区块见闻 区块见闻
Ctrl+D收藏区块见闻
首页 > 币赢 > 正文

HTT:从项目方及用户角度,简析 DNS 被劫持的根本原因_GAT

作者:

时间:

DNSHijacking(劫持)大家应该都耳濡目染了,历史上MyEtherWallet、PancakeSwap、SpiritSwap、KLAYswap、ConvexFinance等等以及今天的@CurveFinance,十来个知名加密货币项目都遭遇过。但很多人可能不一定知道其劫持的根本原因,更重要的是如何防御,我这里做个简单分享:

DNS可以让我们访问目标域名时找到对应的IP:vxhuang33868

Domain->IP_REAL

如果这种指向关系被攻击者替换了:

Domain->IP_BAD(攻击者控制)微博小新投资笔记

那这个IP_BAD所在服务器响应的内容,攻击者就可以任意伪造了。最终对于用户来说,在浏览器里目标域名下的任何内容都可能有问题。DNS劫持其实分为好几种可能性,比如常见的有两大类:

1.域名控制台被黑,攻击者可以任意修改其中的DNSA记录(把IP指向攻击者控制的IP_BAD),或者直接修改Nameservers为攻击者控制的DNS服务器;

2.在网络上做粗暴的中间人劫持,强制把目标域名指向IP_BAD。

第1点的劫持可以做到静默劫持,也就是用户浏览器那端不会有任何安全提示,因为此时HTTPS证书,攻击者是可以签发另一个合法的。

第2点的劫持,在域名采用HTTPS的情况下就没法静默劫持了,会出现HTTPS证书错误提示,但用户可以强制继续访问,除非目标域名配置了HSTS安全机制。

重点强调下:如果现在有Crypto/Web3项目的域名没有强制HTTPS(意思是还存在HTTP可以访问的情况),及HTTPS没有强制开启HSTS(HTTPStrictTransportSecurity),那么对于第2点这种劫持场景是有很大风险的。大家擦亮眼睛,一定要警惕。

对于项目方来说,除了对自己的域名HTTPS+HSTS配置完备之外,可以常规做如下安全检查:

1.检查域名相关DNS记录(A及NS)是否正常;

2.检查域名在浏览器里的证书显示是否是自己配置的;

3.检查域名管理的相关平台是否开启了双因素认证;

4.检查Web服务请求日志及相关日志是否正常。

对于用户来说,防御要点好几条,我一一讲解下。

对于关键域名,坚决不以HTTP形式访问,

而应该始终HTTPS形式

如果HTTPS形式,浏览器有HTTPS证书报错,那么坚决不继续。这一点可以对抗非静默的DNS劫持攻击。

对于静默劫持的情况,不管是DNS劫持、还是项目方服务器被黑、内部作恶、项目前端代码被供应链攻击投等,其实站在用户角度来看,最终的体现都一样。浏览器侧不会有任何异常,直到有用户的资产被盗才可能发现。

那么这种情况下用户如何防御呢?用户除了保持每一步操作的警惕外。

我推荐一个在Web2时代就非常知名的浏览器安全扩展:@noscript(推特虽然很久很久没更新,不过惊喜发现官网更新了,扩展也更新了),是@ma1的作品。

NoScript默认拦截植入的JavaScript文件。

但是NoScript有一点的上手习惯门槛,有时候可能会很烦,我的建议是对于重要的域名访问可以在安装了NoScript的浏览器(比如Firefox)上进行,其他的尽管在另一个浏览器(如Chrome)上进行。

隔离操作是一个很好的安全习惯。许多你可能觉得繁琐的,驾驭后、习惯后,那么一切都还好。

但是这并不能做到完美防御,比如这次@CurveFinance的攻击,攻击者更改了其DNSA记录,指向一个IP_BAD,然后污染了前端页面的

植入了盗币有关的恶意代码。

如果我们之前NoScript信任了Curve,那么这次也可能中招。

可能有人会说了要不要多安装一些浏览器安全扩展,我的看法之前已经提过

这个话题我暂时先介绍到这,目的是尽可能把其中要点进行安全科普。至于其他一些姿势,后面有机会我再展开。

如果你觉得对你有帮助或有什么要补充的,欢迎参与讨论。

标签:THEINGGATHTTAthena Returns OleaOpen Trading NetworkGAT价格htt币价格今日行情

币赢热门资讯
HER:CoinUp每日一眼报0811_NCE

1.帕丽斯·希尔顿在沙盒中建造了自己的虚拟马里布大厦ParisHiltonBuildsHerOwnVirtualMalibuMansioninTheSandbox2.

SDT:ETF代幣福利來襲——交易即享 4,500 USDT 獎池,先到先得!_THE

親愛的用戶: ????自平台ETF專區開啟永免交易手續費以來,ETF產品得到平台廣大用戶的一致好評,8月.

Gate.io HODL & Earn Stepwatch (SWP) #1: Flexible Staking

Gate.ioHODL&EarnSWP#1willbeavailableatGate.io''s“HODL&Earn”undertheflexible-termsection.

ENS:ENS:Web3世界的名片_NFT

8月1日,蒂芙尼以近33WRMB的价格购买ENS域名tiffany.eth,引发越来越多的圈内外人士开始关注到ENS这一应用.

coinbase:加密企业Q2财报概览:熊市中「涉密」巨头们表现如何?_Milady Vault (NFTX)

原文作者:Babywhale,ForesightNews从7月下旬开始,上市公司纷纷公布了第二季度的财务报告.

TPS:XT.COM關於暫停BIBL提現的公告_htt币局

尊敬的XT.COM用戶:因BIBL錢包升級維護,XT.COM現已暫停BIBL提現業務。給您帶來的不便,請您諒解!感謝您對XT.COM的支持與信任.