聲明：該文章來自（藍(lán)點(diǎn)網(wǎng)）版權(quán)由原作者所有，K2OS渲染引擎提供網(wǎng)頁(yè)加速服務(wù)。

國(guó)際支付卡組織萬事達(dá) (MasterCard) 日前已修復(fù)其域名服務(wù)器設(shè)置中的明顯錯(cuò)誤，這項(xiàng)錯(cuò)誤使得任何人都可以注冊(cè)拼寫錯(cuò)誤的域名來攔截或轉(zhuǎn)移萬事達(dá)的網(wǎng)絡(luò)流量。

這項(xiàng)錯(cuò)誤的持續(xù)時(shí)間長(zhǎng)達(dá) 5 年，自 2020 年 6 月 30 日起到 2025 年 1 月 14 日結(jié)束，關(guān)鍵問題在于萬事達(dá)的工程師在進(jìn)行配置時(shí)不慎將 akam.net 寫成 akam.ne

NE 域名是非洲國(guó)家尼日爾的國(guó)別頂級(jí)域名 (ccTLD)，研究人員發(fā)現(xiàn)這個(gè)錯(cuò)誤后自費(fèi) 300 美元從尼日爾注冊(cè)了這個(gè)這個(gè)域名，隨后就可以收到萬事達(dá)轉(zhuǎn)移的流量。

萬事達(dá)的官方域名 MasterCard.com 依賴于互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)提供商 Akamai 的 5 組 DNS 服務(wù)器，其中 akam.net 就是其中 1 個(gè)，而萬事達(dá)工程師將其拼成了 akam.ne。

理論上說 5 組服務(wù)器應(yīng)當(dāng)是輪詢解析流量，不過實(shí)際上 DNS 服務(wù)器通常為第一組提供主要流量解析，后面的幾組作為備份使用，即便其中一個(gè)有問題也沒關(guān)系，會(huì)自動(dòng)切換成其他 DNS 來解析。

萬事達(dá)將其 DNS 配置的一組設(shè)置為 akam.ne 后沒有對(duì)實(shí)際業(yè)務(wù)造成影響，原因就是這個(gè)域名之前是無效的因此不會(huì)參與實(shí)際解析，直到研究人員注冊(cè)了這個(gè)域名。

在研究人員注冊(cè)這個(gè)域名后，還是理論上說，研究人員可以將該域名注冊(cè)為 DNS 服務(wù)器，然后將 MasterCard.com 指向自己的服務(wù)器 IP 地址，接下來能夠執(zhí)行的惡意操作就挺多的了，例如為該域名申請(qǐng) TLS 證書進(jìn)行劫持。

比較搞笑的是出現(xiàn)這種低級(jí)錯(cuò)誤的絕對(duì)不只是萬事達(dá)，因?yàn)檠芯咳藛T也確實(shí)將 akam.ne 注冊(cè)為 DNS 服務(wù)器，隨后每天收到 10 萬 + DNS 請(qǐng)求，這意味著還有大量企業(yè)在使用 Akamai 服務(wù)時(shí)出現(xiàn)把 DNS 服務(wù)器域名拼錯(cuò)的低級(jí)錯(cuò)誤。

鑒于域名已經(jīng)被研究人員注冊(cè)所以也不會(huì)出現(xiàn)太大問題，于是研究人員在自己的 LinkedIn 上公布了這個(gè)錯(cuò)誤，萬事達(dá)很快承認(rèn)錯(cuò)誤并進(jìn)行修復(fù)，強(qiáng)調(diào)該問題沒有造成任何影響。

但研究人員未通過先公布的做法引起了萬事達(dá)的不滿，萬事達(dá)通過第三方漏洞研究與獎(jiǎng)勵(lì)平臺(tái) Bugcrowd 向研究人員發(fā)送消息，Bugcrowd 指出研究人員的做法不符合道德安全做法，同時(shí)轉(zhuǎn)達(dá)了萬事達(dá)希望刪帖的請(qǐng)求。

最后發(fā)現(xiàn)該問題的研究人員是網(wǎng)絡(luò)安全公司 Seralys 創(chuàng)始人 Philippe Caturegli，Philippe Caturegli 也提醒各位不要忽視風(fēng)險(xiǎn)、不要效仿萬事達(dá)，也不要讓你的營(yíng)銷團(tuán)隊(duì)處理安全披露問題。

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/