搜索

[11825] 2017-09-25_让木马病毒DNS数据传输成为历史：看我如何让XShell病毒失效

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-09-25_让木马病毒DNS数据传输成为历史：看我如何让XShell病毒失效 让 木 马 病 毒 D N S 数 据 传 输 成 为 历 史 ： 看 我 如 何 让 X S h e l l 病 毒 失 效 C h u a n F i l e   F r e e B u f   2 0 1 7 - 0 9 - 2 5 基 础 词 汇 解 释 ： 基 础 词 汇 解 释 ： D n s A 记 录 传 输 ： 记 录 传 输 ： 利 用 d n s 解 析 过 程 ， 在 请 求 解 析 的 域 名 中 包 含 需 外 传 的 数 据 ， 如 x x x x x x . h a c k . c o m 。 则 最 终 h a c k . c o m 的 d n s 服 务 器 会 收 到 x x x x x 这 个 数 据 回 传 。 d n s 的 的 t x t 类 型 回 包 ： 类 型 回 包 ： 一 般 指 为 某 个 主 机 名 或 域 名 设 置 的 说 明 ， 可 被 黑 客 利 用 回 传 数 据 。 终 端 请 求 某 恶 意 域 名 的 d n s 解 析 ， d n s 返 回 t x t 记 录 ， 包 含 黑 客 需 要 的 回 传 内 容 ， 如 模 块 更 新 数 据 、 指 令 等 概 述 ： 概 述 ： 随 着 越 来 越 多 的 公 司 安 全 意 识 提 高 ， 大 量 公 司 已 封 锁 随 着 越 来 越 多 的 公 司 安 全 意 识 提 高 ， 大 量 公 司 已 封 锁 s o c k e t 通 信 ， 仅 允 许 员 工 通 过 通 信 ， 仅 允 许 员 工 通 过 h t t p / h t t p s 协 议 外 网 ， 同 时 采 协 议 外 网 ， 同 时 采 取 了 越 来 越 多 针 对 取 了 越 来 越 多 针 对 h t t p 协 议 的 检 测 措 施 （ 如 数 据 分 析 恶 意 协 议 的 检 测 措 施 （ 如 数 据 分 析 恶 意 u r l 等 ） 。 为 逃 避 检 测 ， 等 ） 。 为 逃 避 检 测 ， D n s 传 输 已 逐 步 成 为 越 来 越 多 传 输 已 逐 步 成 为 越 来 越 多 的 恶 意 软 件 隐 蔽 传 输 的 方 法 ， 的 恶 意 软 件 隐 蔽 传 输 的 方 法 ， d n s 传 输 利 用 传 输 利 用 d n s 逐 级 解 析 过 程 最 终 把 域 名 中 的 恶 意 内 容 传 输 到 远 端 控 制 器 ， 也 利 逐 级 解 析 过 程 最 终 把 域 名 中 的 恶 意 内 容 传 输 到 远 端 控 制 器 ， 也 利 用 用 d n s 的 的 t x t 类 型 回 包 更 新 本 地 木 马 病 毒 。 类 型 回 包 更 新 本 地 木 马 病 毒 。 为 解 决 此 问 题 ， 笔 者 提 出 基 于 全 w e b 代 理 的 d n s 恶 意 传 输 屏 蔽 方 案 ， 通 过 禁 止 终 端 做 d n s 解 析 ， 仅 允 许 代 理 做 d n s ， 完 全 屏 蔽 p c 的 恶 意 d n s 传 输 的 同 时 ， 保 障 终 端 可 以 通 过 w e b 代 理 访 问 公 网 （ 备 ： 这 也 是 各 大 公 司 当 前 采 取 的 上 外 网 的 方 式 通 用 方 案 ） ， 有 效 解 决 d n s 恶 意 传 输 问 题 。 适 用 于 各 大 公 司 彻 底 解 决 d n s 木 马 病 毒 传 输 通 道 问 题 。 基 本 思 想 与 原 理 基 本 思 想 与 原 理 具 体 原 理 如 下 所 述 ： 具 体 原 理 如 下 所 述 ： 1 、 固 定 p c 的 d n s 服 务 器 配 置 ， 并 禁 止 修 改 ， 防 止 木 马 病 毒 修 改 绕 过 安 全 策 略 ， 或 用 户 修 改 配 置 无 意 降 低 安 全 标 准 2 、 屏 蔽 p c 外 联 的 5 3 端 口 访 问 ， 防 止 恶 意 程 序 在 代 码 中 使 用 自 定 义 d n s 服 务 器 3 、 收 紧 p c 终 端 的 d n s 解 析 ， d n s 服 务 器 仅 响 应 允 许 的 白 名 单 域 名 解 析 ， 其 他 不 返 回 结 果 4 、 p c 通 信 全 w e b 代 理 ， 允 许 w e b 代 理 自 身 做 d n s 解 析 最 终 实 现 完 全 屏 蔽 p c 的 恶 意 d n s 传 输 的 同 时 ， 保 障 终 端 可 以 通 过 w e b 代 理 访 问 公 网 ， 解 决 d n s 恶 意 传 输 问 题 。 系 统 架 构 系 统 架 构
模 块 功 能 描 述 ： 模 块 功 能 描 述 ： 内 网 终 端 ： 内 网 用 户 使 用 的 访 问 公 网 的 终 端 ， 可 包 括 p c 、 手 机 、 平 板 等 W e b 代 理 :   提 供 w e b 协 议 的 代 理 ， 终 端 可 通 过 此 代 理 访 问 外 网 数 据 W e b 服 务 ： 外 网 的 w e b 服 务 内 网 终 端 专 用 d n s 服 务 器 ： 给 内 网 终 端 提 供 d n s 服 务 ， 仅 限 白 名 单 域 名 的 解 析 白 名 单 ： 允 许 被 解 析 的 域 名 ， 如 b a i d u . c o m 等 代 理 专 用 d n s 服 务 器 ： 给 w e b 代 理 提 供 d n s 服 务 器 ， 不 提 供 黑 名 单 解 析 ， 降 低 恶 意 w e b 业 务 访 问 黑 名 单 ： 提 供 恶 意 域 名 清 单 ， 禁 止 代 理 专 用 d n s 解 析 ， 进 而 禁 止 代 理 访 问 恶 意 u r l 公 网 d n s 服 务 ： 外 网 d n s 服 务 器 ， 包 括 各 个 递 归 服 务 器 其 他 d n s 服 务 器 ： 内 网 终 端 专 用 服 务 器 外 的 其 他 d n s 服 务 器 ， 包 括 公 网 d n s 服 务 器 、 代 理 专 用 d n s 服 务 器 等 实 验 环 境 演 示 ： 实 验 环 境 演 示 ： 1 、 、   实 验 环 境 介 绍 实 验 环 境 介 绍 a )   一 台 内 网 终 端 ， 一 台 内 网 终 端 ， w i n 7 x 6 4 系 统 系 统 i .   i p ： 1 9 2 . 1 6 8 . 1 8 7 . 1 3 9 i i .   网 关 ： 1 9 2 . 1 6 8 . 1 8 7 . 2
i i i .   d n s ： 1 9 2 . 1 6 8 . 1 8 7 . 1 4 1 （ 内 网 终 端 专 用 d n s ） b )   一 台 一 台 d n s 服 务 器 （ 内 网 终 端 专 用 服 务 器 （ 内 网 终 端 专 用 d n s ） ， ） ， s e r v e r   2 0 0 8 i .   i p : 1 9 2 . 1 6 8 . 1 8 7 . 1 4 1 i i .   网 关 ： 1 9 2 . 1 6 8 . 1 8 7 . 2 i i i .   d n s ： 1 9 2 . 1 6 8 . 1 8 7 . 2 c )   一 台 一 台 s q u i d 代 理 服 务 器 ， 代 理 服 务 器 ， u b u n t u 系 统 系 统 i .   i p : 1 9 2 . 1 6 8 . 1 8 7 . 1 3 6 i i .   网 关 ： 1 9 2 . 1 6 8 . 1 8 7 . 2 i i i .   d n s ： 1 9 2 . 1 6 8 . 1 8 7 . 2 （ 代 理 专 用 d n s ） d )   防 火 墙 防 火 墙 禁 止 内 网 终 端 非 授 权 访 问 ， 仅 允 许 网 关 、 内 网 终 端 专 用 d n s 、 代 理 访 问 ， 或 白 名 单 程 序 的 s o c k e t 连 接 （ 不 支 持 w e b 代 理 ， 联 通 需 要 内 网 终 端 专 用 d n s 白 名 单 配 合 ） 2 、 、   配 置 过 程 ： 配 置 过 程 ： a )   终 端 配 置 终 端 配 置 i .   锁 定 d n s 配 置 ， 防 止 用 户 或 木 马 病 毒 修 改 ： X p 系 统 可 使 用 这 个 W i n 7 可 使 用 此 工 具
i i .   配 置 代 理 ， 访 问 外 网 ： b )   D n s 服 务 器 配 置 服 务 器 配 置 i .   使 用 条 件 转 发 不 允 许 解 析 白 名 单 以 外 域 名 l   清 空 根 提 示 （ 防 止 无 法 控 制 的 递 归 ）
l   确 认 ， 不 可 禁 止 递 归 （ 否 则 无 法 实 现 条 件 转 发 ）
l   如 果 允 许 解 析 ， 则 配 置 到 代 理 专 用 d n s ， 可 实 现 递 归 解 析
c )   S q u i d 配 置 配 置 i .   配 置 黑 名 单 ， 例 如 ： 淘 宝 、 京 东 ， 防 止 员 工 上 班 购 物 ， 当 然 从 安 全 角 度 可 配 置 各 种 黑 域 名 i i .   配 置 代 理 专 用 d n s （ 1 9 2 . 1 6 8 . 1 8 7 . 2 ） ， 可 解 析 任 意 域 名
d )   防 火 墙 配 置 防 火 墙 配 置 （ 允 许 访 问 内 网 专 用 d n s ： 1 9 2 . 1 6 8 . 1 8 7 . 1 4 1 ， 允 许 访 问 网 关 1 9 2 . 1 6 8 . 1 8 7 . 2 ， 允 许 访 问 代 理 1 9 2 . 1 6 8 . 1 8 7 . 1 4 1 ， 其 他 均 不 允 许 ） ， 防 止 用 户 使 用 其 他 d n s 或 s o c k e t 3 、 、   效 果 展 示 ： 效 果 展 示 ： a )   终 端 无 法 进 行 终 端 无 法 进 行 d n s 请 求 （ 除 了 白 名 单 域 名 ） 请 求 （ 除 了 白 名 单 域 名 ） b )   x s h e l l 外 联 失 效 （ 前 后 对 比 ） 外 联 失 效 （ 前 后 对 比 ） 未 实 施 策 略 前 ， 可 外 传 成 功 （ 有 返 回 包 ）
实 施 策 略 后 ， 无 法 外 传 （ 网 络 防 火 墙 拦 截 ， 无 回 包 ） c )   终 端 不 配 置 代 理 ， 无 法 访 问 终 端 不 配 置 代 理 ， 无 法 访 问 w e b 服 务 器 服 务 器 （ 终 端 无 法 进 行 d n s 解 析 ， 且 无 法 直 接 访 问 外 网 ）
d )   终 端 配 置 代 理 可 正 常 上 网 终 端 配 置 代 理 可 正 常 上 网 但 无 法 访 问 黑 名 单 网 站 ， 保 障 日 常 互 联 网 需 要 ， 并 防 止 访 问 恶 意 域 名
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理