https://activity.twcert.org.tw/2026/index.htm
https://www.informationsecurity.com.tw/seminar/2026_Finance/

觀點

透過DNS區域轉送攻擊 政府、電信主機資訊被看光光

2014 / 05 / 12
張維君
透過DNS區域轉送攻擊 政府、電信主機資訊被看光光
駭客在入侵企業系統前,必定會以各種刺探方式掌握目標對象的主機、IP位址、設備等資訊,再搭配系統弱點就可以長驅直入。早在15年前就被提出的DNS區域轉送攻擊(Zone Transfer),正是可被用來取得組織內部伺服器資訊的手法,目前全台卻仍有包括台北市政府在內的政府機關、知名電信業者、電子商務、人力銀行等網站有此漏洞,其系統正暴露在高度風險之中。

資安廠商DEVCORE在進行網路監控時發現此一問題,在Alexa TW Top 525當中有48個網域仍存有Zone Transfer漏洞。DEVCORE執行長翁浩正表示,透過此一漏洞,即可讓駭客掌握目標對象的內網配置,包括有哪些主機、主機IP位址或設備等資訊,只要再搭配未修補的系統弱點,很容易就被取得控制權限。

翁浩正進一步指出,此一漏洞屬於網管設定的問題,在Windows系統只要到伺服器管理員修改「允許區域轉送」的設定即可,詳見此文。透過防火牆,雖然可以擋掉TCP 53 port,但UDP 53 port 仍然可以洩露,因此修改設定仍然是比較一勞永逸的做法。

最新活動

看更多活動

大家都在看

資安院提「國家資安防護2.0」:打造「AI資安攻防沙箱」開放政府與產業演練
資安院提「國家資安防護2.0」:打造「AI資安攻防沙箱」開放政府與產業演練
輝達推出開放式 AI 代理安全平台,以 OpenShell 與 Sentry 限縮代理行為
輝達推出開放式 AI 代理安全平台,以 OpenShell 與 Sentry 限縮代理行為
寫給資安人:合規過關了,為什麼還是被打進來?
寫給資安人:合規過關了,為什麼還是被打進來?
當國家級盾牌變成矛:以 MOP 網路犯罪理論與 DEFSOP 鑑識流程解構資安院竊密案
當國家級盾牌變成矛:以 MOP 網路犯罪理論與 DEFSOP 鑑識流程解構資安院竊密案
OpenAI 將在歐盟為 ChatGPT 與 Codex 文字加入隱形浮水印,技術名為「textGrain」
OpenAI 將在歐盟為 ChatGPT 與 Codex 文字加入隱形浮水印,技術名為「textGrain」