{"id":90406,"date":"2020-08-01T01:41:57","date_gmt":"2020-07-31T23:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/chto-takoe-dns-tunnelirovanie-instrukcziya-po-obnaruzheniyu"},"modified":"2020-08-01T01:41:57","modified_gmt":"2020-07-31T23:41:57","slug":"chto-takoe-dns-tunnelirovanie-instrukcziya-po-obnaruzheniyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/chto-takoe-dns-tunnelirovanie-instrukcziya-po-obnaruzheniyu","title":{"rendered":"Hvad er DNS-tunneling? Guide til opdagelse","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Hvad
\n
\nDNS-tunneling forvandler dom\u00e6nesystemet til et v\u00e6rkt\u00f8j for hackere. DNS er i sine grundtr\u00e6k en k\u00e6mpe telefonbog for internettet. Derudover fungerer DNS som den grundl\u00e6ggende protokol, som administratorer bruger til at foretage foresp\u00f8rgsler til DNS-serverens database. Indtil videre er alt klart. Men snedige hackere har indset, at de kan kommunikere skjult med offerets computer ved at indf\u00f8re kontrolkommandoer og data i DNS-protokollen. Ideen ligger til grund for DNS-tunneling.
\n<\/a><\/noindex><\/p>\n

Hvordan DNS-tunneling fungerer<\/h2>\n

\n\"Hvad
\n
\nFor alt p\u00e5 internettet findes der en specifik protokol. Og DNS underst\u00f8tter en relativt simpel protokol <\/a><\/noindex>foresp\u00f8rgsel-svar-type. Hvis du vil se, hvordan det fungerer, kan du k\u00f8re nslookup \u2013 det prim\u00e6re v\u00e6rkt\u00f8j til at sende DNS-foresp\u00f8rgsler. Du kan anmode om en adresse ved blot at angive det dom\u00e6nenavn, du er interesseret i, for eksempel:<\/p>\n

\"Hvad
\n
\nI vores tilf\u00e6lde svarede protokollen med IP-adressen for dom\u00e6net. I DNS-protokolens termer lavede jeg en adresseforesp\u00f8rgsel eller foresp\u00f8rgsel af den s\u00e5kaldte \"A\"-type. Der findes ogs\u00e5 andre typer foresp\u00f8rgsler, og DNS-protokollen vil svare med forskellige s\u00e6t datafelter, som hackere, som vi senere vil se, kan udnytte.<\/p>\n

P\u00e5 en eller anden m\u00e5de har DNS-protokollen som sin essens til form\u00e5l at transmittere foresp\u00f8rgsler til serveren og svare tilbage til klienten. Hvad nu hvis en ondsindet akt\u00f8r tilf\u00f8jer en skjult besked inde i dom\u00e6nenavnsforesp\u00f8rgslen? For eksempel, i stedet for at indtaste et helt legitimt URL, indtaster de data, de \u00f8nsker at overf\u00f8re:<\/p>\n

\"Hvad
\n
\nAntag, at den ondsindede akt\u00f8r styrer DNS-serveren. S\u00e5 kan de overf\u00f8re data \u2013 for eksempel personlige oplysninger \u2013 og ikke n\u00f8dvendigvis blive opdaget. I sidste ende, hvad skulle der pludselig g\u00f8re en DNS-foresp\u00f8rgsel illegitim? <\/p>\n

Ved at styre serveren kan hackere forfalske svar og sende data tilbage til det m\u00e5lrettede system. Dette g\u00f8r det muligt for dem at overf\u00f8re beskeder, der er skjult i forskellige felter i DNS-svarene, til skadelig software p\u00e5 den inficerede maskine, med instrukser som at s\u00f8ge inden for en bestemt mappe.<\/p>\n

Den \"tunnelerende\" del af denne attaque er skjule <\/a><\/noindex> data og kommandoer fra overv\u00e5gningssystemers opdagelse. Hackere kan bruge s\u00e6t af tegn som base32, base64 osv., eller endda kryptere data. En s\u00e5dan kodning vil g\u00e5 ubem\u00e6rket forbi enkle trusselsopdagelsesv\u00e6rkt\u00f8jer, der leder efter \u00e5bne tekst.<\/p>\n

Og det er DNS-tunneling!<\/p>\n

Historien om angreb via DNS-tunneling<\/h2>\n

\nAlt har en start, inklusive ideen om at kapre DNS-protokollen til hackerm\u00e5l. S\u00e5 vidt vi kan bed\u00f8mme, blev det f\u00f8rste diskussionen <\/a><\/noindex>s\u00e5dan et angreb udf\u00f8rt af Oskar Pearson i Bugtraq-mailinglisten i april 1998.<\/p>\n

I 2004 blev DNS-tunneling pr\u00e6senteret p\u00e5 Black Hat som en hacker-metode i en pr\u00e6sentation af Dan Kaminsky. S\u00e5ledes voksede ideen hurtigt til et reelt angrebsv\u00e6rkt\u00f8j.<\/p>\n

I dag har DNS-tunneling en st\u00e6rk position p\u00e5 kortet over potentielle trusler <\/a><\/noindex>(og informationssikkerhedsbloggere bliver ofte bedt om at forklare det).<\/p>\n

Har du h\u00f8rt om Sea Turtle <\/a><\/noindex>? \u042d\u0442\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0449\u0430\u044f \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u044b\u0445 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a \u2014 \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0441\u043f\u043e\u043d\u0441\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u043e\u043c, \u2014 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u043d\u0430 \u0437\u0430\u0445\u0432\u0430\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0441 \u0446\u0435\u043b\u044c\u044e \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043d\u0430 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u042d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0431\u0443\u0434\u0443\u0442 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u00ab\u043f\u043b\u043e\u0445\u0438\u0435\u00bb IP-\u0430\u0434\u0440\u0435\u0441\u0430, \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0432\u0435\u0431-\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0445\u0430\u043a\u0435\u0440\u043e\u0432, \u2014 \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Google \u0438\u043b\u0438 FedEx. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043c\u043e\u0433\u0443\u0442 \u0437\u0430\u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u043f\u0430\u0440\u043e\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0435 \u043d\u0435\u043e\u0441\u043e\u0437\u043d\u0430\u043d\u043d\u043e \u0432\u0432\u0435\u0434\u0443\u0442 \u0438\u0445 \u043d\u0430 \u0442\u0430\u043a\u0438\u0445 \u043f\u043e\u0434\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0430\u0439\u0442\u0430\u0445. \u042d\u0442\u043e \u043d\u0435 DNS-\u0442\u0443\u043d\u043d\u0435\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435, \u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0435\u0449\u0451 \u043e\u0434\u043d\u043e \u0441\u043a\u0432\u0435\u0440\u043d\u043e\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044f DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0445\u0430\u043a\u0435\u0440\u0430\u043c\u0438.<\/p>\n

Trusler fra DNS-tunneling<\/h2>\n

\n\"Hvad
\n
\nDNS-tunneling er som en indikator for begyndelsen af en fase med d\u00e5rlige nyheder. Hvilke? Vi har allerede n\u00e6vnt nogle stykker, men lad os strukturere dem:<\/p>\n