アカウント名:
パスワード:
> 2. レジストラのシステムの脆弱性を使用し、レジストラの登録情報を書き換える> 4. レジストリのシステムの脆弱性を使用し、レジストリの登録情報を書き換えるソースからそうなってるけどこれらは一体何が違うんだ…
.comを例に出すと、レジストリはVeriSign、レジストラはお名前.comやNSI、Enomなどです。レジストリはVeriSign1社ですが、レジストラは世界中で1000社以上あります。
.comの場合、顧客のデータは基本的にレジストラが持っていて、VeriSignが直接ユーザーからの各種申請を受け付けることはありません。登録や変更などはレジストラ経由で行われ、レジストラで書き換えたデータが自動的にVeriSignが持つデータベースに反映される仕組みになっています。
ということで、
2.の場合は、お名前.comなりNSIなりの持つデータが書き換えられて、その結果VeriSignのDBにそのまま反映された4.の場合は、VeriSignのデータベースが直接書き換えられた
という違いがあります。
2.の場合は、脆弱性を抱えたシステムを使っているレジストラのユーザーでなければ被害に遭うことはありませんが、4.の場合はどこのレジストラを使ってようと、.comのユーザーである限り、狙われれば自分が被害者になる可能性があります。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
4点の攻撃手法？ (スコア:0)
> 2. レジストラのシステムの脆弱性を使用し、レジストラの登録情報を書き換える
> 4. レジストリのシステムの脆弱性を使用し、レジストリの登録情報を書き換える
ソースからそうなってるけどこれらは一体何が違うんだ…
Re:4点の攻撃手法？ (スコア:4, 参考になる)
.comを例に出すと、レジストリはVeriSign、レジストラはお名前.comやNSI、Enomなどです。
レジストリはVeriSign1社ですが、レジストラは世界中で1000社以上あります。
.comの場合、顧客のデータは基本的にレジストラが持っていて、VeriSignが直接ユーザーからの各種申請を受け付けることはありません。
登録や変更などはレジストラ経由で行われ、レジストラで書き換えたデータが自動的にVeriSignが持つデータベースに反映される仕組みになっています。
ということで、
2.の場合は、お名前.comなりNSIなりの持つデータが書き換えられて、その結果VeriSignのDBにそのまま反映された
4.の場合は、VeriSignのデータベースが直接書き換えられた
という違いがあります。
2.の場合は、脆弱性を抱えたシステムを使っているレジストラのユーザーでなければ被害に遭うことはありませんが、
4.の場合はどこのレジストラを使ってようと、.comのユーザーである限り、狙われれば自分が被害者になる可能性があります。