1. cloudflare/乗取

DNS/Cloudflare/乗取

watchA/cloudflare2/howard+kristina

Security in place to prevent Domain Hijacking https://community.cloudflare.com/t/security-in-place-to-prevent-domain-hijacking/59326

/4xfw.com

1.1. ゾーンをもたないドメイン名

• 22000件あまり。

1.2. 乗取が疑われるドメイン名 1

• (2個のNSのうちひとつが返事をする。委譲NSと不一致) 3200件

/doggonnit.com

1.3. 乗取が疑われるドメイン名 2

cloudflare側が返答NSを加工しているのではないかという疑いも出てきた。

• 許されるのだろうか。-- ToshinoriMaeno 2020-03-17 03:03:37

別種の乗取らしきケースを見かけた。昨日は80件あまりだった。/ethan (遡ると600件以上ある。)

• 前日までゾーンなしだったのが、activeになった。でもExact matchではない。

返事は特定のNSセットを指しているので、なんらかの手段があるらしい。 -- ToshinoriMaeno 2020-03-08 01:59:39

乗取犯はethanを割当られた人間だ。対象ドメインに権利を持つアカウントを乗取ったか。

• アカウント乗取にしては、手間をかけ過ぎに感じる。

Cloudflareでのゾーン登録の仕組み(ドメイン権限check)に穴があるのかも。-- ToshinoriMaeno 2020-03-13 00:40:44

そして、うち4つが今日は消滅している。いずれもドメインの期限切れだ。乗取を疑う根拠になる。

#NOZ audiencerapp.com
#NOZ haberlersivas.com
#NOZ sa-1212.com
#NOZ tm-ok.com

乗取を理解する助けになる情報: DNS/lame_delegation/cloudflare

cloudflareにアカウントを持っていれば、なにがおかしいかの話は簡単に理解できると思う。

• 使ったことがないひとを相手にわかるように説明するのは難しい。

乗取を疑ってもよさそうなドメインの一部だ。

• これらのドメインのNSを調べることから始めてほしい。-- ToshinoriMaeno 2019-10-30 00:11:54

A レコードが共通しているとか、 MXを設定していないなどの特徴もある。

68.45.5.in-addr.arpa.   172800  IN      NS      n2.3nt.com.
68.45.5.in-addr.arpa.   172800  IN      NS      n1.3nt.com.

answer: www.12handikap.com 300 A 5.45.68.86
answer: www.17handikap.com 300 A 5.45.68.86
answer: www.3xdiscount.com 300 A 5.45.68.86
answer: www.bahsinioyna5.com 300 A 5.45.68.86
answer: www.bodyhackt.com 300 A 5.45.68.86
answer: www.bookletsworld.com 300 A 5.45.68.86
answer: www.butlerandclaypool.com 300 A 5.45.68.86
answer: www.cesindy2018.com 300 A 5.45.68.86
answer: www.diabasil.com 300 A 5.45.68.86
answer: www.divaphone.com 300 A 5.45.68.86
answer: www.freddycurci.com 300 A 5.45.68.86
answer: www.hightidesmedia.com 300 A 5.45.68.86
answer: www.lawcommonentrance.com 300 A 5.45.68.86
answer: www.mesoindonesia.com 300 A 5.45.68.86
answer: www.mutiarabijaksana.com 300 A 5.45.68.86
answer: www.mycelticjeweler.com 300 A 5.45.68.86
answer: www.nicepieceproductions.com 300 A 5.45.68.86
answer: www.overtijdpil.com 300 A 5.45.68.86
answer: www.parimatch-affiliate.com 300 A 5.45.68.86
answer: www.rhinoequipment.com 300 A 5.45.68.86
answer: www.rpdlshlp.com 300 A 5.45.68.86
answer: www.sbpcshlp.com 300 A 5.45.68.86
answer: www.sharkupright.com 300 A 5.45.68.86
answer: www.stablepathplan.com 300 A 5.45.68.86
answer: www.the54thdeadline.com 300 A 5.45.68.86

inetnum:        5.45.64.0 - 5.45.71.255
netname:        CLOUD-NETWORK-NL