Subdomain Takeover Nedir? Nasıl Yapılır? Nasıl Korunulur?

Bildiğiniz gibi bu yazımı daha önce yayınlamıştım. Ama kısa ve öz olarak anlattığım için ve legal olmayan şekilde örnek(p0c) paylaştığım için o yazımı kısa süre içinde kaldırdım. Şimdi biraz daha ayrıntılı ve legal (:D) olarak anlatayım. Başlayalım;

Subdomain Hack / Devralma Güvenlik Açığı Nedir, Güvenlik Açığının Etkileri Nelerdir? Bu tür saldırıları nasıl önleyebilirsiniz? Buna ek olarak, Güvenlik Açığı Alt Siteleri Tanımlama ve Kullanma ile İlgili Adım Adım Kılavuzu’nu anlatmak için elimden gelenin en iyisini yazmaya çalıştım. Bunun için 5 tane servis var anlatayım.

  • Amazon Cloudfront
  • Heroku (benim favorim)
  • Desk.com
  • Pantheon Hizmeti
  • Github Sayfaları

Çoğu olarak daha önce ki yazımda gelen mesajlara baktığımda 404 hatası olan subdomainleri ele geçirebilir miyiz tarzında sorularla karşılaştım 🙂 Şimdi Subdomain Takeover(Ele Geçirme -Devralma) nedir? başlayalım

 Bir alt alan ele geçirme, yüksek bir şiddet tehdidi olarak kabul edilir ve bir alanın başka birisinin (kötü niyetle) kaydedilmesiyle sonuçlanır. Bunu yaparak, bilgisayar korsanı, alt alanların tam denetimini üstlenebilir. Subdomain Devralma, Desk, Squarespace, Shopify, Github, Tumblr ve Heroku gibi harici servisler kullanılarak yapılabilir. Peki bu olayın çalışma mantığı nedir?

Web sitenizde work.mysite.com adresinde yer alan ‘Work’ adında bir hizmet; bitbucket, AWS Cloudfront veya Heroku gibi üçüncü taraflarda ve bu url mysitework.herokudns.com adresindeki CNAME kayıtlarında barındırılır ve bu hizmet heroku’da kullanılmaz. sadece kullanmaya karar verdiniz ve süresi doldu ya da daha önce hak iddia etmediniz ama bir dns girişine heroku işaret ettiniz, bu yüzden bir saldırgan bunu talep edebilir, daha sonra work.mysite.com adresini ziyaret ettiğinizde heroku’daki saldırgan sitesine yönlendirilirsiniz veya saldırgan tarafından Mac İçeriğini göster.  Yani şöyle anlatalım. Sizin Dns kayıtlarınızda heroku yada diğer servislerden birini kullanıyorsanız başka biri bunu ele geçirebilir. 

Şimdi İse kısaca nasıl yapacağımızı anlatayım.

  • İnsanlar alt alanlarını bu servislerde kaydeder.
  • Şimdi bunu 3. parti uygulamalarına / web sitelerine yönlendiriyorlar, Github sayfaları, Heroku, S3, AWS bazı örneklerdir.
  • Bazen bu özelliği kullandıklarını önemsemezler  veya dururlar ve dns kayıtlarını kaldırmayı unuturlar.
  • Bir sayfaya işaret eden isim sunucusunda bir giriş yapın
  • Bir hesap oluşturun ve bu sayfayı talep edin.
  • Sonuç: Subdomain Takeover Başarılı oldu 🙂 

Şimdi Sırayla Servislerde Subdomain Takeover Saldırısını anlatalım.

Süresi Dolmuş Cloudfront Dağılımı ile Subdomain Alımı:

CloudFront  kullanan ve süresi dolmuş bir domain adresine gittiğinizde hata sayfası ile karşılaşacaksınız. Örnek: “live.lamborghini.com”

Ancak bu hata yeterli değil Her iki HTTPS / HTTP’de de aynı hata oluşursa alt etki alanını denetlemeniz gerekir. Her iki durumda da alt alan bir AWS cloudfront dağılımı oluşturarak ve alt etki alanını ele geçirebiliriz

AWS Cloudfront hesabınıza giriş yapın ve alt alan için Yeni Bir kayıt oluşturun ya da mevcut alan adını kullanın

Şimdi bundan sonra Cloudfront Dağıtım seçeneklerine gidin ve Yeni Bir Bulut Dağıtımını oluşturalım.

WEB seçeneğini seçelim ve CNAME’de subdomain yani sub.site.com bağlantısını ekleyelim.

Son ayarları kaydettik ve Sonuç Subdomain Takeover başarılı oldu 🙂 Sırada Heroku Mantığını Anlatalım 🙂 

2. Heruko Kullanarak Subdomain Takeover:

Hedef Domain de aşağıdaki gibi hata ile karşılaşırız.

Şimdi doğrulama için DNS bilgisinde CNAME girişini kontrol edin (site.herokudns.com adresine benzer bir şey olmalı) Sonra .. Heruko.com’da yeni bir hesap oluşturun ve bilgilerinizi kaydedin. Daha Sonra da uygulamanızı oluşturun 🙂

Uygulamayı oluşturduktan sonra Uygulama dağıtım menüsüne gidin ve Dağıtım Yönteminizi (Github, dropbox vb.) bağlayın. Ardından Ayarlara git ve kurulum paketini ayarlayın.

Bundan sonra, alan adını Build packs menüsünün altına ekledikten sonra github’a içerik ekleyin ve ekleme menüsüne geri dönün ve ekledikten sonra clikc veya otomatik güncellemeyi etkinleştirin. Sonuç Olarak Subdomain Takeover başarılı oldu 🙂 Diğer  Servisleride anlatmak isterim ama baya uzun olacak merak edenler ulaşırsa özel olarak anlatabilirim 🙂 

Peki Asıl sorumuz şu olmalı: Bu saldırılardan nasıl korunabiliriz?

  • Alt alanınızın, güncellemediğiniz harici bir hizmete yönlendirildiğini unuttuysanız, alt alan adınızda harici hizmetin DNS yapılandırmasını kaldırmanız yeterlidir.
  • Detectify adlı alanın izlenmesi
    Alan tespitini tespit et, alt alan adlarını potansiyel alt alan ele geçirmeleri için izlemek için kullanılan bir hizmettir. Genel DNS çözümleyicilerindeki değişiklikleri izler ve herhangi bir anormalliği tespit ettiğimizde sizi uyarır.

Buraya Subdomain Takeover mantığı ile hacklenmiş donald Trump’un sitesinin zone-h kaydını bırakıyorum.

Donald Trump Subdomain Takeover Zone

Elimden Geldiğince ayrıntılı bir şekilde meşhur Subdomain Takeover Mantığını anlatmaya çalıştım. Bu konu ile ilgili sorularınız olursa mail adresimden bana ulaşabilirsiniz 🙂 

Bunlara da bakmak isteyebilirsin ;)

3 yorum

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir