Alt domain ele geçirme ve sahipsiz kalmış DNS kayıtları

Nasıl gerçekleşir

Bir ekip, barındırma hizmeti veren bir platformda kampanya sitesi yayına alır ve promo.example.com adresinden platformun ana makine adına bir CNAME ekler. Aylar sonra kampanya biter ve site platformdan silinir. CNAME ise DNS'te kalır, çünkü onu kaldırmak kimsenin görevi değildir.

Kayıt artık platformda var olmayan bir adı gösterir. Platform bu adı herhangi bir müşterinin sahiplenmesine izin veriyorsa, adı kim alırsa promo.example.com trafiğini de o alır. Üstelik bu sizin domaininizde, çoğu zaman da kendisine verilmiş geçerli bir sertifikayla olur.

Neden önemli

Alt domaininizden sunulan içerik itibarınızı devralır. Ziyaretçiler ve e-posta filtreleri ona güvenir, tarayıcılar da üst domain kapsamındaki çerezleri ona gönderebilir. Sahte bir giriş sayfası barındırmak için inandırıcı bir yerdir.

Bu risk kuramsal ya da nadir değildir. Güvenlik incelemelerinde sıradan bir bulgudur, çünkü bir yapılandırma hatasından değil, olağan temizlik işlerinden doğar.

Hangi kayıtlar risk altında

Bir adı, üzerindeki denetimi kaybedebileceğiniz bir şeye devreden her kayıt adaydır.

1. Bulut depolama, uygulama barındırma, CDN veya SaaS ana makine adlarını gösteren CNAME kayıtları.
2. Serbest bırakılmış ve yeniden atanabilecek bulut IP adreslerini gösteren A ve AAAA kayıtları.
3. Bir alt domaini artık var olmayan bir DNS bölgesine devreden NS kayıtları.
4. Kuruluşun bıraktığı bir e-posta servisini gösteren MX kayıtları.

Sahipsiz kalmış kayıtlar nasıl bulunur

Hatırladığınız sitelerin listesinden değil, DNS bölgesinden başlayın.

1. Bölgedeki bütün kayıtları dışa aktarın.
2. Her CNAME için hedefi çözümleyin. Çözümlenmeyen veya sağlayıcının "bulunamadı" sayfasına çözümlenen bir hedef daha yakından incelenmelidir.
3. Sağlayıcının konsolunda kaynağın var olduğunu ve sizin hesabınıza ait olduğunu doğrulayın.
4. Hedefini açıklayamadığınız kayıtları silin.
5. Bunu belirli aralıklarla tekrarlayın, çünkü projeler bittikçe yeni kayıtlar sahipsiz kalır.

Bir kontrol neyi söyleyebilir, neyi söyleyemez

Dışarıdan yapılan bir kontrol, bir CNAME hedefinin çözümlenmediğini veya sahiplenilebilir olduğu bilinen bir kalıba uyduğunu görebilir. Sağlayıcı hesabınızın içini göremez, dolayısıyla bir kaynağın size ait olduğunu kanıtlayamaz. Bulgu bir hüküm değil, doğrulama yapmanız için bir işarettir. CloudSpex ölçebildiği sahipsiz hedefleri raporlar ve bir hedef değerlendirilemediğinde bunu belirtir.

Önleme

Çözüm bir işlem sırasıdır: önce DNS kaydını kaldırın, sonra bulut kaynağını silin. DNS temizliğini hizmetten çıkarma kontrol listesinin bir adımı yapın, her kayda bir sahip atayın ve bilinmeyen her alt domaini üçüncü bir tarafa gönderen joker (wildcard) kayıtlardan kaçının.

Sahipsiz kalmış bir kayıt nasıl görünür

Kaydın kendisinde dikkat çeken bir şey yoktur, gözden kaçmasının nedeni de budur. Hedefi artık hiçbir yere varmayan sıradan bir CNAME'dir. Sorguladığınızda önce takma adı, sonra hiçbir şeyi görürsünüz. Ya da platformun, var olmayan bir site için gösterdiği genel sayfayla yanıt veren bir adres çıkar.

dig promo.example.com CNAME +short
example-promo.hosting-platform.example.

dig example-promo.hosting-platform.example A +short
(no answer)

Bir ele geçirmenin adımları

Adımları anlamak, neden hiçbir kimlik bilgisine gerek olmadığını ve domain sahibinin neden hiçbir şey görmediğini açıklar.

1. Bir alt domain, barındırma platformundaki bir kaynağa yönlendirilir. Kaynak, müşterinin seçtiği bir adla tanımlanır.
2. Kaynak silinir. Ad platformda yeniden alınabilir hale gelir.
3. DNS kaydı yerinde kalır ve hâlâ o adı gösterir.
4. Biri kaydı bulur, örneğin herkese açık alt domain listelerini tarayarak, ve hedefin sahiplenilmemiş olduğunu görür.
5. Platformdaki kendi hesabında aynı adla bir kaynak oluşturur.
6. Platform artık alt domaininizin trafiğini onun içeriğine yönlendirir.

Saldırgan ne kazanır

Alt domain, domaininizin gerçek bir parçasıdır. Bu yüzden domaine güvenen her şey ona da güvenir. Orada barındırılan bir giriş sayfasının adresi, dikkatli bir kullanıcıya öğretilen bütün kontrollerden geçer. Ana sitenizin bütün domain için tanımladığı çerezler ona gönderilir. İçerik güvenlik politikanız veya kaynaklar arası (cross-origin) kurallarınız kendi alt domainlerinize izin veriyorsa, oradan sunulan betiklere uygulamanız güvenir.

Saldırgan çoğu zaman bu ad için geçerli bir sertifika alabilir, çünkü adın ne sunduğunu o denetler ve domain doğrulamasını tamamlayabilir. Domaininizin gönderim itibarı iyiyse ve e-posta kimlik doğrulamanızın kapsamı gevşek tanımlanmışsa, bu ad oltalama e-postalarını daha inandırıcı kılmak için de kullanılabilir.

Ad sunucusu türü

Aynı sorun bir seviye yukarıda da vardır ve daha ciddidir. Bir alt domain NS kayıtlarıyla bir DNS sağlayıcısına devredilmişse ve bölge sonradan orada silinmişse, o sağlayıcıda, aynı ad sunucularında aynı adla bölge oluşturabilen herkes bu alt domainin altındaki bütün kayıtları denetler. Buna MX kayıtları dahildir, yani alt domainin e-postasını alabilirler. TXT kayıtları da dahildir, yani sertifikalar için domain doğrulamasından geçebilirler.

Alt domainlerin NS devirlerini CNAME kayıtlarıyla aynı özenle kontrol edin. Bölge için REFUSED veya SERVFAIL döndüren ad sunucularına yapılmış bir devir, hatalı delegasyondur (lame delegation) ve ele geçirme adayıdır.

dig dev.example.com NS +short
ns-101.dns-provider.example.

dig dev.example.com SOA @ns-101.dns-provider.example
;; status: REFUSED

Serbest bırakılmış IP adresleri

A ve AAAA kayıtları da sahipsiz kalabilir. Bir bulut sunucusu kapatılır, genel IP adresi sağlayıcının havuzuna döner ve DNS kaydı o adresi göstermeye devam eder. Adres daha sonra başka bir müşteriye atanır. Serbest bırakılmış belirli bir adresi bilerek elde etmek, bir adı sahiplenmekten daha zordur. Bu yüzden bu tür kasıtlı olarak daha seyrek istismar edilir, ama sonuç aynıdır: alt domaininiz başkasının içeriğini sunar. DNS kaydı olan her şey için ayrılmış (rezerve) adresler kullanın ve sunucu kaldırıldığında kaydı da kaldırın.

E-posta kayıtları

Kuruluşun bıraktığı bir e-posta servisini gösteren MX kaydı, aynı sorunun daha sessiz bir biçimidir. Hedef ana makine adının süresi dolarsa veya ad sahiplenilebilirse, o domainin ya da alt domainin e-postasını başkası alabilir. Buna, oradaki adreslerle açılmış hesapların parola sıfırlama iletileri de dahildir. Aynısı SPF için de geçerlidir: süresi sonradan dolmuş bir domaini adlandıran include, o domaini kim kaydederse ona sizin adınıza e-posta gönderme yetkisi verir.

Tekrarlayabileceğiniz bir denetim

Denetim bölgeden başlar, çünkü risk altında olanlar unuttuğunuz kayıtlardır.

1. DNS sağlayıcısındaki bütün kayıtları dışa aktarın. Eski marka ve kampanya domainlerinin bölgelerini de dahil edin.
2. Bütün CNAME kayıtlarını listeleyin ve her hedefi çözümleyin. Çözümlenmeyenleri işaretleyin.
3. Çözümlenen hedefler için siteyi çekin ve platformun varsayılan "bulunamadı" sayfasını döndürenleri işaretleyin.
4. Alt domainlere ait bütün NS devirlerini listeleyin ve her ad sunucusuna bölgenin SOA kaydını sorun.
5. Bulut adres aralıklarını gösteren A ve AAAA kayıtlarını listeleyin ve her adresin hâlâ size atanmış olduğunu doğrulayın.
6. İşaretlenen her kayıt için, kaynağın sizin denetlediğiniz bir hesapta var olup olmadığını sağlayıcının konsolunda doğrulayın.
7. Açıklayamadıklarınızı silin. Eksik bir alt domain bir zahmettir, ele geçirilmiş bir alt domain ise bir güvenlik olayıdır.

while read name; do
  target=$(dig +short "$name" CNAME)
  [ -n "$target" ] && [ -z "$(dig +short "$target")" ] && echo "DANGLING: $name -> $target"
done < subdomains.txt

Bilmediğiniz alt domainleri bulma

Bölge dışa aktarımı, bildiğiniz DNS sağlayıcısını kapsar. Kayıtlar ayrıca önceki sağlayıcılarda, başka ekiplerin oluşturduğu bölgelerde ve bir kampanya için satın alınıp hiçbir zaman tek çatı altına alınmamış domainlerde de bulunur. Burada sertifika şeffaflığı (certificate transparency) günlükleri yardımcı olur: genel olarak güvenilen her sertifika, kapsadığı adlarla birlikte günlüğe kaydedilir. Dolayısıyla domaininiz için yapılan bir arama, bir dönem sertifikası olmuş ana makine adlarını, kimsenin hatırlamadıkları dahil, listeler.

Bu listeyi bir ipucu kümesi olarak değerlendirin. Her ad ya hâlâ çözümleniyordur ve sizindir, ya artık çözümlenmiyordur ve göz ardı edilebilir, ya da tanımadığınız bir şeye çözümleniyordur.

Bir alt domain zaten ele geçirildiyse

Önce DNS kaydını kaldırın veya düzeltin. Bu, önbelleğe alma süresi saklı kalmak üzere, saldırganın denetimini hemen sona erdirir. Ardından sonuçları sırayla ele alın. Neyin, ne kadar süreyle sunulduğunu öğrenin. Sertifika şeffaflığı günlüklerinde o dönemde bu ad için verilmiş sertifikaları kontrol edin ve sertifikayı veren otoriteden iptal etmesini isteyin. Ana site bütün domain için çerez tanımlıyorsa, oturumların açığa çıktığını varsayın ve geçersiz kılın. Son olarak kaynağı barındırma platformuna bildirin.

Bunu rutine dönüştürme

Tek seferlik bir denetim bugünün sahipsiz kalmış kayıtlarını bulur. Her proje bittiğinde yenileri ortaya çıkar. İki alışkanlık bunların çoğunu önler: DNS kaydını kaldırmayı, kaynak silinmeden önce, hizmetten çıkarmanın ilk adımı yapın. Ayrıca DNS sağlayıcısının not alanında her kayda bir sahip ve bir gerekçe yazın. Sürekli izleme, bu alışkanlıkların kaçırdıklarını kapsar. CloudSpex, ölçebildiği alt domainlerde artık çözümlenmeyen hedefleri kontrol eder, bunları doğrulanması gereken bulgular olarak raporlar ve bir hedef değerlendirilemediğinde bunu belirtir.