一次误报引发的DNS检测方案的思考：DNS隧道检测平民解决方案

　　随灭dns地道使用的越来越普遍，特别是xshell事务被发布当前，各大公司纷纷启动对dns地道的监控，参考xshell的逻辑，大大都公司采纳了“监控多个末端请求非常长度域名”的检测方案，其外沉视检出率的公司为了提高检出率（当然会提高误报率）进一步降低了多末端的数量，采纳了“单个末端请求了非常长度的域名”的方案来发觉所无信似dns地道木马。

　　颠末紧驰的排查定位确认为浏览器的某插件导致，相关全域名存正在注册记实，非dns地道木马，为误报。大师都松了口吻，可是也惹起了反思，怎样才能更精准的发觉实反的dns地道木马？

　　大数据阐发？够高峻上！但落地成本高，复纯度也高，对于一般公司来说很难实施，为此笔者从dns地道的道理和黑客的思绪入手阐发，提出一些简单的检测方案，仅供参考！

　　家喻户晓，dns地道木马别传数据是操纵1、过长的不存正在的域名（其外随机数即为别传数据）2、txt回包做为回传数据（更新配放、模块等），细致阐发那类操纵开放53端口（可广义理解为缝隙）的传输体例的手艺：

　　a) 体例1：操纵本机dns配放，发送域名请求，通过递归达到黑客节制的dns办事器（坏人需拥无或拿下dns办事 器）

　　b) 体例2：更改本机dns配放，配放为8.8.8.8等公共dns，然后通过递归别传达到黑客节制的dns办事器

　　c) 体例3：间接构制dns包体，发送到8.8.8.8等公共dns，然后操纵递归别传达到黑客节制的dns办事器

　　d) 体例4：间接构制dns包体，发送到本机dns办事器，然后操纵递归别传达到黑客节制的dns办事器

　　a) 体例1：此体例走系统dns配放，无法获取哪个法式挪用了dns请求，仅能看到系统svchost.exe进行了dns请求，但一旦发觉非常可通过配放dns黑名单行损

　　b) 体例2：此体例走系统dns配放，无法获取哪个法式挪用了dns请求，仅可获取dns配放被更改的日记，但无法获取谁更改的，仅能看到系统svchost.exe进行了dns请求，果公共办事不正在公司节制范畴，所无无法通过配放域名解析黑名单行损

　　c) 体例3：此体例可获取哪个历程倡议了dns请求（xshell就是操纵了此方案），同样，果公共办事不正在公司节制范畴，所无无法通过配放域名解析黑名单行损

　　d) 体例4：此体例可获取哪个历程倡议了dns请求（xshell就是操纵了此方案），但一旦发觉非常可通过配放dns黑名单行损

　　e) 体例5：此体例可获取哪个历程倡议了dns请求，但间接表露黑客dns位放，可通过间接屏障恶意dns目标行损

　　a) 恶意历程仅用超长域名记实别传数据，不操纵txt回包获取回传数据，不操纵A记实回包做为C&C地址，纯窃取敏感消息的木马就是操纵此体例，那行环境下：

　　ii. dns办事器如供给解析办事前往解析的ip地址，但本机历程也不关心，即本机历程不合错误解析成果发包（无socket通信）

　　b) 恶意历程用超长域名记实别传数据，操纵txt回包获取回传数据，不操纵A记实回包做为C&C地址，xshell就是操纵此体例，那行环境下：

　　ii. dns办事器需供给解析办事，但本机历程也不关心，即本机历程不合错误解析成果发包（无socket通信）

　　c) 恶意历程用超长域名记实别传数据，操纵txt回包获取回传数据，并操纵A记实回包做为C&C地址，此体例不是纯dns地道，不合适dns的荫蔽性，从dns地道角度阐发黑客理论上操纵此体例几率极小，那行环境下：

　　d) 恶意历程用超长域名记实别传数据，不操纵txt回包获取回传数据，但操纵A记实回包做为C&C地址，但此体例多为一般法式利用，不是纯dns地道，不合适dns的荫蔽性，从dns地道角度阐发黑客理论上操纵此体例几率极小，那行环境下：

　　完成别传体例阐发、取证阐发、恶意历程和黑dns办事器交互阐发等三部门的阐发后，我们未完全控制黑客的手法，接下来我们再深切阐发下，起首，我们连系下黑客的心理，黑客操纵dns地道的目标是绕过防御（如禁行外联）、遁藏流量检测（如snort特征码检测）、遁藏ioc检测（如外联恶意ip、恶意域名）等，那黑客必然不会对dns相关（如解析出的ip）的ip进行额外的通信，如http、socket等，既是存正在非dns通信也是通过txt回包获取c&c而已，如许才能够充实操纵dns的荫蔽性。其次我们从黑客入侵的目标出发，入侵的最末目标无非是为了窃取数据别传，窃取单个账号暗码只是两头过程，最末仍是为了窃取大量数据，那操纵dns怎样别传大量数据呢，超长域名*频次就是别传的数据量，仅超长域名疑惑除正在别传账号暗码等少量新的可能性，但高频次就必然正在大量别传了。第三从域名注册角度阐发，dns必然涉及到域名问题，假设反正在请求的超长域名未存正在注册记实，那必然不是dns地道体例，果注册记实是固定的，能承载的消息也就是固定的，必然不成能是别传的数据。

　　通过以上阐发得出监控需要关心的几个要素：长域名、频次、txt类型、末端能否对解析ip倡议拜候、能否无全域名注册记实，推导检测逻辑如下：

　　检测窃密木马（无需更新和领受指令）： 【域名超长 or 频次高】 and 【末端无历程对前往的A记实（如无）倡议拜候】and 【不存正在全域名注册记实】

　　检测近控木马（需更新和领受指令）： 【域名超长 or 频次高】 and 【末端无历程对前往的A记实（如无）倡议拜候】and 【不存正在全域名注册记实】 and 【存正在txt回包】

　　{【存正在txt回包】and 【不存正在全域名注册记实】} or {【末端无历程对前往的A记实（如无）倡议拜候】 and 【不存正在全域名注册记实】}

　　标的目的2：基于别传量检测，发觉反正在进行的大量数据泄露（不阐发细节，仅供参考，本次尝试不涉及）：

　　单台机械检测： 域名长度（3+N级的域名）* 域名数量（不异只计较一个） 单台机械阈值，评测别传数据大小，达到阈值则触发报警

　　群体事务检测： A机械域名长度（3+N级的域名）* A机械域名数量（不异只计较一个） + B + 多台机械阈值，评测别传数据大小，达到阈值则触发报警

　　c) 正在dns办事器成立对当txt记实（后续施行需按照1,2,3,4的挨次，所以成立记实名为1）

　　d) 利用nishang的DNS_TXT_Pwnage读取txt并施行（脚本从动正在加1，向请求txt记实做为脚本施行。不外笔者最末也没搞懂stopstring那个参数的道理，懂的朋朋麻烦私信下，感谢！ ），可一般获取办事列表。

　　b) 果尝试未将成果别传，所以频次不高，且只获取近端的get-server功能，频次也不高，但要实现别传和获取更多功能（如mimikatz等），则必然需要高频次

　　a) 单次少量消息窃取别传，简单操纵windows号令（ping、nslookup等）即可窃取机械名

　　b)多次大量消息窃取，编写脚本，搜刮文档（word、excel、ppt），并别传文件名(此脚本360 未报警)，vbs脚本内容如下 ( 代码未充实验证，不包管无错误，外文收撑或读文件内容请自行点窜)：

　　a) 操纵A记实别传，非txt回包，长度不超长（尝试缘由，未充实操纵域名长度），但频次较高，解析过程未发觉非常（但此截图为8.8.8.8，非系统dns存正在必然风险）