信息來源：安全牛

在與域名持有者僵持了26年后，微軟終于決定買下史上最危險(xiǎn)域名corp.com，這很可能與全球新冠病毒肆虐遠(yuǎn)程辦公激增導(dǎo)致域名相關(guān)企業(yè)安全風(fēng)險(xiǎn)飆升有很大關(guān)系。

近日，據(jù)知名安全博主Brian Krebs報(bào)道，微軟已經(jīng)購買了“史上最危險(xiǎn)域名”corp.com，以免落入壞人手中。據(jù)悉微軟正在確認(rèn)購買交易，但是到目前為止還沒有透露域名收購價格。

今年2月，corp.com的擁有者邁克·奧康納（Mike O’Connor）決定以170萬美元的起價公開拍賣該域名，當(dāng)時在業(yè)內(nèi)引發(fā)軒然大波，因?yàn)閏orp.com號稱史上最危險(xiǎn)域名。誰掌握了corp.com，誰就擁有了被動攻擊全球企業(yè)網(wǎng)絡(luò)的超級僵尸網(wǎng)絡(luò)，不計(jì)其數(shù)的企業(yè)內(nèi)部設(shè)備瞬間都會主動投懷送抱，成為這個僵尸網(wǎng)絡(luò)的肉雞，并向域名控制者發(fā)送企業(yè)內(nèi)網(wǎng)的敏感信息，包括密碼賬戶、電子郵件和文檔等。

corp.com之所有如此可怕，根源是“移動互聯(lián)網(wǎng)”觸發(fā)了Active Directory安全機(jī)制的一個先天缺陷，會導(dǎo)致一種空間沖突（namespace collision），發(fā)生此類沖突時，原本只打算在公司內(nèi)部網(wǎng)絡(luò)上使用的域名最終與外部互聯(lián)網(wǎng)上正常解析的域名地址發(fā)生重疊，敏感數(shù)據(jù)瞬間流向外網(wǎng)，“分享”到了corp.com站點(diǎn)上，后果可想而知。

在移動互聯(lián)網(wǎng)流行之前，企業(yè)內(nèi)網(wǎng)的電腦通常不會跑到公司樓下的咖啡屋或者機(jī)場、酒店，因?yàn)槟莻€年代的臺式機(jī)足足有30斤重。但是在移動互聯(lián)網(wǎng)、移動辦公時代，這個安全缺陷就像潛伏的活火山噴發(fā)了。

更糟糕的是，這個缺陷由于已經(jīng)成為“生米煮成熟飯”，很難通過安全更新來徹底根除。

但為什么如此多的企業(yè)都會將corp.com這個域名作為內(nèi)網(wǎng)的地址使用呢？這個問題要回溯到Active Directory的誕生。

自從比爾·蓋茨創(chuàng)建Windows帝國以來，Windows系統(tǒng)都以一種獨(dú)特的方式處理本地網(wǎng)絡(luò)上的域名解析。公司內(nèi)網(wǎng)上的Windows計(jì)算機(jī)使用Active Directory（動態(tài)目錄）來驗(yàn)證該網(wǎng)絡(luò)上的其他內(nèi)容，Active Directory是Windows環(huán)境中各種與身份相關(guān)的服務(wù)的統(tǒng)稱。系統(tǒng)要素彼此查找需要借助一個名為DNS名稱傳遞（DNS name devolution）的Windows功能，這是一種網(wǎng)絡(luò)速記方法，可以輕松查找其他計(jì)算機(jī)或服務(wù)器，而無需為這些資源指定完整的合法域名。

例如，如果一家公司運(yùn)行一個名為internalnetwork.example.com的內(nèi)部網(wǎng)絡(luò)，而該網(wǎng)絡(luò)上的員工希望訪問一個名為“drive1”的共享驅(qū)動器，則無需鍵入“drive1.internalnetwork.example.com”進(jìn)入Windows資源管理器，僅鍵入“\\drive1\”就足夠了，Windows會負(fù)責(zé)其余的工作。

但是，如果內(nèi)部Windows域無法映射回企業(yè)實(shí)際擁有和控制的二級域名，事情將變得不妙。不幸的是，在支持Active Directory的Windows的早期版本（例如Windows 2000 Server）中，默認(rèn)或示例Active Directory路徑被指定為“corp”，并且許多公司采用了此默認(rèn)設(shè)置，而沒有修改成自己公司的二級域名。

使事情更加復(fù)雜的是，一些公司隨后在這種錯誤的“郵政編碼”環(huán)境下建立（和/或整合）了龐大的企業(yè)網(wǎng)絡(luò)，一切都木已成舟，尾大不掉。

corp.com的危險(xiǎn)性絕非空穴來風(fēng)，安全專家杰夫·施密特（Jeff Schmidt）在對2019年流向corp.com的企業(yè)內(nèi)部流量進(jìn)行的八個月分析中，發(fā)現(xiàn)超過375,000臺Windows PC正在嘗試發(fā)送信息-包括嘗試登錄內(nèi)部公司網(wǎng)絡(luò)以及訪問網(wǎng)絡(luò)上的特定共享文件！

一位與JAS合作過的著名攻擊測試員指出：在實(shí)驗(yàn)過程中，“泄露的證書如瓢潑大雨”，是平生未見之壯觀景象。

施密特的結(jié)論是：

最終控制corp.com的人可能會立即擁有一個開箱即用的遍布全球的企業(yè)計(jì)算機(jī)僵尸網(wǎng)絡(luò)。

那么，面對corp.com這樣一個嚴(yán)重威脅客戶網(wǎng)絡(luò)安全和信息安全的“核臟彈”，微軟為何遲遲不肯接手？畢竟，corp.com域名持有者給出的170萬美元定價，對于一個四字母的頂級“優(yōu)質(zhì)”域名來說，似乎也算得上是“良心價”。

其實(shí)，多年來，Microsoft一直在試圖消除corp.com的威脅，發(fā)布了數(shù)個軟件更新，以幫助客戶減少名稱空間沖突的可能性。

但是事實(shí)上這些緩解措施收效甚微，因?yàn)楹苌儆衅髽I(yè)聽從微軟的建議部署這些修復(fù)程序。原因主要有兩點(diǎn)：首先，這樣做需要企業(yè)在一段時間內(nèi)同時關(guān)閉其整個Active Directory網(wǎng)絡(luò)。其次，根據(jù)微軟的說法，補(bǔ)丁程序可能會破壞或拖慢企業(yè)日常運(yùn)行所依賴的許多應(yīng)用程序。

面對這兩種情況中的任何一種，大多數(shù)受影響的公司都不可能為了消除這個紙面上的風(fēng)險(xiǎn)去冒更大的風(fēng)險(xiǎn)更新補(bǔ)丁。

微軟甚至也曾經(jīng)試圖購買corp.com，據(jù)奧康納透露，微軟的出價是2萬美元，對于corp.com這樣的四字母頂級“優(yōu)質(zhì)”域名來說，這個報(bào)價不是買，是搶。

雖然2月份至今微軟與corp.com的域名持有者奧康納之間發(fā)生了什么我們無從得知，但是根據(jù)微軟的聲明，我們猜測微軟應(yīng)該是讓步了，給奧康納開出了一個“合理的買斷價格”，解除了這個在全球微軟客戶頭頂懸掛了長達(dá)26年的“雷”。

在回復(fù)Krebs關(guān)于收購corp.com域名的詢問時，Microsoft發(fā)言人提供了如下信息：

為幫助保護(hù)系統(tǒng)的安全，我們鼓勵客戶在規(guī)劃內(nèi)部域名和網(wǎng)絡(luò)名稱時遵循良好的安全習(xí)慣。我們于2009年6月發(fā)布了安全公告，幫助確?？蛻舭踩陌踩?。作為我們對客戶安全持續(xù)承諾的一部分，我們還收購了corp.com域名。

最后，Krebs警告說，corp.com也許只是冰山一角，從安全的角度來看，任何將企業(yè)內(nèi)網(wǎng)Active Directory綁定到非企業(yè)控制的域名（編者按，即便是當(dāng)時并不存在的域名）下都是極其危險(xiǎn)的行為。