डीएनएस टनलिंग क्या है? पता लगाने के निर्देश

डीएनएस टनलिंग डोमेन नाम प्रणाली को हैकर्स के लिए एक हथियार में बदल देती है। DNS मूलतः इंटरनेट की विशाल फोन बुक है। DNS भी अंतर्निहित प्रोटोकॉल है जो प्रशासकों को DNS सर्वर डेटाबेस को क्वेरी करने की अनुमति देता है। अभी तक सब कुछ साफ नजर आ रहा है. लेकिन चालाक हैकरों को एहसास हुआ कि वे DNS प्रोटोकॉल में नियंत्रण आदेश और डेटा इंजेक्ट करके पीड़ित कंप्यूटर के साथ गुप्त रूप से संचार कर सकते हैं। यह विचार DNS टनलिंग का आधार है।

डीएनएस टनलिंग कैसे काम करती है

इंटरनेट पर हर चीज़ का अपना अलग प्रोटोकॉल होता है। और DNS समर्थन अपेक्षाकृत सरल है प्रोटोकॉल अनुरोध-प्रतिक्रिया प्रकार. यदि आप यह देखना चाहते हैं कि यह कैसे काम करता है, तो आप nslookup चला सकते हैं, जो DNS क्वेरीज़ बनाने का मुख्य उपकरण है। आप केवल उस डोमेन नाम को निर्दिष्ट करके पते का अनुरोध कर सकते हैं जिसमें आप रुचि रखते हैं, उदाहरण के लिए:

हमारे मामले में, प्रोटोकॉल ने डोमेन आईपी पते के साथ प्रतिक्रिया दी। DNS प्रोटोकॉल के संदर्भ में, मैंने एक पता अनुरोध या एक तथाकथित अनुरोध किया। "प्रकार। अन्य प्रकार के अनुरोध हैं, और DNS प्रोटोकॉल डेटा फ़ील्ड के एक अलग सेट के साथ प्रतिक्रिया देगा, जैसा कि हम बाद में देखेंगे, हैकर्स द्वारा इसका फायदा उठाया जा सकता है।

एक तरह से या किसी अन्य, इसके मूल में, DNS प्रोटोकॉल सर्वर पर एक अनुरोध प्रेषित करने और क्लाइंट को उसकी प्रतिक्रिया वापस भेजने से संबंधित है। यदि कोई हमलावर डोमेन नाम अनुरोध के अंदर एक छिपा हुआ संदेश जोड़ता है तो क्या होगा? उदाहरण के लिए, पूरी तरह से वैध यूआरएल दर्ज करने के बजाय, वह वह डेटा दर्ज करेगा जिसे वह प्रसारित करना चाहता है:

मान लीजिए कि एक हमलावर DNS सर्वर को नियंत्रित करता है। इसके बाद यह डेटा-व्यक्तिगत डेटा, उदाहरण के लिए-बिना आवश्यक रूप से पता लगाए प्रसारित कर सकता है। आख़िर, DNS क्वेरी अचानक कुछ नाजायज़ क्यों हो जाएगी?

सर्वर को नियंत्रित करके, हैकर्स प्रतिक्रियाएँ बना सकते हैं और डेटा को लक्ष्य सिस्टम पर वापस भेज सकते हैं। यह उन्हें एक विशिष्ट फ़ोल्डर के अंदर खोज जैसे निर्देशों के साथ, संक्रमित मशीन पर मैलवेयर के लिए DNS प्रतिक्रिया के विभिन्न क्षेत्रों में छिपे संदेशों को पारित करने की अनुमति देता है।

इस हमले का "सुरंग बनाना" हिस्सा है आड़ मॉनिटरिंग सिस्टम द्वारा पता लगाने से डेटा और कमांड। हैकर्स बेस32, बेस64, आदि कैरेक्टर सेट का उपयोग कर सकते हैं, या डेटा को एन्क्रिप्ट भी कर सकते हैं। इस तरह की एन्कोडिंग सरल खतरे का पता लगाने वाली उपयोगिताओं द्वारा बिना पहचाने ही पारित हो जाएगी जो सादे पाठ को खोजती है।

और यह डीएनएस टनलिंग है!

डीएनएस टनलिंग हमलों का इतिहास

हर चीज़ की एक शुरुआत होती है, जिसमें हैकिंग उद्देश्यों के लिए DNS प्रोटोकॉल को हाईजैक करने का विचार भी शामिल है। जहाँ तक हम बता सकते हैं, पहला विचार-विमर्श यह हमला ऑस्कर पियर्सन द्वारा अप्रैल 1998 में बगट्रैक मेलिंग सूची पर किया गया था।

2004 तक, डैन कामिंस्की की एक प्रस्तुति में डीएनएस टनलिंग को ब्लैक हैट में एक हैकिंग तकनीक के रूप में पेश किया गया था। इस प्रकार, यह विचार बहुत तेजी से एक वास्तविक आक्रमण उपकरण के रूप में विकसित हुआ।

आज, डीएनएस टनलिंग मानचित्र पर एक विश्वसनीय स्थान रखती है संभावित खतरे (और सूचना सुरक्षा ब्लॉगर्स से अक्सर इसे समझाने के लिए कहा जाता है)।

क्या आपने इस बारे में सुना है समुद्री कछुआ ? यह डीएनएस अनुरोधों को अपने सर्वर पर पुनर्निर्देशित करने के लिए वैध डीएनएस सर्वरों को हाईजैक करने के लिए साइबर अपराधी समूहों द्वारा - संभवतः राज्य-प्रायोजित - एक चल रहा अभियान है। इसका मतलब यह है कि संगठनों को Google या FedEx जैसे हैकर्स द्वारा चलाए जा रहे नकली वेब पेजों की ओर इशारा करने वाले "खराब" आईपी पते प्राप्त होंगे। साथ ही, हमलावर उपयोगकर्ता खाते और पासवर्ड प्राप्त करने में सक्षम होंगे, जो अनजाने में उन्हें ऐसी नकली साइटों पर दर्ज कर देंगे। यह डीएनएस टनलिंग नहीं है, बल्कि हैकर्स द्वारा डीएनएस सर्वर को नियंत्रित करने का एक और दुर्भाग्यपूर्ण परिणाम है।

डीएनएस टनलिंग के खतरे

डीएनएस टनलिंग बुरी खबर के चरण की शुरुआत के एक संकेतक की तरह है। जो लोग? हम पहले ही कई के बारे में बात कर चुके हैं, लेकिन आइए उनकी संरचना करें:

• डेटा आउटपुट (बाहर निकालना) – एक हैकर गुप्त रूप से महत्वपूर्ण डेटा को DNS पर प्रसारित करता है। यह निश्चित रूप से पीड़ित कंप्यूटर से जानकारी स्थानांतरित करने का सबसे प्रभावी तरीका नहीं है - सभी लागतों और एन्कोडिंग को ध्यान में रखते हुए - लेकिन यह काम करता है, और एक ही समय में - गुप्त रूप से!
• कमान और नियंत्रण (संक्षिप्त रूप में C2) - हैकर्स सरल नियंत्रण कमांड भेजने के लिए DNS प्रोटोकॉल का उपयोग करते हैं, जैसे, रिमोट एक्सेस ट्रोजन (रिमोट एक्सेस ट्रोजन, संक्षिप्त रूप में RAT)।
• आईपी-ओवर-डीएनएस टनलिंग - यह अजीब लग सकता है, लेकिन ऐसी उपयोगिताएँ हैं जो DNS प्रोटोकॉल अनुरोधों और प्रतिक्रियाओं के शीर्ष पर एक आईपी स्टैक लागू करती हैं। यह FTP, Netcat, ssh इत्यादि का उपयोग करके डेटा ट्रांसफर करता है। एक अपेक्षाकृत सरल कार्य. अत्यंत अशुभ!

डीएनएस टनलिंग का पता लगाना

DNS दुरुपयोग का पता लगाने के लिए दो मुख्य विधियाँ हैं: लोड विश्लेषण और ट्रैफ़िक विश्लेषण।

में लोड विश्लेषण बचाव पक्ष आगे और पीछे भेजे गए डेटा में विसंगतियों की तलाश करता है जिन्हें सांख्यिकीय तरीकों से पता लगाया जा सकता है: अजीब दिखने वाले होस्ट नाम, एक DNS रिकॉर्ड प्रकार जिसका अक्सर उपयोग नहीं किया जाता है, या गैर-मानक एन्कोडिंग।

में यातायात विश्लेषण सांख्यिकीय औसत की तुलना में प्रत्येक डोमेन के लिए DNS अनुरोधों की संख्या का अनुमान लगाया जाता है। DNS टनलिंग का उपयोग करने वाले हमलावर सर्वर पर बड़ी मात्रा में ट्रैफ़िक उत्पन्न करेंगे। सिद्धांत रूप में, यह सामान्य DNS संदेश विनिमय से काफी बेहतर है। और इस पर नजर रखने की जरूरत है!

डीएनएस टनलिंग उपयोगिताएँ

यदि आप अपना स्वयं का परीक्षण करना चाहते हैं और देखना चाहते हैं कि आपकी कंपनी ऐसी गतिविधि का कितनी अच्छी तरह पता लगा सकती है और उस पर प्रतिक्रिया दे सकती है, तो इसके लिए कई उपयोगिताएँ हैं। ये सभी मोड में सुरंग बना सकते हैं आईपी-ओवर-डीएनएस:

• आयोडीन - कई प्लेटफार्मों (लिनक्स, मैक ओएस, फ्रीबीएसडी और विंडोज) पर उपलब्ध है। आपको लक्ष्य और नियंत्रण कंप्यूटर के बीच एक SSH शेल स्थापित करने की अनुमति देता है। यह अच्छा है гайд आयोडीन की स्थापना और उपयोग पर।
• ओज़ाइमनडीएनएस - पर्ल में लिखी गई डैन कामिंस्की की डीएनएस टनलिंग परियोजना। आप इसे SSH के माध्यम से कनेक्ट कर सकते हैं।
• DNSCat2 - "डीएनएस सुरंग जो आपको बीमार नहीं बनाती।" फ़ाइलें भेजने/डाउनलोड करने, शेल लॉन्च करने आदि के लिए एक एन्क्रिप्टेड C2 चैनल बनाता है।

डीएनएस निगरानी उपयोगिताएँ

नीचे कई उपयोगिताओं की सूची दी गई है जो सुरंगनुमा हमलों का पता लगाने के लिए उपयोगी होंगी:

• डीएनएसहंटर - मर्सिनरीहंटफ्रेमवर्क और मर्सिनरी-लिनक्स के लिए लिखा गया पायथन मॉड्यूल। .pcap फ़ाइलें पढ़ता है, DNS क्वेरीज़ निकालता है और विश्लेषण में सहायता के लिए जियोलोकेशन मैपिंग करता है।
• reassemble_dns - एक पायथन उपयोगिता जो .pcap फ़ाइलों को पढ़ती है और DNS संदेशों का विश्लेषण करती है।

डीएनएस टनलिंग पर माइक्रो एफएक्यू

प्रश्न और उत्तर के रूप में उपयोगी जानकारी!

प्रश्न: टनलिंग क्या है?
के बारे में: यह मौजूदा प्रोटोकॉल पर डेटा स्थानांतरित करने का एक तरीका है। अंतर्निहित प्रोटोकॉल एक समर्पित चैनल या सुरंग प्रदान करता है, जिसका उपयोग वास्तव में प्रसारित होने वाली जानकारी को छिपाने के लिए किया जाता है।

प्रश्न: पहला डीएनएस टनलिंग हमला कब किया गया था?
के बारे में: हम नहीं जानते हैं! यदि आप जानते हैं तो कृपया हमें बताएं। हमारी सर्वोत्तम जानकारी के अनुसार, हमले की पहली चर्चा अप्रैल 1998 में बगट्रैक मेलिंग सूची में ऑस्कर पियर्सन द्वारा शुरू की गई थी।

प्रश्न: कौन से हमले डीएनएस टनलिंग के समान हैं?
के बारे में: DNS एकमात्र प्रोटोकॉल से बहुत दूर है जिसका उपयोग टनलिंग के लिए किया जा सकता है। उदाहरण के लिए, कमांड और कंट्रोल (C2) मैलवेयर अक्सर संचार चैनल को छुपाने के लिए HTTP का उपयोग करता है। डीएनएस टनलिंग की तरह, हैकर अपना डेटा छुपाता है, लेकिन इस मामले में यह एक नियमित वेब ब्राउज़र से रिमोट साइट (हमलावर द्वारा नियंत्रित) तक पहुंचने वाले ट्रैफ़िक जैसा दिखता है। यदि कार्यक्रमों को समझने के लिए कॉन्फ़िगर नहीं किया गया है तो निगरानी कार्यक्रमों द्वारा इस पर ध्यान नहीं दिया जा सकता है खतरा हैकर उद्देश्यों के लिए HTTP प्रोटोकॉल का दुरुपयोग।

क्या आप चाहेंगे कि हम डीएनएस सुरंग का पता लगाने में मदद करें? हमारे मॉड्यूल की जाँच करें वरोनिस एज और इसे मुफ़्त में आज़माएँ डेमो!

स्रोत: www.habr.com