搜索

[14479] 2019-08-17_基于DNS隐蔽信道的攻击与检测

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-08-17_基于DNS隐蔽信道的攻击与检测 基 于 D N S 隐 蔽 信 道 的 攻 击 与 检 测 B U P T / T T Z M   F r e e B u f   2 0 1 9 - 0 8 - 1 7 一 、 基 于 一 、 基 于 D N S 的 隐 蔽 通 信 的 隐 蔽 通 信 企 业 网 络 经 常 面 临 网 络 攻 击 者 窃 取 有 价 值 和 敏 感 数 据 的 威 胁 。 复 杂 的 攻 击 者 越 来 越 多 地 利 用 企 业 网 络 经 常 面 临 网 络 攻 击 者 窃 取 有 价 值 和 敏 感 数 据 的 威 胁 。 复 杂 的 攻 击 者 越 来 越 多 地 利 用 D N S 通 道 来 泄 露 数 通 道 来 泄 露 数 据 ， 以 及 维 护 恶 意 软 件 的 隧 道 据 ， 以 及 维 护 恶 意 软 件 的 隧 道 C & C （ 命 令 和 控 制 ） 通 信 。 这 是 因 为 （ 命 令 和 控 制 ） 通 信 。 这 是 因 为 D N S 对 于 几 乎 所 有 应 用 程 序 来 说 都 是 如 此 重 对 于 几 乎 所 有 应 用 程 序 来 说 都 是 如 此 重 要 的 服 务 ， 从 本 地 计 算 机 到 要 的 服 务 ， 从 本 地 计 算 机 到 I n t e r n e t 的 任 何 通 信 （ 不 包 括 基 于 静 态 的 任 何 通 信 （ 不 包 括 基 于 静 态 I P 的 通 信 ） 都 依 赖 于 的 通 信 ） 都 依 赖 于 D N S 服 务 ， 限 制 服 务 ， 限 制 D N S 通 通 信 可 能 会 导 致 合 法 远 程 服 务 的 断 开 ， 因 此 ， 企 业 防 火 墙 通 常 配 置 为 允 许 信 可 能 会 导 致 合 法 远 程 服 务 的 断 开 ， 因 此 ， 企 业 防 火 墙 通 常 配 置 为 允 许 U D P 端 口 端 口 5 3 （ 由 （ 由 D N S 使 用 ） 上 的 所 有 数 使 用 ） 上 的 所 有 数 据 包 ， 即 据 包 ， 即 D N S 流 量 通 常 允 许 通 过 企 业 防 火 墙 而 无 需 深 度 检 查 或 状 态 维 护 。 从 攻 击 者 的 角 度 来 看 ， 这 使 得 流 量 通 常 允 许 通 过 企 业 防 火 墙 而 无 需 深 度 检 查 或 状 态 维 护 。 从 攻 击 者 的 角 度 来 看 ， 这 使 得 D N S 协 协 议 成 为 数 据 泄 露 地 隐 蔽 通 信 通 道 。 议 成 为 数 据 泄 露 地 隐 蔽 通 信 通 道 。 攻 击 者 利 用 D N S 的 一 种 方 法 是 注 册 域 名 （ 例 如 ， f e n g r o u 2 0 1 9 . c l u b ） ， 以 便 攻 击 者 在 主 机 受 害 者 中 的 恶 意 软 件 可 以 将 有 价 值 的 私 人 信 息 （ 例 如 信 用 卡 号 ， 登 录 密 码 或 知 识 产 权 ） 编 码 为 形 式 为 a r b i t r a r y - s t r i n g . f e n g r o u 2 0 1 9 . c l u b 的 D N S 请 求 。 此 D N S 请 求 由 全 局 域 名 系 统 中 的 解 析 器 转 发 到 f e n g r o u 2 0 1 9 . c l u b 域 的 权 威 服 务 器 （ 在 攻 击 者 的 控 制 下 ） ， 后 者 又 向 主 机 受 害 者 发 送 响 应 。 这 为 攻 击 者 在 主 受 害 者 及 其 命 令 和 控 制 中 心 之 间 提 供 了 低 速 但 隐 蔽 的 双 向 通 信 信 道 。 如 图 所 示 为 B o t 在 获 取 控 制 命 令 后 回 传 窃 密 信 息 的 流 程 图 。 D N S 这 种 穿 透 防 火 墙 的 能 力 为 攻 击 者 提 供 了 一 个 隐 蔽 的 通 道 ， 尽 管 是 低 速 通 道 ， 通 过 将 其 他 协 议 （ 例 如 ， S S H ， F T P ） 隧 道 传 输 到 命 令 和 控 制 中 心 ， 可 以 通 过 该 通 道 泄 露 私 有 数 据 并 保 持 与 恶 意 软 件 的 通 信 。 现 代 恶 意 软 件 和 网 络 攻 击 在 很 大 程 度 上 依 赖 于 D N S 服 务 ， 使 其 活 动 可 靠 且 难 以 跟 踪 。 例 如 ， 2 0 1 7 年 发 现 的 远 程 访 问 木 马 D N S M e s s e n g e r 使 用 D N S 查 询 和 响 应 在 受 感 染 的 主 机 上 执 行 恶 意 P o w e r S h e l l 命 令 。 二 、 二 、 D N S 检 测 检 测 监 控 网 络 D N S 活 动 和 阻 止 可 疑 域 已 被 证 明 是 抵 御 此 类 攻 击 的 有 效 技 术 。 对 于 分 析 D N S 流 量 以 识 别 恶 意 网 络 活 动 ， 人 们 提 出 了 很 多 检 测 方 法 ， 比 如 使 用 字 符 频 率 分 析 的 D N S 隧 道 检 测 方 法 等 。 对 于 任 何 组 织 用 以 对 抗 各 种 安 全 威 胁 来 说 ， 在 企 业 级 水 平 上 的 单 点 B o t 检 测 至 关 重 要 。 本 文 要 介 绍 的 D N S 检 测 工 具 B o t D A D ， 它 就 是 部 署 在 企 业 的 网 络 边 界 上 进 行 单 点 B o t 检 测 的 ， 它 通 过 观 察 主 机 在 一 段 时 间 内 的 D N S 指 纹 ， 尝 试 寻 找 域 正 常 的 主 机 行 为 相 当 不 同 的 异 常 行 为 ， 从 而 识 别 受 感 染 的 主 机 。 本 文 以 B o t D A D 工 具 为 例 ， 将 对 B o t D A D 进 行 D N S 检 测 的 技 术 分 析 。
1 .   D N S 检 测 特 征 检 测 特 征 B o t D A D 中 统 计 分 析 了 1 5 种 D N S 的 行 为 特 征 ， 如 下 : 通 过 对 B o t D A D 工 作 做 源 码 解 析 ， 找 到 其 核 心 类 与 核 心 函 数 ， 其 中 便 对 以 上 1 5 种 D N S 特 征 进 行 了 使 用 。 核 心 类 ： B o t D A D / D n s A n a l y s e r . p y / c l a s s s   N e t w o r k 核 心 函 数 ： B o t D A D / D n s A n a l y s e r . p y / c l a s s s   N e t w o r k / f i n d _ a n o m a l y ( ) 2 . B o t D A D 安 装 与 使 用 安 装 与 使 用 2 . 1   安 装 ： 依 赖 p y t h o n 版 本 ： p y t h o n 2 . 7 系 统 环 境 ： w i n d o w s 预 安 装 ：
2 . 2   数 据 集 准 备 ： B o t D A D 提 供 了 3 种 预 备 数 据 集 的 方 式 ： 2 . 2 . 1   抓 包 、 过 滤 、 切 片 （ 1 ） 使 用 w i r e s h a r k 抓 包 （ 2 ）   包 过 滤 命 令 或 （ 3 ） 切 片 命 令 或 2 . 2 . 2   直 接 可 用 ： 2 0 1 6 0 4 2 1 _ 1 5 0 5 2 1 . p c a p M a n m e e t   S i n g h （ B o t D A D 论 文 作 者 ） 提 供 ， 可 直 接 使 用 。 链 接 ： h t t p s : / / d r i v e . g o o g l e . c o m / f i l e / d / 1 4 c R Y 6 a E Q z _ x V s f y S B b 4 I k 6 m P Y D L o I c 8 8 / v i e w ? u s p = s h a r i n g 2 . 2 . 3   直 接 可 用 ： 校 园 D N S 网 络 流 量 数 据 集 由 B o t D A D 论 文 作 者 提 供 。 2 0 1 6 年 4 月 至 5 月 期 间 ， 由 超 过 4 0 0 0 个 活 跃 用 户 组 成 的 校 园 D N S 网 络 流 量 （ 在 高 峰 负 载 时 间 内 ） 为 1 0 个 随 机 日 ， 可 在 数 据 集 中 的 每 小 时 P C A P 文 件 中 获 得 。 （ 由 于 1 0 G B 数 据 限 制 ， 目 前 只 能 上 传 D a y 0 （ F u l l ） 和 D a y 1 （ 部 分 ） 的 流 量 ） 数 据 集 链 接 为 ： h t t p s : / / d a t a . m e n d e l e y . c o m / d a t a s e t s / z h 3 w n d d z x y / 1 2 . 3   使 用 前 的 问 题 与 解 决 ： 2 . 3 . 1   包 导 入 问 题 下 载 后 ， 尝 试 直 接 运 行 m a i n . p y ， 遇 到 一 个 问 题 ： t s h a r k . e x e   - r   " i n p u t . p c a p "   - F   p c a p   - Y   d n s   - t   a d   - w " b i g . p c a p "           # w i n d o w s t s h a r k   - r   " i n p u t . p c a p "   - F   p c a p   - Y   d n s   - t   a d   - w " b i g . p c a p "                   # l i n u x e d i t c a p . e x e   - F   p c a p   - i   3 6 0 0 " b i g . p c a p "   " s l i c e . p c a p "                             # w i n d o w s e d i t c a p   - F   p c a p   - i   3 6 0 0 " b i g . p c a p "   " s l i c e . p c a p "                                     # l i n u x
由 于 问 题 出 现 在 p c a p p a r s e r . p y ， 而 在 B o t D A D 开 源 的 项 目 中 ， 公 布 的 是 P c a p P a r s e r . p y c 文 件 ， 因 此 需 要 p y c 反 编 译 ， 本 文 使 用 u n c o m p y l e 实 现 反 编 译 。 通 过 反 编 译 得 到 P c a p P a r s e r . p y ， 利 用 p y t h o n 2 命 令 行 环 境 验 证 ， 发 现 问 题 就 出 在 这 里 ： 2 . 3 . 2   问 题 解 决 查 看 w i n - i n e t - p t o n 的 A P I ， 发 现 其 中 提 供 的 对 于 i n e t _ n t o p 的 使 用 方 法 与 代 码 中 的 使 用 方 法 不 太 一 样 。 检 索 反 编 译 的 P c a p P a r s e r . p y 代 码 中 ， i n e t _ n t o p 出 现 的 地 方 ， 发 现 只 有 两 处 ： 一 处 是 文 件 导 入 的 地 方 ：
另 一 处 的 用 法 其 实 与 w i n - i n e t - p t o n 的 A P I 中 提 供 的 用 法 是 一 致 的 ： 所 以 我 这 边 尝 试 修 改 P c a p P a r s e r . p y 代 码 ， 然 后 用 P c a p P a r s e r . p y 替 代 P c a p P a r s e r . p y 用 于 B o t D A D 的 运 行 ： 修 改 前 ， 原 i n e t _ n t o p 的 导 入 方 式 ： 修 改 后 ， 直 接 导 入 w i n i n e t p t o n 即 可 ： 完 成 替 换 之 后 ， 再 运 行 m a i n . p y ， 如 图 ， 运 行 成 功 ， 问 题 解 决 ： 一 开 始 运 行 ， 首 先 在 m a i n . p y 的 上 一 级 目 录 中 生 成 3 个 文 件 ： 执 行 到 c o n s o l e > 的 耗 时 还 是 挺 长 的 ， 大 概 7 分 钟 。
2 . 4     B o t D A D 的 使 用 B o t D A D 的 使 用 命 令 总 结 如 下 ： 2 . 4 . 1 l 命 令 我 这 里 使 用 l 命 令 ， 主 机 列 表 包 含 5 7 1 个 主 机 。
2 . 4 . 2   m 命 令 输 入 主 机 列 表 中 的 一 个 I P 地 址 ， 无 返 回 ， 在 m a i n . p y 的 同 级 目 录 下 生 成 文 件 ： 2 . 4 . 3   p 命 令 生 成 图 像 ， p l o t   D N S   q u e r y   t i m e l i n e ： 2 . 4 . 4   d / D 命 令 主 机 I P 后 面 出 现 的 数 字 与 主 机 列 表 中 最 后 一 列 的 数 字 对 应 一 致 。
D 命 令 是 将 d 展 示 部 分 做 保 存 。 用 D 命 令 ：   2 . 4 . 5   h 命 令
s a v i n g 的 过 程 可 能 会 比 较 慢 。 好 长 时 间 之 后 ： 在 m a i n . p y 的 上 一 级 目 录 下 生 成 h t m l 文 件 : 2 . 4 . 6 x 命 令 . c s v ： 逗 号 分 隔 值 文 件 格 式 。 在 m a i n . p y 的 上 一 级 目 录 下 生 成 . p c a p . c s v 文 件 ： 2 . 4 . 7   F 命 令 很 多 主 机 被 列 出 来 ， 说 明 请 求 w w w . g o o g l e . c o m 的 主 机 非 常 多 。 找 一 个 特 殊 的 U R L ， 与 前 面 执 行 d 命 令 中 的 截 图 中 的 数 据 刚 好 对 应 ：
2 . 4 . 8   f 命 令 2 . 4 . 9   q 命 令 三 、 总 结 三 、 总 结 攻 防 相 济 ， 攻 击 者 试 图 用 更 与 时 俱 进 的 技 术 建 立 稳 健 的 C & C 通 信 信 道 ， 研 究 学 者 在 检 测 或 防 御 技 术 上 的 重 大 突 破 也 存 在 着 被 攻 击 者 利 用 的 可 能 性 。 以 基 于 D N S 隐 蔽 信 道 的 攻 击 与 检 测 为 例 ， 目 前 基 于 网 络 流 量 的 D N S 检 测 技 术 ， 尤 其 是 利 用 P a s s i v e   D N S 来 实 现 对 网 络 的 D N S 监 控 ， 不 需 要 任 何 关 于 僵 尸 网 络 协 议 、 通 信 或 签 名 的 先 验 知 识 ， 在 当 前 的 D N S 检 测 领 域 具 有 一 定 的 先 进 性 和 代 表 性 。 但 基 于 D N S 特 征 的 检 测 技 术 也 存 在 一 些 问 题 ， 一 些 数 据 特 征 可 能 具 有 时 间 和 空 间 的 特 性 ， 所 以 实 验 结 果 很 可 能 具 有 偏 向 性 ， 而 这 些 不 符 合 当 前 时 空 特 性 的 数 据 特 征 就 有 被 攻 击 者 利 用 的 可 能 性 。 研 究 者 需 要 评 估 自 己 的 结 果 是 否 对 较 好 的 泛 化 性 能 。 比 如 随 着 时 间 的 推 动 ， 技 术 不 断 发 展 ， 一 些 用 于 D N S 检 测 的 特 征 可 能 已 经 过 时 ， 新 的 特 征 也 需 要 我 们 去 挖 掘 ， 并 防 止 被 利 用 的 可 能 。 参 考 链 接 参 考 链 接 [ 1 ] h t t p s : / / g i t h u b . c o m / m a n n i r u l z / B o t D A D
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理