微软170万美金买下史上最危险域名，黑客：？？？

本文来自公众号：InfoQ（ID：infoqchina），作者：万佳，题图来自：《黑客帝国》

corp.com，史上最危险域名，堪称域名界的“魔鬼”。

作为史上最危险域名，corp.com 在今年首次被公开出售，售价 170 万美元。幸好，这个域名最终被微软买下，没有落入网络犯罪分子手中，否则后果不堪设想。

据 KrebsOnSecurity 报道，为防止其落入网络犯罪分子手中被滥用，微软宣布同意购买高度危险域名 corp.com。

域名专家称 corp.com 极其危险。因为经过多年的技术测试表明，这个域名堪称“魔鬼”。任何人只要拥有 corp.com，就能访问全球主要公司数十万台 Windows PC 中海量的密码、电子邮件和其他敏感数据。换句话说，谁掌握了 corp.com 域名，他就能随时获取公司内部机密信息和敏感数据。这也意味着公司内部信息安全不复存在。

本周一，corp.com 所有者迈克·奥康纳（Mike O’Connor ）称，微软已经同意购买“魔鬼”域名 corp.com。但是，他表示自己不能详细透露交易条款，并且对此事不宜做过多评论。

微软在一份书面声明中表示，收购该域名是为了更好地保障用户安全与隐私。“我们一直鼓励用户在规划内部域和网络名称时具备安全意识。”声明写道，“我们在 2009 年 6 月发布了一份安全公告和相应的安全更新。为了能持续为客户提供安全保障，我们还收购了 corp.com 域名。”

corp.com 的所有者：美国版蔡文胜

在国内，谈到域名生意，就不得不提蔡文胜。2000 年，蔡文胜进入互联网领域，投资域名并获得巨大成功。比如，他出售 360.com 域名，卖了一个亿，成功入选史上十大最贵域名交易名单。

相比蔡文胜，迈克·奥康纳（Mike O’Connor ）同样在域名生意上获得很大成功。一直以来，迈克·奥康纳都是 corp.com 域名的所有者。作为一名早期的域名投资者，他在 1994 年以低价将几个国宝级珍稀域名收入囊中，包括 bar.com、cafes.com、grill.com、place.com、pub.com 和 television.com。

这些年，靠出售域名，奥康纳日子不愁，生活无忧。虽然不时卖掉一些域名，但是他对 corp.com 一直“讳莫如深”，绝口不提出售之事。因为他深知这个域名太重要，因此不会轻易出手。

不过据小道消息，奥康纳透露几年前微软曾提出以 2 万美元收购 corp.com 遭到他拒绝。奥康纳认为 2 万美元价格太低，没有达到域名的市场价值。

如今，奥康纳年近 70，更喜欢“落袋为安”，开始考虑出售 corp.com，要价 170 万美元。对于这种商务范十足的绝版域名而言，这个价格相当实惠。不过，即使有人想买，恐怕也“拿不住”。相反，那些在网络犯罪集团或国家黑客组织中工作的人都想得到 corp.com，有了它，网络不法分子相当于得到“魔戒”。

奥康纳一直都希望微软可以购买 corp.com 域名，因为有数十万台不明身份的 Windows PC 一直试图与 corp.com 分享敏感数据。同时，Windows 的早期版本怂恿用户对不安全设置的采用，让 Windows 电脑更可能试图和 corp.com 分享敏感数据。

魔鬼域名：corp.com

这个问题被称为 namespace collision。一旦发生这种情况，原来只打算在公司内网中使用的域名最后与外部互联网中正常解析的域名发生重叠，因此公司内数据会流向外网。

一直以来，Windows 系统都以一种特殊方式处理本地网络上的域名解析。公司内网中的 Windows 计算机使用 Active Directory（活动目录）来验证该网络上的其他内容。据悉，Active Directory 服务是 Windows 平台的核心组件，它存储了有关网络对象的信息。各个对象彼此查找要借助一个名为 DNS name devolution 的 Windows 功能，这种网络速记方法能轻松查找其他计算机或服务器，而无需为这些资源指定完整的合法域名。

比如，有家公司运行一个名为 internalnetwork.example.com 的内部网络，而这个网络上的员工想访问一个名为“drive 1”的共享驱动器。他不用费劲地键入“drive1.internalnetwork.example.com”来进入资源管理器，只需键入“\drive1\”，Windows 会负责剩余的工作。

不过，如果内部 Windows 域无法映射回企业实际拥有和控制的二级域名，事情就会变得很糟糕。因为，支持 Active Directory 的 Windows 早期版本，比如 Windows Server 2000，默认或示例 Active Directory 路径被指定为“Corp”。并且，很多公司采用这种设置，却没有修改成自己公司的二级域名。后来，这些公司在这种错误的环境下建立或整合了庞大企业网络，这让问题变得更严重，错上加错。

二三十年前，员工不可能带着笨重的电脑到处转悠。但是，在移动办公时代，轻薄笔记本层出不穷，这个安全问题也随之被放大。假设那些配置 Active Directory、默认网络路径为 Corp 的公司员工将工作用的笔记本电脑带到星巴克，那会发生什么？

或许，员工笔记本电脑上的某些资源依旧会尝试访问公司内网上的 Corp 域名，但由于 Windows 系统的 DNS name devolution 功能，电脑会通过星巴克无线网络连接，去互联网上的“corp.com”去寻找相同资源。

这意味着，corp.com 域名的控制者能“被动拦截”来自数十万台计算机的私人通信。

吓出一身冷汗

在 2 月份的一篇报道中，KrebsOnSecurity 披露了一些测试信息。作为一名安全专家，杰夫·施密特（Jeff Schmidt）对 DNS 名称空间冲突进行过长期研究。

在对 2019 年流向 Corp.com 的企业内部流量进行的八个月分析中，施密特发现有超过 375,000 台 Windows PC 正在尝试发送信息，包括尝试登录公司内网以及访问网络上的特定共享文件。

这个测试结果惊出施密特“一身冷汗”。

“这太可怕了。我们在 15 分钟后就中断了实验，并销毁了数据。”他表示。

多年以来，微软已经发布数个软件更新，来帮助减少名称空间冲突的可能性。但是，专家表示几乎没有任何易受攻击的企业会听从微软建议，部署这些修复程序。主要有两个原因：一是企业这样做，需要在一段时间内关闭其整个 Active Directory 网络；二是根据微软的说法，补丁可能会破坏或拖慢企业日常运行所依赖的许多应用程序。

KrebsOnSecurity 博主指出：微软买下 corp.com 这个域名，这为那些将 Active Directory 构建于“corp”或“corp.com”之上的公司提供了安全保障。事实上，任何公司如果将其内部 Active Directory 网络与不受控的域名“绑在一起”，最终都会让自己陷入安全噩梦中。

在笔者看来，微软之举不仅让广大 Windows 用户松了一口气，而且还消除了网络犯罪分子或黑客利用该域名实施攻击的可能性。

参考链接：https://krebsonsecurity.com/2020/04/microsoft-buys-corp-com-so-bad-guys-cant/

本文来自公众号：InfoQ（ID：infoqchina），作者：万佳