搜索

[11744] 2017-09-04_利用Python实现DGA域名检测

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-09-04_利用Python实现DGA域名检测 利 用 P y t h o n 实 现 D G A 域 名 检 测 原 创   f e i n i a o   F r e e B u f   2 0 1 7 - 0 9 - 0 4 前 段 时 间 爆 发 的 利 用 永 恒 之 蓝 进 行 勒 索 及 x s h e l l 等 事 件 ， 各 大 厂 家 都 站 在 不 同 的 角 度 分 析 了 相 应 的 事 件 及 程 序 ， 对 于 对 逆 向 不 了 解 看 着 的 确 很 吃 力 。 上 段 时 间 看 到 宫 总 及 袁 哥 都 在 讲 D N S 对 于 分 析 这 种 攻 击 的 可 行 性 。 永 恒 之 蓝 和 x s h e l l 事 件 有 如 下 的 特 征 ： 1 .   永 恒 之 蓝 中 黑 客 预 留 了 一 个 没 有 注 册 的 域 名 ， 用 于 防 护 事 件 不 受 控 制 时 ， 启 用 该 域 名 可 以 抑 制 事 件 的 扩 大
2 .   X s h e l l 事 件 中 黑 客 通 过 D N S 的 t x t 字 段 进 行 传 输 数 据 与 指 令 两 起 事 件 都 有 一 个 共 同 特 征 就 是 利 用 D N S 来 进 行 事 件 的 抑 制 与 数 据 与 指 令 的 下 发 ， 这 样 的 话 ， 针 对 这 种 类 型 的 黑 客 攻 击 与 安 全 事 件 ， 我 们 可 以 站 在 底 层 网 络 来 分 析 这 事 件 。 利 用 永 恒 之 蓝 进 行 勒 索 事 件 中 黑 客 预 留 的 域 名 是 D G A 域 名 ， 在 某 些 条 件 下 探 测 该 D G A 域 名 是 否 可 以 正 常 解 析 ， 若 解 析 成 功 则 不 进 行 加 密 ， 若 解 析 成 功 则 不 加 密 。 D G A 一 般 都 是 通 过 硬 编 码 写 入 到 程 序 中 ， 在 没 有 能 力 对 其 逆 向 的 情 况 下 ， 我 们 可 以 分 析 网 络 流 量 来 分 析 D N S 请 求 的 D G A 域 名 。 这 样 就 需 要 了 解 哪 些 域 名 是 D G A 域 名 ， 这 里 面 有 多 种 方 法 与 思 路 ： 1 .   利 用 开 放 平 台 里 的 D G A 库 ， 目 前 个 人 所 了 解 的 国 内 3 6 0 在 开 放 相 应 的 数 据 ， 这 个 也 是 个 人 首 推 的 选 择 2 .   D G A 域 名 有 个 特 征 ， 很 多 D G A 并 没 有 注 册 ， 黑 客 前 期 会 生 成 大 量 的 D G A 域 名 ， 但 是 在 某 些 情 况 下 ， 如 传 输 数 据 与 命 令 或 抑 制 事 件 时 ， 会 选 择 性 的 注 册 少 量 域 名 ， 这 样 的 话 可 以 对 D N S 解 析 不 成 功 的 域 名 进 行 记 录 ， 并 将 这 些 域 名 进 行 进 行 ， 若 其 没 有 注 册 ， 且 域 名 很 随 机 可 以 判 断 为 疑 似 D G A 域 名 。 这 里 面 有 大 牛 介 绍 过   h t t p : / / w w w . f r e e b u f . c o m / g e e k / 1 4 4 4 5 9 . h t m l 3 .   深 度 学 习 检 测 D G A 域 名 ， 可 参 考 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 3 9 6 9 7 . h t m l 由 于 上 面 的 方 法 二 和 方 法 三 都 有 人 实 现 了 ， 这 里 面 我 主 要 介 绍 方 法 一 的 实 现 。 这 个 思 路 是 这 样 ： 通 过 监 测 网 络 流 量 ( 有 条 件 的 同 学 可 以 在 大 网 环 境 下 测 试 下 ) ， 分 析 D N S 的 请 求 ， 一 旦 请 求 的 D N S 和 D G A 库 中 的 匹 配 ， 输 出 相 应 的 I P 、 端 口 ， 当 然 后 期 也 可 以 做 相 应 的 统 计 与 告 警 。 D G A 库 网 上 找 了 有 一 些 ， 个 人 了 解 的 国 内 推 荐 3 6 0 的 开 放 D G A 的 数 据 ， 1 0 0 W + 的 D G A 数 据 ， 并 且 每 天 都 有 更 新 。 有 需 要 的 同 学 可 直 接 下 载 ， h t t p : / / d a t a . n e t l a b . 3 6 0 . c o m / f e e d s / d g a / d g a . t x t
D N S 检 测 D G A 实 现 的 代 码 如 下 ： 在 代 码 实 现 过 程 中 ， 本 个 D G A 正 常 解 析 成 功 的 I P 地 址 也 记 录 了 下 来 ， D G A 都 有 问 题 ， 那 么 解 析 的 I P 基 本 上 也 不 正 常 。 在 大 网 环 境 下 可 以 记 录 下 相 应 的 I P 地 址 ， 在 做 P a s s i v e   D N S 时 可 以 利 用 这 些 数 据 完 善 相 应 的 库 。 考 虑 到 D G A 的 文 件 每 天 都 会 更 新 ， 可 以 进 行 定 时 下 载 该 文 件 。 测 试 后 ， 效 果 如 下 ：
这 样 的 话 就 实 现 了 监 测 异 常 D G A 记 录 ， 内 网 环 境 下 可 以 分 析 机 器 被 黑 或 者 中 马 ， 大 网 环 境 下 可 以 通 过 D N S 侧 重 了 解 区 域 安 全 态 势 。 完 整 实 现 的 代 码 如 下 ：
本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f e i n i a o ， 本 文 属 于 ， 本 文 属 于   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 # c o d i n g : u t f - 8 i m p o r t   t i m e f r o m   s c a p y . a l l   i m p o r t   * f r o m   r e q u e s t s   i m p o r t   * c o n f . i f a c e = ' I n t e l ( R )   D u a l   B a n d   W i r e l e s s - A C   8 2 6 0 ' l i s t = [ ] d g a l i s t   =   o p e n ( ' d g a . t x t ' , ' r ' ) d g a l i s t   =   ( d g a l i s t . r e a d l i n e s ( ) ) [ 1 8 : ] f o r   d g a   i n   d g a l i s t   :         l i s t . a p p e n d ( d g a . s p l i t ( ' t ' ) [ 1 ] ) d a t a   =   s e t ( l i s t ) # C a p t u r e   a n d   F i l t e r   D G A d e f   c a p t u r e ( p a c k e t ) :         i f   p a c k e t :                 i   = 0                 f o r   p   i n   p a c k e t :                         s r c   =   p [ i ] [ I P ] . s r c                         d s t   =   p [ i ] [ I P ] . d s t                         s p o r t   =   p [ i ] [ U D P ] . s p o r t                         d p o r t   =   p [ i ] [ U D P ] . d p o r t                         q r   =   s t r ( p [ i ] [ D N S ] . q r )                         r c o d e   =   s t r ( p [ i ] [ D N S ] . r c o d e )                         i f   ' 0 '   i n   q r :                                 q r   =   ' Q u e r y '                                 q n a m e   =   p [ i ] [ D N S ] . q d . q n a m e                                 i f   t y p e ( q n a m e )   = =   b y t e s :                                         q n a m e   =   ( q n a m e . d e c o d e ( ' u t f - 8 ' ) ) [ : - 1 ]                                 i f   q n a m e   i n   d a t a :                                         p r i n t ( " [ * ]   F o u n d   D G A   R e q u e s t : - - > " , s r c , s p o r t , q r , q n a m e )                         i f   ' 1 '   i n   q r :                                 i f   ' 0 '   i n   r c o d e :                                         f o r   j   i n   r a n g e ( 1 0 ) :                                                 t r y :                                                         q r   =   ' R e s p o n s e '                                                         r r n a m e   =   p [ j ] [ D N S ] . a n [ j ] . r r n a m e                                                         r d a t a   =   p [ j ] [ D N S ] . a n [ j ] . r d a t a                                                         i f   t y p e ( r r n a m e )   = =   b y t e s :                                                                 r r n a m e   =   ( r r n a m e . d e c o d e ( ' u t f - 8 ' ) ) [ : - 1 ]                                                                 i f   t y p e ( r d a t a )   = =   b y t e s :                                                                         r d a t a   =   ( r d a t a . d e c o d e ( ' u t f - 8 ' ) ) [ : - 1 ]                                                         i f   r r n a m e   i n   d a t a :                                                                 p r i n t   ( " [ * ]   F o u n d   D G A   R e s p o n s e : - - > " , s r c , d s t , q r , r r n a m e , r d a t a , " n " )                                                 e x c e p t   E x c e p t i o n   a s   e :                                                         p a s s                 i   =   i   +   1 # u p d a t e   d g a f i l e d e f   d g a f i l e u p d a t e ( ) :         u r l   =   ' h t t p : / / d a t a . n e t l a b . 3 6 0 . c o m / f e e d s / d g a / d g a . t x t '         d g a f i l e   =   g e t ( u r l )         w i t h   o p e n ( ' . / d g a . t x t ' , ' w ' )   a s   f :                 f . w r i t e ( d g a f i l e . t e x t )                 p r i n t ( ' D o w n l o a d   D G A F i l e   F i n i s h e d ' ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         s n i f f ( p r n = c a p t u r e , f i l t e r = ' u d p   p o r t   5 3 ' )         w h i l e   T r u e :                 d g a f i l e u p d a t e ( )                 t i m e . s l e e p ( 8 6 4 0 0 )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理