'rib chiqish kerak. Maqsad nomi mavjud bo'lsa ham, sahifani brauzerda yoki curl orqali ochib ko'rish foydali. Xizmatlar ko'pincha "bunday loyiha topilmadi" yoki "domen hech qaysi hisobga ulanmagan" kabi xabar qaytaradi va bu ham xavfli holat belgisidir:

curl -sI https://promo.example.uz/ | head -n 5
curl -s https://promo.example.uz/ | grep -iE "not found|no such|not configured"

A yozuvlari uchun esa har bir IP manzil hali ham sizning ixtiyoringizdagi serverga tegishli ekanini hosting yoki bulut boshqaruv panelida tekshiring. Bu ishni avtomatlashtirish qiyinroq, shuning uchun qo'lda tekshiriladigan ro'yxat yuritish amaliyroq.

Oldini olish qoidalari

Eng muhim qoida xizmatni o'chirish tartibini to'g'ri belgilashdir: avval DNS yozuvi o'chiriladi, keyin tashqi resurs. Teskari tartibda ishlaganda resurs o'chib, yozuv qolib ketadigan oraliq paydo bo'ladi va aynan shu oraliqdan hujumchilar foydalanadi. Bu qoidani jamoadagi har bir mas'ul xodim, jumladan marketing va dizayn bo'limlari ham bilishi kerak, chunki tashqi xizmatlarni ko'pincha aynan ular ulaydi.

Har bir subdomen uchun kim mas'ulligi va u nima uchun yaratilganini qayd eting.
Tashqi xizmatlardan foydalanganda domen egaligini TXT yozuvi orqali tasdiqlash imkoniyati bo'lsa, uni albatta ishlating.
Har chorakda zonani ko'rib chiqib, ishlatilmayotgan yozuvlarni o'chiring.
Asosiy sayt cookie fayllarini imkon qadar aniq xost nomiga bog'lang, butun domen darajasida emas.
Bulutli serverlarni o'chirishdan oldin ularga ishora qiluvchi barcha A va AAAA yozuvlarni topib, olib tashlang.

sayt.uz kabinetida domeningizning DNS yozuvlari bir sahifada ko'rinadi, shuning uchun chorakda bir marta ularni ko'zdan kechirish ko'p vaqt olmaydi. Zonadagi har bir yozuvning egasi va maqsadi aniq bo'lsa, subdomenni egallab olish xavfi deyarli yo'qoladi.