搜索

[11111] 2017-03-09_无文件Powershell恶意程序使用DNS作为隐蔽信道

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-03-09_无文件Powershell恶意程序使用DNS作为隐蔽信道 无 文 件 P o w e r s h e l l 恶 意 程 序 使 用 D N S 作 为 隐 蔽 信 道 白 熊   F r e e B u f   2 0 1 7 - 0 3 - 0 9 思 科 思 科 T a l o s 安 全 团 队 最 近 发 现 一 款 安 全 团 队 最 近 发 现 一 款 P o w e r s h e l l 恶 意 程 序 ， 用 恶 意 程 序 ， 用 D N S 进 行 双 向 通 信 。 进 行 双 向 通 信 。 前 言 前 言 D N S 是 企 业 网 络 中 最 常 用 的 I n t e r n e t 应 用 层 协 议 。 D N S 提 供 域 名 解 析 ， 这 样 用 户 就 可 以 通 过 域 名 而 非 I P 地 址 来 访 问 网 络 资 源 。 许 多 企 业 会 严 格 监 控 w e b 流 量 ， 但 对 基 于 D N S 的 威 胁 的 防 护 就 比 较 少 。 攻 击 者 也 注 意 到 了 这 点 ， 经 常 将 其 他 协 议 封 装 进 D N S 协 议 中 来 躲 避 安 全 监 测 。 攻 击 者 利 用 D N S 协 议 一 般 都 是 要 获 取 信 息 。 思 科 T a l o s 团 队 最 近 分 析 了 一 个 很 有 趣 的 恶 意 程 序 样 本 ， 利 用 D N S   T X T 记 录 查 询 和 响 应 来 创 建 双 向 的 C 2 通 道 。 攻 击 者 可 以 通 过 D N S 通 信 来 向 感 染 设 备 提 交 命 令 ， 并 将 命 令 执 行 结 果 返 回 给 攻 击 者 。 这 在 远 程 访 问 工 具 中 相 当 罕 见 ， 而 且 隐 蔽 性 较 高 。 此 恶 意 程 序 中 使 用 了 多 阶 段 P o w e r s h e l l 脚 本 ， 其 中 许 多 阶 段 都 是 完 全 无 文 件 的 ， 这 就 说 明 攻 击 者 为 了 避 开 检 测 也 是 很 努 力 的 。 讽 刺 的 是 ， 这 款 恶 意 程 序 的 作 者 在 代 码 中 高 调 叫 板 S o u r c e F i r e ， 于 是 就 被 思 科 的 T a l o s 团 队 揪 出 来 了 。 正 传 正 传 说 起 来 ， 这 个 故 事 缘 起 于 一 条 推 特 。 推 特 用 户 @ S i m p o 1 3 在 2 月 2 4 号 发 布 了 一 则 推 文 ， 文 中 提 到 他 正 在 分 析 的 一 段 P o w e r s h e l l 恶 意 脚 本 ， 其 中 包 含 一 段 b a s e 6 4 编 码 的 字 符 串 “ S o u r c e F i r e S u x ” （ S o u r c e F i r e   s u c k s 的 谐 音 ， 意 为 S o u r c e F i r e 烂 暴 了 ） 。 S i m p o 的 推 特 图 片 S o u r c e F i r e 正 是 思 科 于 2 0 1 3 年 用 2 7 亿 美 元 收 购 的 。 因 此 “ S o u r c e F i r e S u x ” 的 字 眼 引 起 了 思 科 威 胁 情 报 团 队 T a l o s 的 注 意 ， 而 T a l o s 团 队 中 也 刚 好 有 S o u r c e F i r e 漏 洞 研 究 团 队 的 原 班 人 马 ， 于 是 他 们 决 定 深 挖 这 段 恶 意 脚 本 。
他 们 搜 索 了 推 文 中 提 到 的 b a s e 6 4 编 码 值 “ U w B v A H U A c g B j A G U A R g B p A H I A Z Q B T A H U A e A A = ” ， 发 现 在 公 共 恶 意 程 序 分 析 沙 盒 H y b r i d   A n a l y s i s 中 有 一 个 样 本 。 另 外 ， 他 们 在 对 编 码 字 符 串 搜 索 的 过 程 中 还 定 位 到 了 一 条 P a s t e b i n 条 目 ， 其 中 列 出 了 一 写 哈 希 ， 根 据 这 些 ， 他 们 找 到 了 一 个 公 共 沙 盒 中 的 一 个 恶 意 W o r d 文 件 ， 由 此 揭 开 了 一 个 名 为 “ D N S M e s s e n g e r ”   的 多 阶 段 感 染 过 程 。 在 这 个 特 殊 案 例 中 ， 团 队 先 分 析 了 那 段 被 当 作 V B S c r i p t 文 件 提 交 到 公 共 沙 盒 中 的 P o w e r s h e l l 文 件 ， 他 们 将 之 称 为 为 “ 第 三 阶 段 ” 。 他 们 发 现 ， 前 面 提 到 的 “ S o u r c e F i r e S u x ” 字 符 串 被 用 作 互 斥 量 ， 如 图 1 所 示 。 第 一 阶 段 恶 意 第 一 阶 段 恶 意 W o r d 文 档 文 档 前 面 提 到 T a l o s 团 队 找 到 了 感 染 链 的 源 头 ， 也 就 是 那 个 恶 意 W o r d 文 档 。 这 个 文 档 是 通 过 钓 鱼 邮 件 传 播 的 。 有 趣 的 是 ， 这 个 W o r d 文 档 会 伪 装 成 被 M c A f e e 保 护 的 “ 受 保 护 文 件 ” 。 因 为 M c A f e e 的 名 气 ， 受 害 者 打 开 文 件 并 启 用 宏 的 概 率 也 就 有 所 提 升 。 打 开 后 ， 该 文 档 便 诱 使 用 户 启 用 内 容 。
文 档 用 D o c u m e n t _ O p e n ( ) 调 用 另 一 个 V B A 函 数 。 这 个 V B A 函 数 就 会 设 置 一 个 长 字 符 串 ， 其 中 包 含 一 个 P o w e r s h e l l 命 令 和 将 执 行 的 代 码 。 然 后 调 用 W i n d o w s 管 理 界 面 （ W M I ） 的 W i n 3 2 _ P r o c e s s 对 象 的 C r e a t e 方 法 ， 执 行 上 述 命 令 。 通 过 命 令 行 传 递 给 P o w e r s h e l l 的 代 码 基 本 上 是 b a s e 6 4 编 码 的 ， 并 用 g z i p 压 缩 的 ， 只 有 尾 部 一 小 部 分 没 有 编 码 。 没 有 编 码 的 这 段 会 被 用 于 解 压 缩 该 代 码 ， 并 传 递 给 I n v o k e - E x p r e s s i o n   P o w e r s h e l l   c m d l e t （ I E X ） 执 行 。 通 过 这 一 步 骤 ， 代 码 不 需 要 被 写 入 受 感 染 设 备 的 文 件 系 统 ， 就 可 以 执 行 。 团 队 还 发 现 防 病 毒 软 件 对 这 个 样 本 的 检 测 率 比 较 低 ， 为 6 / 5 4 ， 其 中 C l a m A V 能 够 成 功 检 测 这 个 样 本 。
第 二 阶 段 第 二 阶 段 P o w e r s h e l l 第 一 阶 段 中 的 I E X 执 行 P o w e r s h e l l 脚 本 后 ， T a l o s 团 队 开 始 观 察 到 感 染 设 备 上 出 现 了 一 写 比 较 有 趣 的 活 动 。 第 一 阶 段 中 描 述 的 P o w e r s h e l l 脚 本 末 端 有 一 个 函 数 ， 定 义 了 第 二 阶 段 的 指 令 和 三 阶 的 相 关 特 性 。 第 二 阶 段 中 的 代 码 经 过 了 混 淆 处 理 ， 团 队 将 这 个 阶 段 中 用 到 的 主 函 数 称 为 “ p r e _ l o g i c ” ， 将 第 三 阶 段 中 的 函 数 称 为 “ l o g i c ” 。 “ p r e _ l o g i c ” 函 数 支 持 两 个 s w i t c h 参 数 。 第 一 个 用 于 决 定 在 下 一 个 感 染 步 骤 中 是 否 要 实 现 持 久 性 。 如 果 选 择 实 现 持 久 性 ， 第 二 个 s w i t c h 就 会 决 定 第 三 阶 段 代 码 要 不 要 执 行 。 除 了 两 个 s w i t c h 外 ， “ p r e _ l o g i c ” 函 数 还 支 持 四 个 参 数 ， 这 四 个 参 数 随 后 将 传 递 给 下 一 阶 段 的 “ l o g i c ” 函 数 。 这 些 参 数 决 定 ， 下 一 个 感 染 阶 段 发 送 D N S   T X T 记 录 查 询 时 ， 要 使 用 哪 些 子 域 。 随 后 ， “ p r e _ l o g i c ” 函 数 会 解 压 第 三 阶 段 中 用 到 的 P o w e r s h e l l 脚 本 ， 就 是 包 含 在 该 脚 本 当 中 的 一 个 b a s e 6 4 编 码 的 b l o b 。 该 函 数 还 会 定 义 后 续 阶 段 将 用 到 的 一 些 代 码 ， 包 括 函 数 调 用 和 参 数 。 如 果   “ p r e _ l o g i c ” 函 数 被 调 用 时 ， 选 择 了 实 现 持 久 性 ， 函 数 将 会 查 询 感 染 系 统 ， 决 定 如 何 最 好 地 实 现 持 久 性 。 根 据 恶 意 程 序 运 行 时 使 用 的 用 户 账 户 相 应 的 访 问 权 限 ， 恶 意 程 序 将 查 询 恶 意 程 序 实 现 持 久 性 最 常 用 的 注 册 路 径 。
如 果 使 用 的 是 管 理 员 权 限 账 户 ， 那 么 脚 本 会 查 询 并 设 置 ： $ r e g _ w i n _ p a t h :   “ H K L M : S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n ” $ r e g _ r u n _ p a t h :   “ H K L M : S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ” 如 果 使 用 的 是 一 般 用 户 帐 户 ， 脚 本 则 会 查 询 并 设 置 ： $ r e g _ w i n _ p a t h :   “ H K C U : S o f t w a r e M i c r o s o f t W i n d o w s ” $ r e g _ r u n _ p a t h :   “ H K C U : S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n ” 然 后 根 据 系 统 所 用 的 P o w e r s h e l l 版 本 ， 第 三 阶 段 p a y l o a d 将 写 至 不 同 位 置 。 如 果 受 感 染 系 统 用 的 是 P o w e r s h e l l   3 . 0 或 者 更 高 版 本 ， 第 三 阶 段 p a y l o a d 将 写 至 “ % P R O G R A M D A T A % W i n d o w s ” 中 的 A D S 流 文 件 中 ， 并 命 名 为 “ k e r n e l 3 2 . d l l ” 。 如 果 系 统 用 的 是 较 早 的 P o w e r s h e l l ， 第 三 阶 段 p a y l o a d 将 被 编 码 并 写 至 $ r e g _ w i n _ p a t h 指 定 的 位 置 ， 键 名 为 “ k e r n e l 3 2 ” 。 随 后 ， 用 来 解 压 并 执 行 第 三 阶 段 p a y l o a d 的 代 码 也 会 被 写 至 $ r e g _ w i n _ p a t h 分 配 的 注 册 表 位 置 ， 键 名 为 “ P a r t ” 。 这 个 步 骤 完 成 之 后 ， 攻 击 脚 本 会 再 次 检 查 并 确 定 用 户 访 问 权 限 。 如 果 是 管 理 员 权 限 ， 那 么 被 感 染 系 统 中 的 “ _ e v e n t F i l t e r ” 、 “ C o m m a n d L i n e E v e n t C o n s u m e r ” 和 “ _ f i l t e r t o c o n s u m e r b i n d i n g ” 等 W M I 事 件 订 阅 将 会 被 移 除 。 然 后 该 恶 意 程 序 会 创 建 自 己 的 W M I 永 久 事 件 订 阅 ， 筛 选 出 “ W i n 3 2 _ L o g o n S e s s i o n ” 事 件 ， 并 锁 定 “ C o m m a n d L i n e E v e n t C o n s u m e r ” 。 受 感 染 系 统 中 每 创 建 一 个 新 的 登 录 会 话 ， 之 前 储 存 在 A D S 中 的 第 三 阶 段 p a y l o a d 就 会 被 读 取 并 执 行 。 第 三 阶 段 p a y l o a d 默 认 在 3 0 分 钟 后 运 行 “ o n i d l e ” 。 如 果 在 这 个 阶 段 开 始 时 ， 与 其 执 行 相 关 的 s w i t c h 参 数 被 传 递 至 “ p r e _ l o g i c ” 函 数 ， 那 么 p a y l o a d 就 会 立 即 执 行 。 如 上 图 所 示 ， 该 恶 意 程 序 还 在 系 统 中 创 建 了 一 个 预 定 任 务 ， 任 务 名 为 “ k e r n e l 3 2 ” ， 该 任 务 关 系 到 第 三 阶 段 p a y l o a d 储 存 于 A D S 还 是 注 册 表 。 T a l o s 团 队 在 分 析 其 他 与 此 攻 击 有 关 的 样 本 发 现 ， 不 同 样 本 当 中 该 预 定 任 务 可 能 会 有 相 应 的 调 整 。 第 三 阶 段 第 三 阶 段 P o w e r s h e l l 第 二 阶 段 中 执 行 的 第 三 阶 段 P o w e r s h e l l ， 主 要 是 用 一 些 略 显 傻 气 的 函 数 名 和 变 量 名 进 行 混 淆 的 （ 比 如 $ { s c r i p t : / = = / / / = = _ _ / = = } ， 而 不 是 $ d o m a i n s ） 。 整 个 脚 本 从 头 到 尾 也 都 是 b a s e 6 4 编 码 的 。 T a l o s 团 队 反 混 淆 之 后 发 现 ， 脚 本 中 包 含 许 多 硬 编 码 域 名 ， 然 后 将 随 机 选 出 其 中 一 个 ， 用 于 后 续 的 D N S 查 询 。 有 点 必 须 要 注 意 的 是 ， 第 三 、 四 阶 段 的 P o w e r s h e l l 脚 本 ， 都 包 含 两 组 域 ， 只 有 在 样 本 使 用 第 二 组 域 名 出 现 问 题 时 才 会 使 用 第 一 组 域 名 。
第 三 阶 段 P o w e r s h e l l 脚 本 中 的 “ L o g i c ” 函 数 会 从 脚 本 中 的 第 二 组 域 中 随 机 选 择 一 个 C 2 域 ， 并 用 这 个 域 进 行 初 始 查 找 。 如 果 这 个 初 始 D N S   T X T 记 录 请 求 的 返 回 值 为 空 ， 或 者 说 查 找 失 败 ， 那 么 将 调 用 “ d o _ l o o k u p ” 函 数 ， 并 从 第 一 组 域 中 随 即 选 取 一 个 域 。 第 三 阶 段 脚 本 还 会 使 用 一 些 特 定 的 子 域 ， 与 初 始 D N S   T X T 记 录 查 询 中 使 用 的 域 相 结 合 。 恶 意 程 序 用 响 应 的 T X T 记 录 内 容 ， 来 决 定 下 一 步 动 作 。 比 如 说 ， 第 一 个 子 域 为 “ w w w ” ， 并 且 T X T 记 录 查 询 响 应 结 果 包 含 “ w w w ” ， 就 会 指 示 脚 本 继 续 。 其 他 指 令 则 会 被 认 为 “ 空 ” 或 者 “ 停 止 ” 。 恶 意 程 序 收 到 初 始 D N S 响 应 后 ， 就 会 迭 代 至 下 一 个 子 域 ， 即 “ m a i l ” 。 恶 意 程 序 会 在 另 一 个 D N S   T X T 记 录 查 询 中 使 用 这 个 域 ， 来 尝 试 获 取 与 当 前 阶 段 相 关 的 第 四 阶 段 p a y l o a d 。 这 个 D N S 请 求 得 到 响 应 后 ， 将 获 取 第 四 阶 段 p a y l o a d ， 储 存 在 T X T 记 录 中 ， 如 图 1 0 和 图 1 1 所 示 。 因 为 第 四 阶 段 p a y l o a d 比 较 大 ， 这 次 传 输 过 程 用 了 T C P 。
下 图 是 W i r e s h a r k 对 上 述 p a y l o a d 的 分 析 与 第 四 阶 段 相 关 的 代 码 随 后 会 被 清 理 并 传 递 至 I n v o k e - E x p r e s s i o n   P o w e r s h e l l   c m d l e t   （ I E X ） ， 并 在 第 三 阶 段 的 语 境 中 执 行 。 第 四 阶 段 p a y l o a d 并 不 能 自 主 执 行 ， 如 果 仅 尝 试 执 行 第 四 段 p a y l o a d ， 就 会 失 败 ， 因 为 第 四 段 p a y l o a d 依 赖 于 第 三 段 P o w e r s h e l l 脚 本 中 的 解 码 函 数 。 这 个 函 数 还 有 其 他 几 个 功 能 。 这 个 函 数 会 用 D N S 查 询 响 应 结 果 中 获 得 的 代 码 ， 定 义 一 个 包 含 该 代 码 的 字 符 串 变 量 。 然 后 ， 第 三 阶 段 中 的 解 码 函 数 会 被 调 用 ， 并 将 解 码 的 字 符 串 传 递 给 I E X ， 来 扩 展 P o w e r s h e l l 环 境 。 这 一 步 完 成 后 ， 将 调 用 新 扩 展 环 境 中 的 一 个 函 数 ， 来 执 行 第 四 阶 段 代 码 ， 并 设 置 特 定 参 数 。 这 些 参 数 包 含 后 续 将 用 到 的 第 四 阶 段 C 2 域 名 和 将 执 行 的 程 序 ， 即 W i n d o w s 命 令 行 处 理 器 （ c m d . e x e ） 。 这 一 步 相 当 有 意 思 ， 因 为 这 样 ， 第 四 阶 段 p a y l o a d 其 实 是 从 未 被 真 正 写 至 感 染 系 统 的 文 件 系 统 中 。 第 四 阶 段 第 四 阶 段 P o w e r s h e l l 如 前 文 所 述 ， 四 阶 P o w e r s h e l l   p a y l o a d 是 由 三 阶 中 的 “ d e c ” 函 数 解 码 。 第 四 阶 段 p a y l o a d 尾 部 调 用 了 其 中 的 “ c o t t e ” 函 数 ， 该 函 数 提 供 了 其 他 一 些 参 数 ， 包 括 将 用 到 的 C 2 域 和 将 执 行 的 程 序 （ c m d . e x e ） 。 当 执 行 c m d . e x e 时 ， 函 数 会 将 S T D I N 、 S T D O U T 和 S T D E R R 重 定 向 ， 允 许 p a y l o a d 在 命 令 行 处 理 器 中 读 写 。 提 供 给 这 个 函 数 调 用 的 域 将 用 来 生 成 D N S 查 询 ， 用 于 主 要 的 C 2 操 作 。 与 前 面 的 脚 本 一 致 ， 第 四 阶 段 p a y l o a d 当 中 也 有 两 组 硬 编 码 域 ， 但 貌 似 只 会 用 到 第 二 组 。
主 C 2 服 务 器 每 发 回 3 0 1 个 D N S 响 应 ， 样 本 就 会 单 独 发 送 一 个 D N S   T X T 解 析 请 求 到 前 面 提 到 的 第 二 组 中 随 机 选 择 的 域 。 这 个 C 2 请 求 会 决 定 此 恶 意 程 序 应 不 应 该 在 受 感 染 系 统 上 继 续 运 行 。 跟 前 面 步 骤 当 中 类 似 ， 这 个 请 求 也 是 发 送 给 次 级 C 2 域 中 的 “ w e b ” 子 域 的 。 如 果 次 级 C 2 服 务 器 返 回 包 含 字 符 串 “ s t o p ” 的 T X T 记 录 ， 此 恶 意 程 序 就 会 停 止 活 动 。 受 感 染 系 统 向 主 C 2 服 务 器 发 送 “ S Y N ” 消 息 ， 建 立 主 C 2 通 道 。 这 一 步 完 成 后 ， 先 前 从 W i n d o w s 命 令 行 处 理 器 中 捕 获 到 的 S T D O U T 和 S T D E R R 输 出 会 通 过 “ M S G ” 消 息 发 出 。 借 此 ， 攻 击 者 发 送 的 命 令 能 够 被 命 令 处 理 器 直 接 执 行 ， 攻 击 者 全 靠 D N S   T X T 请 求 和 响 应 就 能 接 收 命 令 的 输 出 结 果 。 下 文 将 详 细 描 述 此 通 信 过 程 。
将 D N S 查 询 请 求 解 码 ， 我 们 就 能 看 到 发 送 给 C 2 服 务 器 的 是 命 令 行 处 理 器 的 输 出 结 果 。 攻 击 者 就 这 样 建 立 了 一 个 互 动 的 C 2 信 道 ， 来 执 行 系 统 命 令 ， 并 获 取 命 令 的 输 出 结 果 。 C 2 通 信 通 信 恶 意 W o r d 文 档 中 与 此 感 染 链 相 关 的 C 2 域 注 册 于 2 0 1 7 年 2 月 8 日 。 与 H y b r i d   A n a l y s i s 中 的 P o w e r s h e l l 样 本 相 关 的 域 注 册 于 2 0 1 7 年 2 月 1 8 日 。 其 中 许 多 域 注 册 时 使 用 的 邮 箱 地 址 如 下 ： v a l e r i y [ . ] p a g o s y a n [ @ ] y a n d e x [ . ] c o m 其 他 域 时 通 过 N a m e C h e a p 代 理 注 册 服 务 注 册 的 。 根 据 U m b r e l l a 的 分 析 ， 与 P o w e r s h e l l 样 本 使 用 的 域 有 关 的 大 部 分 D N S 活 动 集 中 出 现 于 2 0 1 7 年 2 月 2 2 日 至 2 月 2 5 日 。 W o r d 文 档 使 用 的 域 则 少 有 活 动 ， 其 少 量 的 活 动 集 中 于 2 月 1 1 日 。 此 恶 意 程 序 中 的 所 有 C 2 通 信 都 是 通 过 D N S   T X T 查 询 和 响 应 完 成 的 。 要 有 互 动 的 “ M S G ” 查 询 ， 就 必 须 要 建 立 C 2 信 道 ， 而 C 2 信 道 建 立 的 先 决 条 件 是 “ S Y N ” 查 询 。 这 些 消 息 是 由 以 下 元 素 组 成 的 ： $ s e s s i o n _ i d   –   感 染 设 备 产 生 的 四 位 数 字 ， 这 个 数 字 一 直 保 持 不 变 ， 而 且 所 有 的 后 续 D N S 查 询 和 响 应 中 都 包 含 了 这 个 数 字 。 $ s e q u e n c e _ n u m   –   感 染 设 备 产 生 的 四 位 数 字 ， 在 C 2 通 信 过 程 中 定 期 变 化 ， 变 化 后 的 新 值 会 被 添 加 至 下 一 个 查 询 中 。 $ a c k n o w l e d g e m e n t _ n u m   –   “ S Y N ” 消 息 响 应 中 产 生 的 四 位 数 字 ， 值 似 乎 不 会 变 化 ， 而 且 必 须 包 括 在 所 有 后 续 的 “ M S G ” 查 询 中 。 D N S 查 询 和 响 应 中 的 第 5 和 第 6 个 字 节 决 定 了 消 息 类 型 ， 可 能 是 以 下 值 中 的 任 意 一 个 ：         0 0   –   ‘ S Y N ’   m e s s a g e         0 1   –   ‘ M S G ’   m e s s a g e         0 2   –   ‘ F I N ’   m e s s a g e 其 中 ， 用 于 发 送 执 行 命 令 和 返 回 命 令 输 出 的 “ M S G ” 查 询 是 十 六 进 制 编 码 的 ， 每 3 0 个 字 节 用 点 分 隔 。
下 图 就 是 整 个 C 2 通 信 的 过 程 。 注 意 在 通 信 过 程 中 ， 可 能 有 许 多 个 “ M S G ” 查 询 和 响 应 ， 这 取 决 于 攻 击 者 想 要 在 感 染 设 备 上 执 行 的 命 令 。 下 图 展 示 了 不 同 的 消 息 及 其 响 应 是 如 何 形 成 的 。 结 论 结 论 从 本 文 的 例 子 中 ， 我 们 可 以 看 出 ， 攻 击 者 为 了 躲 避 检 测 ， 可 以 做 到 这 种 地 步 。 本 文 的 例 子 还 说 明 ， 除 了 需 要 监 测 和 过 滤 H T T P / H T T P S 、 S M T P / P O C 3 等 网 络 协 议 ， D N S 协 议 也 应 该 得 到 应 有 的 重 视 。 企 业 网 络 中 的 D N S 流 量 可 以 被 攻 击 者 利 用 ， 来 建 立 双 向 的 C 2 通 信 通 道 ， 而 D N S 监 控 和 过 滤 类 产 品 可 有 效 拦 截 此 类 攻 击 。 I o C
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理