搜索

[14676] 2019-10-08_DNS隧道流量分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-10-08_DNS隧道流量分析 D N S 隧 道 流 量 分 析 j o h y l o d o g   F r e e B u f   2 0 1 9 - 1 0 - 0 8 D N S 隧 道 隧 道 D N S 协 议 又 称 域 名 系 统 是 互 联 网 的 基 础 设 施 ， 只 要 上 网 就 会 用 到 ， 因 而 协 议 又 称 域 名 系 统 是 互 联 网 的 基 础 设 施 ， 只 要 上 网 就 会 用 到 ， 因 而 D N S 协 议 是 提 供 网 络 服 务 的 重 要 协 议 ， 在 黑 客 进 入 内 网 后 会 使 用 协 议 是 提 供 网 络 服 务 的 重 要 协 议 ， 在 黑 客 进 入 内 网 后 会 使 用 D N S 、 、 I C M P 、 、 H T T P 等 协 议 隧 道 隐 藏 通 信 流 等 协 议 隧 道 隐 藏 通 信 流 量 。 本 文 通 过 量 。 本 文 通 过 D N S 隧 道 实 验 并 对 流 量 进 行 分 析 ， 识 别 隧 道 实 验 并 对 流 量 进 行 分 析 ， 识 别 D N S 隧 道 流 量 特 征 。 隧 道 流 量 特 征 。 实 验 环 境 实 验 环 境 C e n t O S   L i n u x   两 台 创 建 创 建 D N S 服 务 器 服 务 器 1 . 安 装 安 装 b i n d y u m   i n s t a l l   b i n d * 2 . 配 置 配 置 n a m e d 文 件 文 件 修 改 / e t c / n a m e d . c o n f 将 下 图 中 选 中 的 地 方 改 为 a n y 3 .   设 置 设 置 N S 记 录 ， 记 录 ， A 记 录 记 录 增 加 区 域 解 析 文 件 在 / e t c / n a m e d . r f c 1 9 1 2 . z o n e s 增 加 区 域 解 析 记 录 文 件 增 加 正 向 解 析 记 录 将 / v a r / n a m e d / n a m e d . l o c a l h o s t 改 为 上 图 中 修 改 的 名 字 c p   / v a r / n a m e d / n a m e d . l o c a l h o s t / v a r / n a m e d / n a m e . d n s t u n e l 修 改 文 件 如 下 添 加 N S 记 录 ， A 记 录 添 加 b i n d 为 自 启 动 服 务 s y s t e m c t l   e n a b l e n a m e d . s e r v i c e s y s t e m c t l   r e s t a r t n a m e d . s e r v i c e 查 看 启 动 状 态 s y s t e m c t l   s t a t u s n a m e d . s e r v i c e 将 另 一 台 主 机 D N S 服 务 器 设 置 为 1 9 2 . 1 6 8 . 1 . 7 ， p i n g   n s . d n s t u n e l t e s t . c o m 是 否 正 确 解 析 ， ( 如 果 不 能 解 析 ， 可 能 跟 防 火 墙 有 关 系 ， 在 D N S 服 务 器 上 执 行 i p t a b l e s   - F ) I o d i n e I o n i n e 支 持 两 种 模 式 ， 中 继 以 及 直 连 模 式 ， 服 务 器 与 客 户 端 可 以 直 接 通 信 而 不 需 要 第 三 种 辅 助 软 件 ， 通 信 的 D N S 数 据 损 坏 容 易 容 易 被 发 现 。
安 装 安 装 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / y a r r i c k / i o d i n e / a r c h i v e / m a s t e r . z i p u n z i p   解 压 c d   i o d i n e - m a s t e r m a k e 出 现 报 错 y u m   - y   i n s t a l l   z l i b - d e v e l m a k e ; m a k e   i n s t a l l 安 装 完 成 进 入   b i n i o d i n e d   服 务 器 i o d i n e   客 户 端 实 验 测 试 实 验 测 试 服 务 器 服 务 器 . / i o d i n e d   - f   - c   - P   1 2 3 4 5 6   1 0 . 1 . 0 . 1 n s . d n s t u n e l t e s t . c o m - f   前 台 显 示 ， 运 行 后 一 直 在 命 令 行 等 待 - c   中 继 模 式 | 直 连 模 式 - P   认 证 密 码 I p   虚 拟 出 网 卡 的 I P ， 在 隧 道 建 立 后 ， 客 户 端 同 样 会 多 出 一 块 d n s 0 网 卡 ， 与 该 I P 在   同 一 网 段 ， 可 以 任 意 设 置 ， 虚 拟 I P 。 设 置 的 域 名 ， 这 里 要 跟 区 域 配 置 文 件 一 致 。 输 入 完 成 之 后 ， i f c o n f i g 查 看 会 多 一 块 网 卡 客 户 端 客 户 端 . / i o d i n e   - f   - P     1 2 3 4 5 6   1 9 2 . 1 6 8 . 1 . 7   n s . d n s t u n e l t e s t . c o m - f   前 台 显 示 - P   认 证 密 码 I P   为 配 置 D N S 服 务 器 I P 或 者 为 购 买 的 云 服 务 I P ， 输 入 此 选 项 之 后 ， 直 接 与 指 定 I P 查 询 ， 而 不 经 过 其 他 D N S 服 务 器 层 解 析 客 户 端 此 时 也 会 新 增 一 个 网 卡 ， D N S 0 ， I P 为 1 0 . 1 . 0 . 2 与 服 务 器 D N S 0 网 卡 处 于 同 一 网 段 中 ， 此 时 服 务 器 端 与 客 户 端 可 以 使 用 这 两 个 I P 互 相 通 信 。
流 量 包 分 析 流 量 包 分 析 抓 包 t c p d u m p   - i   e n p 2 s 0   p o r t   5 3   - w   / t m p / i o d i n e . p c a p 建 立 链 接 的 包 分 析 建 立 链 接 的 包 分 析 在 客 户 端 启 动 后 ， 会 向 服 务 器 发 送 D N S 请 求 包 客 户 端 情 报 求 包 ， 请 求 包 的 t y p e 类 型 为 1 0   ( 未 知 ， 可 以 作 为 检 测 的 一 种 特 征 ) ， 数 据 作 为 域 名 前 缀 y r b h 1 o . n s . d n s t u n e l t e s t . c o m ,   y r b h 1 o 就 是 请 求 的 数 据 服 务 器 响 应 包 ， r d a t a 字 段 携 带 数 据 ， 因 为 查 询 包 没 有 指 定 查 询 类 型 ， 所 以 r d a t a 字 段 没 有 长 度 限 制 ( 限 制 于 U D P 最 大 包 长 5 1 2 字 节 ) 采 用 中 继 模 式 ， 客 户 端 会 一 直 发 送 心 跳 包 ， 保 持 链 接 （ 因 为 D N S 服 务 器 不 会 直 接 与 客 户 端 发 起 链 接 ， 所 以 客 户 端 会 一 直 想 服 务 器 发 送 数 据 包 ） 但 是 D N S 协 议 的 字 段 格 式 已 经 损 坏 。 通 信 流 量 包 分 析 通 信 流 量 包 分 析 通 信 过 程 的 中 的 D N S 协 议 格 式 已 经 损 坏 ， w i r e s h a r k 已 经 无 法 正 确 分 析 正 常 D N S 的 数 据 包 中 的 q u e r y 字 段 的 形 式 是 所 占 字 节 - 三 级 域 名 - 所 占 字 节 - 二 级 域 名 - 所 占 字 节 - 一 级 域 名 形 式 并 且 正 常 的 q u e r y 字 段 时 只 有 再 域 名 结 束 时 才 会 出 现 0 0 阶 段 。 0 5 f a n y i 0 5 b a i d u 0 3 c o m
隧 道 中 的 流 量 明 显 不 符 合 上 文 的 q u e r y 字 段 规 定 。 由 6 0   0 8 开 头 。 s u r i c a t a 检 测 规 则 检 测 规 则 ( 并 未 测 试 ， 仅 共 参 考 并 未 测 试 ， 仅 共 参 考 ) D n s 2 t c p 安 装 安 装 需 要 与 其 他 回 连 工 具 配 合 ， 或 者 写 入 反 弹 s h e l l 下 载 链 接 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 4 S I x d i I W H K Z D U z 6 l g n _ Z a g 提 取 码 ： t 1 r w 安 装 编 译 服 务 器 端 客 户 端 云 盘 直 接 下 载 w i n d o w s 版 本 ， 或 者 下 载 实 验 测 试 实 验 测 试 服 务 器 端 服 务 器 端 1 . 创 建 配 置 文 件 2 . 启 动 启 动 之 后 会 将 D N S 的 隧 道 流 量 根 据 客 户 端 选 择 的 资 源 使 用 对 应 的 服 务 建 立 连 接 出 现 如 下 错 误 需 要 关 闭 服 务 器 自 带 的 d n s 解 析 服 务 客 户 端 客 户 端 d n s 2 t c p c   - r   s s h - z   n s . d n s t u n e l t e s t . c o m   1 9 2 . 1 6 8 . 1 . 6   - l   8 8 8 8   - d   2 r : 指 定 对 应 的 资 源 ， 前 面 服 务 器 需 开 启 指 定 的 资 源 - z : 自 定 解 析 的 d n s 域 名 ， 如 果 域 名 已 经 添 加 的 公 网 的 D N S 解 析 则 可 以 省 略 后 面 的 I P - l : 端 口 - d : 是 否 为 调 试 模 式   2   等 级 可 以 省 略 U D P   p a y l o a d 协 议 偏 移 4 0 个 字 节 处 是 否 为 0 0   0 a 并 且 频 率 达 到 5 秒 3 次 以 上 。 a l e r t   u d p   $ H O M E _ N E T   a n y   - >   a n y   5 3   ( m s g : " d n s t u n n e l - i o d i n e - c o n n e c t " ; c o n t e n t :   " | 0 0   0 a | " ; o f f s e t : 4 0 ; d e p t h : 4 ; t h r e s h o l d :   t y p e . / c o n f i g u r e         m a k e ; m a k e   i n s t a l l s e r v e r / d n s 2 t c p d L i n u x :         c l i e n t / d n s 2 t c p c           w i n d o w s : d n s 2 t c p c . e x e V i m / e t c / d n s 2 . c o n f         L i s t e n     =   1 9 2 . 1 6 8 . 1 . 6 （ L i n u x 服 务 器 的 I P , 服 务 器 的 I P ）           p o r t       =   5 3                   ( 监 听 本 机 的 端 口 )         u s e r       = n o b o d y                   c h r o o t     =   / t m p                       d o m a i n   = . n s . d n s t u n e l t e s t . c o m （ 上 面 配 置 N S 记 录 的 域 名 ）           r e s o u r c e s   = s s h : 1 2 7 . 0 . 0 . 1 : 2 2 , s o c k s : 1 2 7 . 0 . 0 . 1 : 1 0 8 2 , h t t p : 1 2 7 . 0 . 0 . 1 : 3 1 2 8 ( 设 置 本 地 监 听 的 服 务 资 源 ， 根 据 自 身 服 务 开 启 的 资 源 设 置 ) . / d n s 2 t c p d   - f / e t c / d n s 2 . c o n f
客 户 端 使 用 访 问 服 务 器 流 量 包 分 析 流 量 包 分 析 建 立 链 接 并 未 产 生 通 信 包 使 用 s s h 访 问 时 ， 才 会 产 生 数 据 包 数 据 包 分 析 需 要 时 客 户 端 会 向 服 务 端 发 起 T X T 类 型 请 求 ， 服 务 器 的 返 回 包 也 会 放 在 回 复 的 T X T 记 录 中 客 户 端 通 过 T X T 类 型 记 录 的 域 名 前 缀 来 发 出 数 据 ， 通 过 D N S   R R 中 的 T X T 记 录 来 附 加 回 应 的 内 容 。 域 名 前 缀 和 回 应 内 容 均 采 用 b a s e 6 4 编 码 ， 如 果 提 取 单 条 数 据 ， 进 行 b a s e 6 4 解 码 ， 即 可 看 到 传 输 的 内 容 。 从 发 包 行 为 上 可 以 发 现 ， 如 果 在 进 行 传 输 数 据 这 种 大 量 数 据 交 互 操 作 的 情 况 ， d n s 2 t c p 会 将 数 据 切 分 成 若 干 个 小 单 元 ， 依 次 发 出 ， 时 间 间 隔 非 常 小 ， 而 当 无 数 据 交 互 ， 空 闲 时 ， 两 端 仍 然 通 过 发 包 维 持 通 信 状 态 。 S u r i c a t a 规 则 检 测 规 则 检 测 ( 并 未 测 试 ， 仅 共 参 考 并 未 测 试 ， 仅 共 参 考 ) 因 为 D n s 2 t c p 采 用 的 是 标 准 的 d n s 协 议 格 式 ， 所 以 只 能 通 过 发 包 的 频 率 检 测 结 尾 小 白 水 文 ， 求 大 神 放 过 p c a p 包 下 载 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 R 9 I h f x I 2 8 5 Q M L G w j h _ g Q V w 提 取 码 ： n 5 h a * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： j o h y l o d o g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 a l e r t   u d p   $ H O M E _ N E T   a n y   - >   a n y   5 3 ( m s g : " d n s   t u n n e l - d n s 2 t c p " ; c o n t e n t :   " | 0 0 1 0 | " ; o f f s e t : 4 0 ; d e p t h : 4 ;   t h r e s h o l d :   t y p e   l i m i t ,   t r a c k   b y _ s r c ,   c o u n t   1 5 0 , s e c o n d s   1 0 ; c l a s s t y p e : d n s ;   s i d : 2 0 1 0 0 0 3 ;   r e v : 1 ; )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理