搜索

[14920] 2019-12-30_基于DNS的数据泄露开源测试工具篇

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-12-30_基于DNS的数据泄露开源测试工具篇 基 于 D N S 的 数 据 泄 露 开 源 测 试 工 具 篇 G Z H U / a s U w I l l   F r e e B u f   2 0 1 9 - 1 2 - 3 0 一 、 前 言 一 、 前 言 在 基 于 在 基 于 D N S 的 数 据 窃 取 开 源 测 试 工 具 篇 的 数 据 窃 取 开 源 测 试 工 具 篇 ( 一 一 ) （ 阅 读 原 文 查 看 ） 中 ， 简 要 分 析 了 （ 阅 读 原 文 查 看 ） 中 ， 简 要 分 析 了 D E T 基 于 基 于 D N S 进 行 数 据 窃 取 部 分 进 行 数 据 窃 取 部 分 的 源 码 。 本 文 将 继 续 探 讨 图 的 源 码 。 本 文 将 继 续 探 讨 图 1 中 所 示 的 中 所 示 的 P y E x f i l 中 利 用 中 利 用 D N S 完 成 数 据 窃 取 的 部 分 。 完 成 数 据 窃 取 的 部 分 。 图 1     D E T 、 P y E x f i l 、 D N S E x f i l t r a t o r 的 首 页 展 示 二 、 二 、 P y E x f i l 工 具 简 介 工 具 简 介 P y E x f i l 项 目 [ 1 ] 本 身 是 一 个 测 试 库 ， 作 为 p y t h o n 库 的 形 式 提 供 给 用 户 使 用 ， 该 工 具 实 现 了 多 种 数 据 泄 露 技 术 ， 包 括 攻 击 者 在 真 正 的 攻 击 活 动 中 已 经 或 正 在 使 用 的 部 分 技 术 。 开 源 该 工 具 的 初 衷 是 帮 助 用 户 在 自 己 的 系 统 中 快 速 部 署 ， 从 而 帮 助 用 户 快 速 部 署 ， 用 于 检 测 其 系 统 抵 抗 数 据 泄 露 的 能 力 。 P y E x f i l 工 具 实 现 了 大 量 的 相 关 技 术 ， 分 别 在 网 络 、 通 信 、 物 理 、 隐 写 等 模 块 中 实 现 ， 模 块 分 类 及 对 应 技 术 详 情 见 表 1 ： 模 块 模 块 分 类 分 类 技 术 详 情 技 术 详 情 网 络 模 块 D N S 查 询 查 询 、 H T T P   C o o k i e 、 I C M P   E c h o 8 、 N T P   R e q u e s t 、 B G P   O p e n 、 H T T P S     R e p l a c e   C e r t i f i c a t e 、 Q U I C 、 S l a c k 、 P O P 3 身 份 验 证 、 F T P M K D I R 、 S o u r c e   I P   B a s e d   E x f i l t r a t i o n 、 H T T P   R e s p o n s e 通 信 模 块 N T P   R e q u e s t 、 D r o p B o x   L S P 、 D N S   O v e r   T L S 、 A R P   B r o a d c a s t 、 J e t D i r e c t 、 G Q U I C 、 M D N S   Q u e r y 、 A l l J o y n 物 理 模 块 A u d i o 、 Q R   C o d e 、 W I F I   F r a m e   P a y l o a d 隐 写 模 块 图 像 二 进 制 偏 移 、 V i d e o   D i c t i o n a r y 、 B r a i l l e   T e x t   D o c u m e n t 表 1     P y E x f i l 的 模 块 分 类 及 其 包 含 的 技 术 统 计 P y E x f i l 整 体 项 目 结 构 梳 理 如 图 2 。 本 文 关 注 的 D N S 窃 密 部 分 位 于 网 络 模 块 中 ， d n s _ e x f i l . p y 文 件 是 该 工 具 利 用 D N S 完 成 窃 密 的 具 体 实 现 。
图 2     P y E x f i l 项 目 结 构 概 况 三 、 基 于 三 、 基 于 D N S 的 数 据 窃 取 的 源 码 简 要 分 析 的 数 据 窃 取 的 源 码 简 要 分 析 （ 一 ） 服 务 端 源 码 简 要 分 析 （ 一 ） 服 务 端 源 码 简 要 分 析 图 3     P y E x f i l 的 服 务 端 源 码 概 况 服 务 端 源 码 梳 理 及 工 作 流 程 如 图 3 ， 通 过 源 码 分 析 ， 整 理 其 窃 密 数 据 接 收 、 恢 复 的 主 要 过 程 如 下 ： ( 1 )       s o c k e t 绑 定 设 定 端 口 并 监 听 所 有 数 据 ， 分 别 提 出 数 据 ( D N S 请 求 包 的 所 有 数 据 部 分 ) 、 地 址 。 ( 2 )       在 数 据 中 查 找 包 类 型 标 识 符 ， 并 根 据 包 类 型 采 取 对 应 的 处 理 方 法 。 其 中 包 类 型 及 其 判 别 依 据 见 表 2 。 包 类 型 包 类 型 判 别 依 据 判 别 依 据 初 始 化 包 " I N I T _ 4 4 5 " + 文 件 名 + " : : " + C R C 3 2 窃 密 数 据 包 " x 0 0 x 0 0 x 0 1 x 0 0 x 0 1 " + 数 据 数 据 + " x c c x c c x c c x c c x f f x f f x f f x f f " 结 束 包 " x c c x c c x c c x c c x f f x f f x f f x f f " + " : : " + " x c c x c c x c c x c c x f f x f f x f f x f f " 表 2     P y E x f i l 的 包 类 型 及 其 判 别 依 据 对 应 关 系
( 3 )       服 务 端 将 根 据 不 同 的 包 类 型 采 取 不 同 的 处 理 方 法 ： 1 )             初 始 化 包 ： 从 包 中 提 取 即 将 传 送 文 件 的 重 要 信 息 ： 文 件 名 、 C R C 3 2 校 验 值 。 2 )           窃 密 数 据 包 ： 从 包 中 提 取 窃 取 的 文 件 数 据 ， 增 量 保 存 到 变 量 a c t u a l _ f i l e 中 。 3 )           结 束 包 ： 标 志 着 文 件 传 输 结 束 ， 则 通 过 C R C 3 2 校 验 后 恢 复 文 件 到 本 地 ， 并 回 复 客 户 端 “ O K ” 。 （ 二 ） 客 户 端 源 码 简 要 分 析 （ 二 ） 客 户 端 源 码 简 要 分 析 图 4     P y E x f i l 客 户 端 源 码 概 况 客 户 端 源 码 及 主 要 工 作 流 程 梳 理 如 图 4 ， 通 过 源 码 分 析 ， 整 理 其 构 造 、 编 码 、 发 送 窃 密 数 据 的 主 要 过 程 如 下 ： ( 1 )       参 照 D N S 协 议 各 字 段 ， 以 服 务 端 域 名 为 基 础 构 造 一 个 普 通 的 D N S 请 求 ， 存 储 到 d n s _ r e q u e s t 。 ( 2 )       按 制 定 的 窃 密 文 件 路 径 ， 将 文 件 数 据 读 入 内 存 ， 并 计 算 其 C R C 3 2 值 。 ( 3 )       通 过 s o c k e t 发 送 初 始 化 包 。 其 中 ， 初 始 化 包 的 组 成 结 构 大 致 如 图 5 ( d n s _ r e q u e s t 由 步 骤 ( 1 ) 生 成 ) 。 图 5     P y E x f i l 初 始 化 包 的 组 成 结 构 ( 4 )       通 过 s o c k e t 逐 个 发 送 文 件 数 据 块 。 其 中 ， 窃 密 数 据 包 组 成 结 构 如 图 6 。
图 6     P y E x f i l 窃 密 数 据 包 的 组 成 结 构 ( 5 )       当 所 有 文 件 数 据 块 发 送 完 毕 后 ， 通 过 s o c k e t 发 送 结 束 包 。 其 中 ， 客 户 端 构 造 的 结 束 包 组 成 结 构 如 图 7 。 图 7     P y E x f i l 结 束 包 的 组 成 结 构 总 结 与 思 考 ： 总 结 与 思 考 ： P y E x f i l 部 署 实 验 环 境 后 ， 模 拟 执 行 数 据 窃 取 后 的 不 同 类 型 流 量 包 情 况 分 别 如 图 8 、 图 9 、 图 1 0 。 图 8     初 始 化 包 流 量 包 情 况 图 9     窃 密 数 据 包 流 量 情
况 图 1 0     结 束 包 流 量 情 况 通 过 以 上 分 析 ， P y E x f i l 具 有 明 显 的 特 征 ： P y E x f i l 利 用 D N S 的 方 式 特 点 明 显 — — 在 D N S 请 求 的 同 一 个 U D P 包 中 ， 先 构 造 D N S 普 通 D N S 请 求 包 ， 窃 密 数 据 附 加 到 D N S 协 议 内 容 以 外 的 区 域 ， 即 窃 密 数 据 位 置 在 D N S 协 议 规 定 的 内 容 之 外 。 但 综 合 来 看 ， P y E x f i l 在 实 验 调 试 中 也 发 现 了 一 些 问 题 ： ( 1 )   文 件 数 据 明 文 传 输 ， 打 开 P c a p 包 可 以 直 接 看 到 二 进 制 数 据 对 应 窃 密 字 符 串 。 ( 2 )   窃 密 数 据 包 没 有 编 号 ， 且 没 有 任 何 重 传 机 制 ， 在 网 络 状 况 较 差 时 ， 文 件 恢 复 失 败 率 较 高 。 ( 3 )   源 码 中 D N S 请 求 部 分 为 手 动 编 码 输 入 ， 结 果 是 传 输 同 一 个 窃 密 文 件 时 ， 有 很 多 内 容 相 同 的 D N S 请 求 — — 这 本 身 就 是 一 种 异 常 。 ( 4 )   源 码 中 只 在 成 功 恢 复 文 件 后 响 应 客 户 端 请 求 “ G o t   i t ， O K ” ； 为 了 减 小 异 常 ， 可 以 考 虑 对 每 个 请 求 构 造 响 应 ， 且 为 自 己 定 义 的 A 记 录 值 。 参 考 链 接 ： 参 考 链 接 ： [ 1 ]   P y E x f i l 项 目 地 址 * 本 文 作 者 ： 本 文 作 者 ： G Z H U / a s U w I l l ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理