请选择 进入手机版 | 继续访问电脑版
查看: 2225|回复: 20

[其它] 【申请发言权】域名使用解析平台的潜在风险

[复制链接]
发表于 2017-11-28 13:53:21 | 显示全部楼层 |阅读模式
本帖最后由 QADXBB 于 2017-11-28 13:55 编辑

我也是看到有人提到泛解析有感而发  (完全完整的个人经历,大家使用这类解析服务的时候要小心)
国内有个域名解析平台dns×××(不保证其他的类似平台没有此类问题),但是他们有个漏洞会导致你如果使用他们的dns就有可能被别人拿来随意控制解析。
以下是我的遭遇:
一个cn的域名使用dns×××的解析地址但是没有及时把自己的域名添加到dns×××的控制面板,这样问题就来了,别人可以通过扫描然后把你的域名加入到他的控制面板,这样就可以控制你的域名的解析。
原因在于,dns×××在把域名加入控制面板的时候并不验证域名所有权而是只验证该域名是否把解析地址改为dns×××,如果没人添加该域名那么你就可以把该域名添加到你的控制面板,默认你就是所有人了,你可以对该域名随意解析。

我突然发现我的域名被解析出2000个非法网站,仔细检查才发现是dns×××上有人控制了我的域名解析,就是利用这个平台的解析漏洞,

发现问题的时候我已经无法再添加该域名到我的控制面板,我只能直接在域名商那直接更换了域名解析地址才解决该问题!

我向客服反映该问题,该客服拒绝承认这是漏洞(我找到了跟客服“交流”的图片截图),我在百度查询发现也有人遇到类似的情况,至于是否是漏洞大家自己判断


以下是截图内容:




本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
发表于 2018-6-15 14:33:02 | 显示全部楼层
哪家dns
回复 支持 反对

使用道具 举报

发表于 2020-6-7 12:37:56 | 显示全部楼层
一个子 没看懂
回复 支持 反对

使用道具 举报

发表于 2020-6-7 15:41:41 | 显示全部楼层
任何DNS服务商都不会校验域名所有权的,因为你既然可以修改 NS 记录,将权威DNS指向他们家,说明就有域名的控制权了,不需要额外证明
你遇到的问题应该是,你把NS记录指向了某家DNS服务商,但是你却没有去DNS服务商那里注册,被别人登记注册了,这个还得是你自己的问题

点评

谁说他们就有域名控制权了?你不知道吧,他们已经i那个修正了这个漏洞了,现在已经不能那样了,你不知道吧  详情 回复 发表于 2020-6-7 15:51
回复 支持 反对

使用道具 举报

 楼主| 发表于 2020-6-7 15:51:51 | 显示全部楼层
NeilRen_Com 发表于 2020-6-7 15:41
任何DNS服务商都不会校验域名所有权的,因为你既然可以修改 NS 记录,将权威DNS指向他们家,说明就有域名的 ...

谁说他们就有域名控制权了?你不知道吧,他们已经修正了这个漏洞了,现在已经不能那样了,你不知道吧,如果没错还修正干什么
回复 支持 反对

使用道具 举报

发表于 2020-6-7 15:59:58 | 显示全部楼层
QADXBB 发表于 2020-6-7 15:51
谁说他们就有域名控制权了?你不知道吧,他们已经修正了这个漏洞了,现在已经不能那样了,你不知道吧,如果 ...

这个情况很多年前我就知道了,我并不认为这是个漏洞,甚至我知道这是 DNSpod,因为在DNSpod 中我甚至还添加了腾讯的Tencent.com 到我的控制面板里,但人家腾讯的域名NS并不指向DNSpod,所以我添加以后也只能看看而已

点评

你认为不认为不重要,重要的是dnspod已经改了,而且知名的解析商除了他家都没有这个问题,你估计也就只用过个dnspod吧, 我用的全球知名的cloudflare没有这个问题,阿里云也没这个问题,不是你说没问题就没问题了,  详情 回复 发表于 2020-6-7 16:39
回复 支持 反对

使用道具 举报

 楼主| 发表于 2020-6-7 16:39:13 | 显示全部楼层
NeilRen_Com 发表于 2020-6-7 15:59
这个情况很多年前我就知道了,我并不认为这是个漏洞,甚至我知道这是 DNSpod,因为在DNSpod 中我甚至还添 ...

你认为不认为不重要,重要的是dnspod已经改了,而且知名的解析商除了他家都没有这个问题,你估计也就只用过个dnspod吧, 我用的全球知名的cloudflare没有这个问题,阿里云也没这个问题,不是你说没问题就没问题了,没问题dnspod还改它干嘛啊
回复 支持 反对

使用道具 举报

发表于 2020-6-7 16:50:06 | 显示全部楼层
QADXBB 发表于 2020-6-7 16:39
你认为不认为不重要,重要的是dnspod已经改了,而且知名的解析商除了他家都没有这个问题,你估计也就只用 ...

额,阿里云,godaddy,cloudflare,name,namecheap,google,aws,我都有在用,你所提到的cloudflare也是有这样的问题的,我刚刚添加了腾讯的 tencent.com,如果这个时候不巧,腾讯的NS 指向了 cloudflare,那我也有域名解析的控制权了,见图:

点评

不要说这时候“不巧”这种话 ,你做这种必须2个账号来实现的,不要假设,假设瞎吹谁不会  详情 回复 发表于 2020-6-7 17:04
闹了半天 你根本就不知道我帖子里面在说什么! 你在cd里面添加的域名cd可以激活使用吗??? 你可以控制你那个腾讯的域名吗? 可以瞎逼添加的,但是你的腾讯域名没有修改dns到cd你说这些有什么用?? 想试验就  详情 回复 发表于 2020-6-7 17:02
回复 支持 反对

使用道具 举报

 楼主| 发表于 2020-6-7 17:02:27 | 显示全部楼层
NeilRen_Com 发表于 2020-6-7 16:50
额,阿里云,godaddy,cloudflare,name,namecheap,google,aws,我都有在用,你所提到的cloudflare也 ...

闹了半天  你根本就不知道我帖子里面在说什么!   你在cd里面添加的域名cd可以激活使用吗???  你可以控制你那个腾讯的域名吗?

可以瞎逼添加的,但是你的腾讯域名没有修改dns到cd你说这些有什么用??

想试验就先把qq解析到cd再说啊  

我的问题是自己的域名修改dns到解析商,然后被解析商的其他用户劫持   你懂不懂
你要想反驳 你必须把域名解析到cd才行  知道不


不要回复了   你先搞定你的发言权吧  浪费时间,你都没权解析qq的dns,还拿qq域名来说事  不怕人笑话
回复 支持 反对

使用道具 举报

 楼主| 发表于 2020-6-7 17:04:34 | 显示全部楼层
NeilRen_Com 发表于 2020-6-7 16:50
额,阿里云,godaddy,cloudflare,name,namecheap,google,aws,我都有在用,你所提到的cloudflare也 ...

不要说这时候“不巧”这种话   ,你做这种必须2个账号来实现的,不要假设,假设瞎吹谁不会
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

手机版|Archiver|Baidu Inc.

GMT+8, 2020-11-30 08:48 , Processed in 0.259408 second(s), 17 queries .

Powered by Discuz! X3.2

© 2001-2011 Comsenz Inc.

返回顶部