僵尸域名注冊都有什么問題

當(dāng)一個域名注冊過期時，新用戶可以重新申請這些域名。但是有時候這些新用戶可能懷揣惡意。

互聯(lián)網(wǎng)域名的所有權(quán)不是永久性的。

域名會暫時分配給其所有者。一旦注冊過期，域名將會重新對公眾開放，依照先到先得的原則，等待被潛在的新用戶認(rèn)領(lǐng)。

網(wǎng)民對圍繞這一情況發(fā)生的可疑行為（有時甚至是濫用行為）并不陌生。我敢肯定，很多讀者都曾在雨天試圖再次訪問一個有趣的網(wǎng)站，但是卻看到了一個不相關(guān)的頁面，上面掛滿了廣告橫幅。這是一種利用域名剩余流量（residual traffic）的典型方法。新用戶注冊了一個過期的域名，希望舊網(wǎng)站毫無戒心的用戶群能帶來廣告收入。另一種常見的情況是模仿一個過期的網(wǎng)站，試圖對訪問者發(fā)起網(wǎng)絡(luò)釣魚攻擊。

這些都是信息安全領(lǐng)域常見的敵對場景。不幸的是，問題不止于此。域名不僅僅是通向網(wǎng)站的地址，也是處理網(wǎng)絡(luò)上各種資源的通用標(biāo)識符。

例如，重新申領(lǐng)一個已經(jīng)失效的域名，你將自動獲得能夠訪問以后發(fā)到以前該地址郵箱的郵件的權(quán)限。注冊一個被棄用的DNS服務(wù)器域名，你可以將查詢客戶端重定向到你選擇的任何地址上。在一個臭名昭著的案例中，一個安全專業(yè)人士獲取了 “.io區(qū)段” 的過期服務(wù)器域名，使他能夠劫持現(xiàn)有的所有 .io 網(wǎng)站的流量。

而且還有更多的麻煩。域名在很多關(guān)鍵安全設(shè)置中起到信任錨的作用，域名常常和其他看似無關(guān)的資源聯(lián)系在一起。想象將密碼重置鏈接發(fā)送到記錄中的電子郵箱中，將能夠成功訪問該電子郵件賬戶當(dāng)做身份驗證。像前面提到過，劫持該電子郵件域名將引發(fā)級聯(lián)效應(yīng)，能夠入侵所有與該郵箱關(guān)聯(lián)的前用戶的賬戶。

對于默認(rèn)永久域名分配模型來說，有類似的安全風(fēng)險。當(dāng)用戶授予一個網(wǎng)站訪問其相機(jī)、麥克風(fēng)或位置的權(quán)限時，這些訪問權(quán)限都和該網(wǎng)站的域名進(jìn)行了綁定。即使該域名的所有人變更了，之前的授權(quán)將會保留，導(dǎo)致新所有者濫用用戶對該網(wǎng)站的剩余信任。而傳輸層安全性(TLS) 幾乎不能不能幫助用戶避免這些問題。TLS只驗證域名，但不知道誰擁有它們。如果沒有人為檢查whois記錄，用戶沒有簡單的方法能在產(chǎn)生損失前發(fā)現(xiàn)域名所有權(quán)變更。

人們可以通過快速在線搜索了解一些這類引人注目的事件，但好奇的讀者可能會問這些漏洞實際被利用的可能性有多大，在現(xiàn)實中發(fā)生的頻率，以及互聯(lián)網(wǎng)用戶是否面臨真正的風(fēng)險。

現(xiàn)實中，存在一個活躍并專業(yè)的域名回收系統(tǒng)。用戶可以通過眾多在線域名搶注服務(wù)，在一些域名失效時，從中購買他們想要的域名。當(dāng)一個域名失效并開始對外開放的時候，搶注系統(tǒng)會調(diào)動大量計算資源，并向注冊系統(tǒng)發(fā)出大量請求，和地球上所有潛在的注冊者競爭。這類似于金融市場中的高頻交易場景，只不過是針對域名而非股票。

在最近，波士頓東北大學(xué)的進(jìn)行的一項實驗中，證實了重新啟用舊域名高需求的風(fēng)險。研究發(fā)現(xiàn)，僅三家主要的搶注服務(wù)提供方就操作了75%的域名注冊，并占到了域名注冊嘗試的80%。多達(dá)10%的.com和5%的.org域名在過期當(dāng)天就被重新注冊。

域名回收的第二個競技場是注冊商對即將到期的域名進(jìn)行拍賣的時候。通過拍賣所得的域名構(gòu)成了特殊的威脅；它們不會經(jīng)歷典型的到期和重新注冊階段，而是從以前的所有者轉(zhuǎn)移到新的一方。因此，包括域名創(chuàng)建日期在內(nèi)的域名注冊信息不會變更，即使仔細(xì)分析whois記錄，也很難發(fā)現(xiàn)所有權(quán)發(fā)生了變化。這會帶來問題，因為許多商業(yè)安全產(chǎn)品、域名信譽服務(wù)和黑名單維護(hù)人員都會根據(jù)域名的年齡進(jìn)行一些決策，而較老的域名被認(rèn)為是更值得信任。

有證據(jù)表明，域名經(jīng)常更換主人，這得益于蓬勃發(fā)展的搶注和拍賣服務(wù)生態(tài)系統(tǒng)。遺憾的是，很多Internet應(yīng)用程序甚至安全機(jī)制都嚴(yán)重依賴域名所有權(quán)，將其作為信任錨。域名在某種程度上通過這種方式獲得永存。展望未來，安全專業(yè)人員應(yīng)該將在這種情況下存在的陷阱和風(fēng)險納入威脅模型。在設(shè)計未來的系統(tǒng)時，我們應(yīng)該努力發(fā)展必要的保護(hù)措施，以確保域所有權(quán)不會意外轉(zhuǎn)移，如果最終發(fā)生這種情況，應(yīng)該有完善的撤銷機(jī)制進(jìn)行回應(yīng)并將信任轉(zhuǎn)移到新的錨上。證書透明化在監(jiān)控TLS證書方面發(fā)揮了奇跡般的作用。也許我們應(yīng)該開始考慮倡議域名透明化。

文章題目：僵尸域名注冊都有什么問題
URL地址：http://muchs.cn/news/98632.html

網(wǎng)站建設(shè)、網(wǎng)絡(luò)推廣公司-創(chuàng)新互聯(lián)，是專注品牌與效果的網(wǎng)站制作，網(wǎng)絡(luò)營銷seo公司；服務(wù)項目有域名注冊等

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)