搜索

[11295] 2017-05-01_Makednslog：让我们来看一看这款能够伪造DNS日志的工具

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-05-01_Makednslog：让我们来看一看这款能够伪造DNS日志的工具 M a k e d n s l o g ： 让 我 们 来 看 一 看 这 款 能 够 伪 造 D N S 日 志 的 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 5 - 0 1 写 在 前 面 的 话 写 在 前 面 的 话 2 0 1 6 年 年 8 月 月 1 日 ， 我 曾 发 表 过 一 篇 文 章 【 点 击 文 末 的 阅 读 原 文 查 看 】 并 介 绍 了 如 何 使 用 哈 希 算 法 来 提 升 大 型 日 ， 我 曾 发 表 过 一 篇 文 章 【 点 击 文 末 的 阅 读 原 文 查 看 】 并 介 绍 了 如 何 使 用 哈 希 算 法 来 提 升 大 型 D N S 日 志 文 件 的 日 志 文 件 的 搜 索 效 率 。 但 是 这 篇 文 章 中 还 存 在 一 个 问 题 ， 当 时 我 手 中 并 没 有 从 真 实 环 境 中 获 取 的 大 型 搜 索 效 率 。 但 是 这 篇 文 章 中 还 存 在 一 个 问 题 ， 当 时 我 手 中 并 没 有 从 真 实 环 境 中 获 取 的 大 型 D N S 日 志 ， 所 以 我 当 时 必 须 手 动 日 志 ， 所 以 我 当 时 必 须 手 动 制 作 这 些 制 作 这 些 D N S 日 志 文 件 。 但 是 现 在 ， 虽 然 我 在 研 究 的 过 程 中 已 经 获 取 到 了 大 量 真 实 的 日 志 文 件 。 但 是 现 在 ， 虽 然 我 在 研 究 的 过 程 中 已 经 获 取 到 了 大 量 真 实 的 D N S 日 志 ， 但 我 仍 然 不 能 使 用 它 们 ， 日 志 ， 但 我 仍 然 不 能 使 用 它 们 ， 因 为 这 些 文 件 并 不 属 于 我 个 人 ， 而 事 件 应 急 响 应 中 最 重 要 的 部 分 就 是 客 户 隐 私 。 所 以 我 还 是 要 自 己 创 建 大 量 伪 造 的 因 为 这 些 文 件 并 不 属 于 我 个 人 ， 而 事 件 应 急 响 应 中 最 重 要 的 部 分 就 是 客 户 隐 私 。 所 以 我 还 是 要 自 己 创 建 大 量 伪 造 的 D N S 日 日 志 文 件 ， 而 且 我 还 专 门 开 发 了 一 款 志 文 件 ， 而 且 我 还 专 门 开 发 了 一 款 D N S 日 志 伪 造 生 成 工 具 。 日 志 伪 造 生 成 工 具 。 工 具 ： 工 具 ： M a k e d n s l o g . e x e M a k e d n s l o g . e x e 是 一 个 W i n 3 2 可 执 行 文 件 ， 开 发 工 具 为 V i s u a l   S t u d i o ， 编 程 语 言 为 C 语 言 。 M a k e d n s l o g 可 以 用 来 生 成 D N S 日 志 文 件 ， 而 这 款 工 具 对 于 那 些 想 要 提 升 自 己 在 安 全 威 胁 检 测 这 方 面 能 力 的 从 业 人 员 来 说 绝 对 是 一 个 福 利 。 在 此 ， 先 给 大 家 看 一 看 伪 造 的 D N S 日 志 长 什 么 样 ： 2 0 1 7 0 2 0 8   2 0 : 4 0 : 1 0   5 4 4   P A C K E T   0 2 8 B 7 6 6 A   U D P   R c v   1 0 . 1 2 4 . 5 0 . 1 6 1 F 1 9   Q   [ 0 0 0 1   D   N O E R R O R ]   A   w w w . s e r v o . c o m 2 0 1 7 0 2 0 8   2 0 : 4 0 : 1 0   5 8 8   P A C K E T   0 6 9 2 6 D 9 E   U D P   R c v   1 0 . 1 2 4 . 2 6 . 1 1 3 3 3 8 9   Q   [ 0 0 0 1   D   N O E R R O R ]   A   m i l e s t o n e a b r o a d . c o m 2 0 1 7 0 2 0 8   2 0 : 4 0 : 1 1   5 4 4   P A C K E T   0 3 4 2 3 5 B 6   U D P   R c v   1 0 . 1 2 4 . 1 8 5 . 1 6 0 5 3 C 9   Q   [ 0 0 0 1   D   N O E R R O R ]   A   g p 4 1 j k 3 e g . i z v e s t i i a . r u 2 0 1 7 0 2 0 8   2 0 : 4 0 : 1 1   5 8 8   P A C K E T   0 3 8 3 5 0 8 4   U D P   R c v   1 0 . 1 2 4 . 3 6 . 4 8 0 E D 2   Q   [ 0 0 0 1   D   N O E R R O R ]   A   s e n t i m e n t i n d i a . c o m 2 0 1 7 0 2 0 8   2 0 : 4 0 : 1 2   8 A 8   P A C K E T   0 C A 3 2 E 7 C   U D P   R c v   1 0 . 1 2 4 . 1 0 . 7 6 6 E 5 A   Q   [ 0 0 0 1   D   N O E R R O R ]   A   n i g h t c o n t r o l . n e t 程 序 提 供 了 多 种 选 项 来 管 理 我 们 所 生 成 的 日 志 文 件 内 容 、 文 件 大 小 、 记 录 行 数 、 日 期 格 式 以 及 域 名 等 信 息 。 下 面 给 出 的 是 该 工 具 的 命 令 行 选 项 ： U s a g e :   m a k e d n s l o g   [ - v ]   [ - o f i l e   O U T P U T - F I L E ]   [ - n o m s ]   [ - a m p m ] [ - d a t e m o d e   1 | 2 ]    
[ - g o b a c k   N ]   [ - p c i ]   [ - s p l i t   N ]   [ - l i n e s   N ]   [ - n e t 1 7 2 [ , 1 9 2 ] [ , 1 0 ] ]   - v                       V e r b o s e , p r i n t   o u t   l o t s   o f   e x t r a   n o n s e n s e   a s   t h e   p r o g r a m   r u n s . - o f i l e               S p e c i f y t h e   O U T P U T - F I L E   f i l e n a m e .   T h e   d e f a u l t   i s   d n s . l o g . - n o m s                 S e l e c t " N o - M i c r o s o f t "   f o r m a t   i n   d o m a i n   n a m e s .                             M i c r o s o f t F o r m a t :   ( 3 ) w w w ( 5 ) y a h o o ( 3 ) c o m ( 0 )                             N o M i c r o s o f t   F o r m a t :   w w w . y a h o o . c o m - a m p m                   S p e c i f y A M / P M   t i m e   f o r m a t .   T h e   d e f a u l t   i s   2 4 - h o u r . - d a t e m o d e     S p e c i f y   t h e   d a t e   m o d e   i n   l o g   e n t r i e s .   O p t i o n s   a r e :                             D e f a u l t : 2 0 1 7 0 2 2 5                             M o d e   1 : 2 0 1 7 - 0 2 - 2 5                             M o d e   2 : F e b   2 5   2 0 1 7 - g o b a c k                 G o   b a c k N   m o n t h s   f o r   i n i t i a l   l o g   e n t r y .   D e f a u l t   i s   o n e   m o n t h . - p c i                 G o   b a c k t h r e e   m o n t h s   ( 9 0   d a y s )   f o r   i n i t i a l   l o g   e n t r y . - s p l i t                         S p l i t l o g   f i l e   e v e r y   N   M B . - l i n e s                         G e n e r a t e l o g   f i l e   w i t h   N   l i n e s .   D e f a u l t   i s   5 0 0 , 0 0 0 . - n e t                             S p e c i f y o n e   o r   m o r e   n e t w o r k s .   D e f a u l t   i s   1 0 . x . x . x .                         A n d / o r :   1 7 2 . x . x . x                         A n d / o r : 1 9 2 . 1 6 8 . x . x 下 面 给 出 的 是 几 条 样 本 命 令 以 及 相 应 的 命 令 解 释 ： C >   m a k e d n s l o g   – o f i l e   s e r v e r . l o g   – p c i   – s p l i t   2 5 0 这 行 命 令 将 输 出 文 件 名 设 置 为 “ s e r v e r . l o g ” ， 并 从 三 个 月 前 开 始 记 录 日 志 信 息 ， 然 后 将 日 志 文 件 按 大 小 2 5 0 M B 进 行 分 割 。 操 作 完 成 之 后 ， 我 们 就 会 得 到 下 列 日 志 文 件 ： s e r v e r . l o g s e r v e r 1 . l o g s e r v e r 2 . l o g s e r v e r 3 . l o g 依 此 类 推 … C >   m a k e d n s l o g   – n e t   1 0 , 1 7 2
这 行 命 令 指 定 了 日 志 生 成 过 程 中 所 要 用 到 的 两 个 网 络 ， 其 中 服 务 器 驻 留 在 一 个 逻 辑 网 络 中 ， 工 作 站 驻 留 在 另 一 个 不 同 的 逻 辑 网 络 中 ， 而 这 种 情 况 在 企 业 的 实 践 生 产 过 程 中 很 常 见 。 你 可 以 在 命 令 中 指 定 一 个 、 两 个 或 三 个 不 同 的 网 络 。 C >   m a k e d n s l o g   - l i n e s   4 0 0 0 0 0 0   – g o b a c k   2 这 条 命 令 将 会 创 建 一 个 包 含 4 0 0 0 0 0 0 行 数 据 的 日 志 文 件 ， 并 保 存 在 d n s . l o g 中 ， 日 志 记 录 时 间 开 始 于 两 个 月 前 。 命 令 的 执 行 过 程 如 下 ： 我 们 可 以 看 到 ， 日 志 文 件 中 的 每 一 行 平 均 长 度 为 1 0 6 个 字 符 （ 字 节 ） ， 如 果 你 想 知 道 固 定 文 件 大 小 中 的 日 志 文 件 有 多 少 行 数 据 ， 或 者 指 定 行 数 的 日 志 文 件 最 终 大 小 是 多 少 ， 那 么 这 个 信 息 就 非 常 有 用 了 。 日 志 中 有 什 么 宝 藏 ？ 日 志 中 有 什 么 宝 藏 ？ 为 了 让 伪 造 的 D N S 日 志 文 件 尽 可 能 地 发 挥 其 作 用 ， 我 希 望 在 日 志 文 件 中 包 含 有 各 种 I o C （ 入 侵 指 标 ） 以 便 用 户 可 以 直 接 查 询 （ 通 过 正 则 表 达 式 或 S p l u n k 等 等 ） 。 大 量 不 同 的 域 名 大 量 不 同 的 域 名 M a k e d n s l o g 所 创 建 的 日 志 文 件 中 包 含 大 量 域 名 的 D N S 请 求 。 其 中 的 域 名 需 要 从 文 本 文 件 “ d o m a i n s . t x t ” 中 读 入 ， 文 件 样 本 如 下 ：
你 会 发 现 ， w w w . y a h o o . c o m 出 现 过 两 次 。 不 过 除 了 这 个 域 名 之 外 ， 还 有 很 多 域 名 会 出 现 一 次 以 上 ， 而 这 样 做 的 目 的 只 是 为 了 增 加 “ 热 门 ” 域 名 的 出 现 频 率 。 需 要 注 意 的 是 ， “ d o m a i n s . t x t ” 中 的 最 后 一 行 必 须 是 “ / E N D / ” ， 每 一 行 添 加 进 的 域 名 都 必 须 写 在 “ / E N D ” 的 前 面 。
数 据 提 取 数 据 提 取 恶 意 软 件 可 以 通 过 D N S 请 求 来 从 特 定 的 子 域 名 中 提 取 信 息 ， 这 些 子 域 名 中 可 能 包 含 十 六 进 制 字 符 或 看 似 随 机 的 字 符 。 因 此 ， M a k e d n s l o g 同 样 会 提 供 一 些 经 过 b a s e 6 4 编 码 的 子 域 名 ， 在 对 这 些 b a s e 6 4 字 符 进 行 解 码 之 后 ， 你 会 发 现 如 下 信 息 ： - 操 作 系 统 信 息 - 用 户 账 号 名 - 信 用 卡 卡 号 （ 伪 造 的 ） - 反 病 毒 状 态 除 此 之 外 ， 其 中 还 包 括 如 下 所 示 的 代 码 段 ， 加 码 后 的 文 本 信 息 如 下 ： “ I f   y o u   a r e   r e a d i n g   t h i s   I   a s s u m e   y o u   h a v e   b e e n   c o r r e c t l y   i d e n t i f y i n g   a n d   d e c o d i n g   t h e   d i f f e r e n t   t y p e s   o f   I o C s   I   h a v e   p l a c e d   i n t o   t h e   f a k e   D N S   l o g .   M y   c o n g r a t u l a t i o n s   f o r   a   j o b   w e l l   d o n e .   O f   c o u r s e   I   c o u l d   b e   w r o n g ,   a n d   y o u   m a y   n e v e r   r e a d   a n y   o f   t h i s ,   b u t   I   c h o o s e   t o   r e m a i n   p o s i t i v e   t h a t   y o u   w i l l   s o l v e   m y   l i t t l e   m y s t e r y .   G o o d   l u c k   a n d   h a p p y   t h r e a t   h u n t i n g ! ” 提 取 出 数 据 样 本 如 下 ： Q W N j d D o g c 3 l z Y W R t a W 4 3 . p e t r a p l a c e . n e t   ( a m o n g   o t h e r   T L D s ) I H B v c 2 l 0 a X Z l I H R o Y X Q g e W 9 1 I H d p b G w g c 2 9 s d m U g b X k g b G l 0 . a x a . b i z ( a m o n g   o t h e r   T L D s ) a 7 f d 0 3 b 9 c 6 2 9 f f e 7 a 9 b e e 2 c 2 a 8 5 b b 1 8 a 3 c f 6 e 4 9 b . s t a r s e a r c h . n e t ( a m o n g   o t h e r   T L D s ) p 3 4 8 3 - 7 2 c a - 9 e 6 7 - 9 f 9 a . s e c r e t . o r g   ( a m o n g   o t h e r T L D s ) 国 家 码 国 家 码
“ d o m a i n s . t x t ” 文 件 中 还 包 含 大 量 国 外 域 名 ， 我 们 可 以 通 过 域 名 结 尾 的 标 识 （ 例 如 “ . r u ” ） 来 对 域 名 所 在 国 家 进 行 定 位 。 运 行 时 间 运 行 时 间 M a k e d n s l o g 的 运 行 时 间 取 决 于 你 所 要 生 成 的 日 志 时 间 有 多 长 。 如 果 你 要 生 成 好 几 个 月 的 日 志 ， 那 么 你 估 计 就 得 等 待 一 段 时 间 了 。 我 使 用 的 是 W i n d o w s 7   6 4 位 操 作 系 统 ， C P U 为 2 . 8 G H z   A M D   A 4 - 3 4 2 0 ， 生 成 一 个 月 的 日 志 大 约 需 要 四 分 钟 左 右 。 根 据 日 志 大 小 和 系 统 配 置 ， 我 们 统 计 出 的 运 行 时 间 如 下 ： 总 结 总 结 除 了 生 成 伪 造 日 志 之 外 ， M a k e d n s l o g 还 可 以 帮 助 我 们 进 行 安 全 威 胁 研 究 ， 而 且 你 只 需 要 等 待 一 小 段 时 间 ， 我 们 就 可 以 为 你 生 成 最 贴 近 实 际 的 日 志 数 据 。 目 前 ， 我 们 已 经 将 M a k e d n s l o g 的 源 码 托 管 到 G i t H u b 上 了 ， 感 兴 趣 的 用 户 可 以 自 行 下 载 获 取 【 点 击 文 末 的 阅 读 原 文 按 钮 查 看 】 。 除 此 之 外 ， 我 们 也 欢 迎 有 能 力 的 开 发 者 贡 献 自 己 的 代 码 。 *   参 考 来 源 ： t r u s t w a v e ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理