解密黑客進行域名注冊信息修改劫持的步驟：
第一步：獲取需要劫持域名的注冊信息-黑客首先會通過MAKECHANGESC查詢域名的注冊信息。
第二步：控制該域名的電子郵箱賬號-通過獲取的郵箱信息，攻擊這通過社會工程學(xué)或者暴力破解學(xué)進行電子郵箱密碼破解，有能力的直接入侵郵箱獲得所需信息。
第三步：修改注冊信息-獲得電子郵箱控制器之后，會通過MAKECHANGES功能修改域名注冊信息，比如注冊信息，擁有者信息，DNS服務(wù)器信息等。
第四步：此時攻擊者就可以通過郵件獲取網(wǎng)絡(luò)公司回饋的注冊信息確認(rèn)，此時域名劫持成功。
DNS劫持的六大方法：
方式一：利用DNS服務(wù)器進行DDOS攻擊
正常的DNS服務(wù)器遞歸詢問過程可能被利用成DDOS攻擊的。假設(shè)攻擊者已知被攻擊機器的IP地址，然后攻擊者使用該地址作為發(fā)送解析命令的源地址。這樣當(dāng)使用DNS服務(wù)器遞歸查詢后，DNS服務(wù)器響應(yīng)給最初用戶，而這個用戶正是被攻擊者。那么如果攻擊者控制了足夠多的肉雞，反復(fù)的進行如上操作，那么被攻擊者就會受到來自于DNS服務(wù)器的響應(yīng)信息DDOS攻擊，下為攻擊原理。
攻擊者發(fā)送控制信號給肉雞群機器。
肉雞群機器針對這個遞歸DNS不斷的執(zhí)行這條記錄的查詢。
本地的DNS服務(wù)器首先在它的本地表（或緩存）中進行查找“www.antiy.com”，如果找到將其返回客戶端，如果沒有發(fā)現(xiàn)，那么DNS服務(wù)器發(fā)送一個查詢給根服務(wù)器，來查詢“www.antiy.com”的IP地址。
根服務(wù)器收到訊息（信息）后會回應(yīng)“www.antiy.com”頂級域（TLD）服務(wù)器的地址。
然后由本地的DNS服務(wù)器聯(lián)系頂級域名（TLD）服務(wù)器來確定“www.antiy.com”的IP地址。
頂級域（TLD）服務(wù)器會回應(yīng)針對“www.antiy.com”的名稱的服務(wù)器地址。
本地DNS服務(wù)器聯(lián)系得到的“www.antiy.com”的名稱服務(wù)器來確定它的IP地址。
遞歸DNS獲得了某域名的IP地址后，把所有信息都回復(fù)給源地址，而此時的源地址就是被攻擊者的IP地址了。如果攻擊者擁有著足夠多的肉雞群，那么就可以使被攻擊者的網(wǎng)絡(luò)被拖垮至發(fā)生中斷。利用DNS服務(wù)器攻擊的重要挑戰(zhàn)是，攻擊者由于沒有直接與被攻擊主機進行通訊，隱匿了自己行蹤，讓受害者難以追查原始的攻擊來。相對比較好的解決辦法就是可取消DNS服務(wù)器中允許人人查詢網(wǎng)址的遞回(recursive)功能。
方式二：DNS緩存感染
攻擊者使用DNS請求，將數(shù)據(jù)放入一個具有漏洞的的DNS服務(wù)器的緩存當(dāng)中。這些緩存信息會在客戶進行DNS訪問時返回給用戶，從而把用戶客戶對正常域名的訪問引導(dǎo)到入侵者所設(shè)置掛馬、釣魚等頁面上，或者通過偽造的郵件和其他的server服務(wù)獲取用戶口令信息，導(dǎo)致客戶遭遇進一步的侵害。
方式三：DNS信息劫持
原則上TCP/IP體系通過序列號等多種方式避免仿冒數(shù)據(jù)的插入，但入侵者如果通過監(jiān)聽客戶端和DNS服務(wù)器的對話，就可以猜測服務(wù)器響應(yīng)給客戶端的DNS查詢ID。每個DNS報文包括一個相關(guān)聯(lián)的16位ID號，DNS服務(wù)器根據(jù)這個ID號獲取請求源位置。攻擊者在DNS服務(wù)器之前將虛假的響應(yīng)交給用戶，從而欺騙客戶端去訪問惡意的網(wǎng)站。假設(shè)當(dāng)提交給某個域名服務(wù)器的域名解析請求的數(shù)據(jù)包被截獲，然后按截獲者的意圖將一個虛假的IP地址作為應(yīng)答信息返回給請求者。這時，原始請求者就會把這個虛假的IP地址作為它所要請求的域名而進行連接，顯然它被欺騙到了別處而根本連接不上自己想要連接的那個域名。
方式四：DNS重定向
攻擊者如果將DNS名稱查詢重定向到惡意DNS服務(wù)器。那么被劫持域名的解析就完全至于攻擊者的控制之下。
方式五：ARP欺騙
ARP攻擊就是通過偽造IP地址和MAC地址實現(xiàn)ARP欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞，攻擊者只要持續(xù)不斷的發(fā)出偽造的ARP響應(yīng)包就能更改目標(biāo)主機ARP緩存中的IP-MAC條目，造成網(wǎng)絡(luò)中斷或中間人攻擊。ARP攻擊主要是存在于局域網(wǎng)網(wǎng)絡(luò)中，局域網(wǎng)中若有一臺計算機感染ARP木馬，則感染該ARP木馬的系統(tǒng)將會試圖通過“ARP欺騙”手段截獲所在網(wǎng)絡(luò)內(nèi)其它計算機的通信信息，并因此造成網(wǎng)內(nèi)其它計算機的通信故障。ARP欺騙通常是在用戶局網(wǎng)中，造成用戶訪問域名的錯誤指向，但在IDC機房被入侵后，則也可能出現(xiàn)攻擊者采用ARP包壓制正常主機、或者壓制DNS服務(wù)器，而李代桃僵，以使訪問導(dǎo)向錯誤指向的情況。
方式六：本機劫持
在計算機系統(tǒng)被木馬或流氓軟件感染后可能會出現(xiàn)部分域名的訪問異常，如訪問掛馬或者釣魚站點、無法訪問等情況，本機劫持有hosts文件篡改、本機DNS劫持、SPI鏈注入、BHO插件等方式，雖然并非都通過DNS環(huán)節(jié)完成，但都會造成無法按照用戶意愿獲得正確的地址或者內(nèi)容的后果。
聯(lián)系客服
