跳转至

T1584-001-盗取基础设施-域名

来自ATT&CK的描述

攻击者可能会劫持域名或子域名,以便在目标攻击中使用。域名注册劫持是指未经原注册人允许而改变域名注册的行为。攻击者可能获得被列为域名所有者的电子邮件账户。然后,攻击者可以声称他们忘记了自己的密码,以便对域名注册进行更改。其他的可能性包括通过社会工程使域名注册服务台获得对账户的访问权,或者利用续费过程中的漏洞。

当组织的DNS条目指向不存在的或被取消的资源时,就会发生子域劫持。在这种情况下,攻击者可能会控制一个子域,利用与该域相关的信任来进行操作 。

测试案例

子域名劫持漏洞详解、挖掘和防护

https://blog.csdn.net/nini_boom/article/details/108308966

关于子域名劫持的一些总结

https://xz.aliyun.com/t/6683

检测日志

无法有效监测

测试复现

测试留痕

检测规则/思路

建议

缓解措施

这种技术不容易用预防控制来缓解,因为它是基于企业防御和控制范围之外的行为。

检测

这种活动大多发生在目标组织的能见度之外,使得对这种行为的检测变得困难。检测工作可能集中在攻击生命周期的相关阶段,如在指挥和控制期间。

参考推荐

MITRE-ATT&CK-T1584-001

https://attack.mitre.org/techniques/T1583/001/

子域名劫持漏洞详解、挖掘和防护

https://blog.csdn.net/nini_boom/article/details/108308966

关于子域名劫持的一些总结

https://xz.aliyun.com/t/6683