តើ DNS tunneling គឺជាអ្វី? ការណែនាំអំពីការរកឃើញ

DNS tunneling ប្រែក្លាយប្រព័ន្ធឈ្មោះ domain ទៅជាអាវុធសម្រាប់ពួក Hacker ។ DNS គឺជាសៀវភៅទូរស័ព្ទដ៏ធំរបស់អ៊ីនធឺណិត។ DNS ក៏ជាពិធីការមូលដ្ឋានដែលអនុញ្ញាតឱ្យអ្នកគ្រប់គ្រងសាកសួរមូលដ្ឋានទិន្នន័យម៉ាស៊ីនមេ DNS ។ រហូតមកដល់ពេលនេះអ្វីៗហាក់ដូចជាច្បាស់។ ប៉ុន្តែពួក Hacker ដែលមានល្បិចកលបានដឹងថា ពួកគេអាចទំនាក់ទំនងជាសម្ងាត់ជាមួយកុំព្យូទ័រជនរងគ្រោះដោយបញ្ចូលពាក្យបញ្ជាត្រួតពិនិត្យ និងទិន្នន័យទៅក្នុងពិធីការ DNS ។ គំនិតនេះគឺជាមូលដ្ឋាននៃ DNS tunneling ។

របៀបដែលផ្លូវរូងក្រោមដី DNS ដំណើរការ

អ្វីគ្រប់យ៉ាងនៅលើអ៊ីនធឺណិតមានពិធីការដាច់ដោយឡែករបស់វា។ ហើយការគាំទ្រ DNS គឺសាមញ្ញណាស់។ ពិធីការ ប្រភេទនៃការឆ្លើយតបសំណើ។ ប្រសិនបើអ្នកចង់ឃើញពីរបៀបដែលវាដំណើរការ អ្នកអាចដំណើរការ nslookup ដែលជាឧបករណ៍សំខាន់សម្រាប់បង្កើតសំណួរ DNS ។ អ្នកអាចស្នើសុំអាសយដ្ឋានដោយគ្រាន់តែបញ្ជាក់ឈ្មោះដែនដែលអ្នកចាប់អារម្មណ៍ ឧទាហរណ៍៖

ក្នុងករណីរបស់យើង ពិធីការបានឆ្លើយតបជាមួយអាសយដ្ឋាន IP ដែន។ នៅក្នុងលក្ខខណ្ឌនៃពិធីការ DNS ខ្ញុំបានធ្វើការស្នើសុំអាសយដ្ឋាន ឬហៅថាសំណើ។ ប្រភេទ "A" ។ មានប្រភេទសំណួរផ្សេងទៀត ហើយពិធីការ DNS នឹងឆ្លើយតបជាមួយនឹងសំណុំទិន្នន័យផ្សេងគ្នា ដែលដូចដែលយើងនឹងឃើញនៅពេលក្រោយ ពួក Hacker អាចទាញយកអត្ថប្រយោជន៍ពី។

វិធីមួយ ឬមធ្យោបាយផ្សេងទៀត ជាស្នូលរបស់វា ពិធីការ DNS មានការព្រួយបារម្ភជាមួយនឹងការបញ្ជូនសំណើទៅកាន់ម៉ាស៊ីនមេ និងការឆ្លើយតបរបស់វាត្រឡប់ទៅអតិថិជនវិញ។ ចុះបើអ្នកវាយប្រហារបន្ថែមសារដែលលាក់នៅក្នុងសំណើឈ្មោះដែន? ឧទាហរណ៍ ជំនួសឱ្យការបញ្ចូល URL ស្របច្បាប់ទាំងស្រុង គាត់នឹងបញ្ចូលទិន្នន័យដែលគាត់ចង់បញ្ជូន៖

ចូរនិយាយថាអ្នកវាយប្រហារគ្រប់គ្រងម៉ាស៊ីនមេ DNS ។ បន្ទាប់មកវាអាចបញ្ជូនទិន្នន័យ - ទិន្នន័យផ្ទាល់ខ្លួន ឧទាហរណ៍ - ដោយមិនចាំបាច់ត្រូវបានរកឃើញ។ យ៉ាងណាមិញ ហេតុអ្វីបានជាសំណួរ DNS ភ្លាមៗក្លាយជាអ្វីដែលមិនស្របច្បាប់?

តាមរយៈការគ្រប់គ្រងម៉ាស៊ីនមេ ពួក Hacker អាចបង្កើតការឆ្លើយតប និងបញ្ជូនទិន្នន័យត្រឡប់ទៅប្រព័ន្ធគោលដៅវិញ។ នេះអនុញ្ញាតឱ្យពួកគេបញ្ជូនសារដែលលាក់នៅក្នុងវាលផ្សេងៗនៃការឆ្លើយតប DNS ទៅមេរោគនៅលើម៉ាស៊ីនដែលមានមេរោគ ដោយមានការណែនាំដូចជាការស្វែងរកនៅក្នុងថតជាក់លាក់មួយ។

ផ្នែក "ផ្លូវរូងក្រោមដី" នៃការវាយប្រហារនេះគឺ ការលាក់បាំង ទិន្នន័យ និងពាក្យបញ្ជាពីការរកឃើញដោយប្រព័ន្ធត្រួតពិនិត្យ។ ពួក Hacker អាចប្រើសំណុំតួអក្សរ base32, base64 ។ល។ ឬសូម្បីតែអ៊ិនគ្រីបទិន្នន័យ។ ការបំប្លែងកូដបែបនេះនឹងឆ្លងកាត់ដោយមិនបានរកឃើញដោយឧបករណ៍ស្វែងរកការគំរាមកំហែងសាមញ្ញដែលស្វែងរកអត្ថបទធម្មតា។

ហើយនេះគឺជា DNS tunneling!

ប្រវត្តិនៃការវាយប្រហារតាមរូងក្រោមដី DNS

អ្វីគ្រប់យ៉ាងមានការចាប់ផ្តើម រួមទាំងគំនិតនៃការលួចយកពិធីការ DNS សម្រាប់គោលបំណងលួចចូល។ តាមដែលយើងអាចប្រាប់បាន ទីមួយ ការពិភាក្សា ការវាយប្រហារនេះត្រូវបានធ្វើឡើងដោយ Oskar Pearson នៅលើបញ្ជីសំបុត្ររួមរបស់ Bugtraq ក្នុងខែមេសា ឆ្នាំ 1998 ។

នៅឆ្នាំ 2004 ផ្លូវរូងក្រោមដី DNS ត្រូវបានណែនាំនៅ Black Hat ជាបច្ចេកទេសលួចចូលនៅក្នុងបទបង្ហាញដោយ Dan Kaminsky ។ ដូច្នេះ គំនិតនេះបានរីកចម្រើនយ៉ាងលឿនទៅជាឧបករណ៍វាយប្រហារពិតប្រាកដ។

សព្វថ្ងៃនេះ DNS tunneling កាន់កាប់ទីតាំងដែលមានទំនុកចិត្តនៅលើផែនទី ការគំរាមកំហែងដែលអាចកើតមាន (ហើយអ្នកសរសេរប្លុកសុវត្ថិភាពព័ត៌មានត្រូវបានសួរជាញឹកញាប់ដើម្បីពន្យល់វា)។

តើអ្នកបានឮអំពី អណ្តើកសមុទ្រ ? នេះគឺជាយុទ្ធនាការដែលកំពុងបន្តដោយក្រុមឧក្រិដ្ឋជនតាមអ៊ីនធឺណិត ដែលភាគច្រើនទំនងជាត្រូវបានឧបត្ថម្ភដោយរដ្ឋ ដើម្បីប្លន់ម៉ាស៊ីនមេ DNS ស្របច្បាប់ ដើម្បីបញ្ជូនសំណើ DNS ទៅម៉ាស៊ីនមេរបស់ពួកគេផ្ទាល់។ នេះមានន័យថាស្ថាប័ននឹងទទួលបានអាសយដ្ឋាន IP "អាក្រក់" ដែលចង្អុលទៅគេហទំព័រក្លែងក្លាយដែលដំណើរការដោយពួក Hacker ដូចជា Google ឬ FedEx ។ ក្នុងពេលជាមួយគ្នានេះ អ្នកវាយប្រហារនឹងអាចទទួលបានគណនីអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់ ដែលនឹងបញ្ចូលពួកវាដោយមិនដឹងខ្លួននៅលើគេហទំព័រក្លែងក្លាយបែបនេះ។ នេះមិនមែនជា DNS tunneling ទេ ប៉ុន្តែគ្រាន់តែជាផលវិបាកដ៏អកុសលមួយផ្សេងទៀតនៃពួក Hacker ដែលគ្រប់គ្រងម៉ាស៊ីនមេ DNS ។

ការគំរាមកំហែងផ្លូវរូងក្រោមដី DNS

DNS tunneling គឺដូចជាសូចនាករនៃការចាប់ផ្តើមនៃដំណាក់កាលព័ត៌មានអាក្រក់។ ណាមួយ? យើង​បាន​និយាយ​អំពី​រឿង​ជាច្រើន​រួច​ហើយ ប៉ុន្តែ​សូម​រៀបចំ​រចនាសម្ព័ន្ធ​ពួកវា៖

• ទិន្នផលទិន្នន័យ (ការបន្សុទ្ធ) - Hacker លួចចម្លងទិន្នន័យសំខាន់ៗតាម DNS ។ នេះមិនមែនជាមធ្យោបាយដ៏មានប្រសិទ្ធភាពបំផុតក្នុងការផ្ទេរព័ត៌មានពីកុំព្យូទ័រជនរងគ្រោះនោះទេ ដោយគិតគូរពីការចំណាយ និងការអ៊ិនកូដទាំងអស់ ប៉ុន្តែវាដំណើរការ ហើយក្នុងពេលតែមួយ - សម្ងាត់!
• ពាក្យបញ្ជា និងការគ្រប់គ្រង (អក្សរកាត់ C2) - ពួក Hacker ប្រើពិធីការ DNS ដើម្បីផ្ញើពាក្យបញ្ជាសាមញ្ញតាមរយៈ និយាយថា Trojan ចូលប្រើពីចម្ងាយ (ការចូលប្រើពីចម្ងាយ Trojan អក្សរកាត់ RAT) ។
• IP-Over-DNS Tunneling - វាអាចស្តាប់ទៅដូចជាឆ្កួត ប៉ុន្តែមានឧបករណ៍ប្រើប្រាស់ដែលអនុវត្តជង់ IP នៅលើសំណើរពិធីការ DNS និងការឆ្លើយតប។ វាធ្វើការផ្ទេរទិន្នន័យដោយប្រើ FTP, Netcat, ssh ជាដើម។ កិច្ចការសាមញ្ញ។ សាហាវ​ណាស់!

រកឃើញផ្លូវរូងក្រោមដី DNS

មានវិធីសាស្រ្តសំខាន់ពីរសម្រាប់ការរកឃើញការរំលោភបំពាន DNS: ការវិភាគការផ្ទុក និងការវិភាគចរាចរណ៍។

នៅ ការវិភាគបន្ទុក ភាគីការពារស្វែងរកភាពមិនប្រក្រតីនៅក្នុងទិន្នន័យដែលបានផ្ញើទៅមក ដែលអាចត្រូវបានរកឃើញដោយវិធីសាស្ត្រស្ថិតិ៖ ឈ្មោះម៉ាស៊ីនដែលមើលទៅចម្លែក ប្រភេទកំណត់ត្រា DNS ដែលមិនត្រូវបានប្រើញឹកញាប់ ឬ ការអ៊ិនកូដមិនស្តង់ដារ។

នៅ ការវិភាគចរាចរណ៍ ចំនួនសំណើ DNS ទៅកាន់ដែននីមួយៗត្រូវបានប៉ាន់ប្រមាណបើប្រៀបធៀបទៅនឹងមធ្យមភាគស្ថិតិ។ អ្នកវាយប្រហារដែលប្រើ DNS tunneling នឹងបង្កើតចំនួនចរាចរដ៏ច្រើនទៅកាន់ម៉ាស៊ីនមេ។ តាមទ្រឹស្ដី ប្រសើរជាងការផ្លាស់ប្តូរសារ DNS ធម្មតា។ ហើយនេះត្រូវតែតាមដាន!

ឧបករណ៍ប្រើប្រាស់ផ្លូវរូងក្រោមដី DNS

ប្រសិនបើអ្នកចង់ធ្វើការសាកល្បងផ្ទាល់ខ្លួនរបស់អ្នក ហើយមើលថាតើក្រុមហ៊ុនរបស់អ្នកអាចរកឃើញ និងឆ្លើយតបទៅនឹងសកម្មភាពបែបនេះបានល្អប៉ុណ្ណានោះ មានឧបករណ៍ប្រើប្រាស់ជាច្រើនសម្រាប់រឿងនេះ។ ពួកគេទាំងអស់អាចចូលរូងក្រោមដីបាន។ IP-Over-DNS:

• ជាតិអ៊ីយ៉ូត - មាននៅលើវេទិកាជាច្រើន (Linux, Mac OS, FreeBSD និង Windows) ។ អនុញ្ញាតឱ្យអ្នកដំឡើងសែល SSH រវាងកុំព្យូទ័រគោលដៅ និងគ្រប់គ្រង។ នោះជារឿងល្អ។ гайд។ លើការដំឡើង និងប្រើប្រាស់អ៊ីយ៉ូត។
• OzymanDNS - គម្រោងផ្លូវរូងក្រោមដី DNS ពី Dan Kaminsky បានសរសេរនៅក្នុង Perl ។ អ្នកអាចភ្ជាប់វាតាមរយៈ SSH ។
• DNSCat2 - "ផ្លូវរូងក្រោមដី DNS ដែលមិនធ្វើឱ្យអ្នកឈឺ។" បង្កើតឆានែល C2 ដែលបានអ៊ិនគ្រីបសម្រាប់ការផ្ញើ/ទាញយកឯកសារ បើកដំណើរការសែល។ល។

ឧបករណ៍ត្រួតពិនិត្យ DNS

ខាងក្រោមនេះគឺជាបញ្ជីឧបករណ៍ប្រើប្រាស់ជាច្រើនដែលនឹងមានប្រយោជន៍សម្រាប់ការរកឃើញការវាយប្រហារតាមផ្លូវរូងក្រោមដី៖

• dnsHunter - ម៉ូឌុល Python សរសេរសម្រាប់ MercenaryHuntFramework និង Mercenary-Linux ។ អានឯកសារ .pcap ស្រង់សំណួរ DNS និងអនុវត្តការគូសផែនទីទីតាំងភូមិសាស្ត្រដើម្បីជួយក្នុងការវិភាគ។
• reassemble_dns - ឧបករណ៍ប្រើប្រាស់ Python ដែលអានឯកសារ .pcap និងវិភាគសារ DNS ។

សំណួរគេសួរញឹកញាប់ខ្នាតតូចលើការដំណើរការផ្លូវរូងក្រោមដី DNS

ព័ត៌មានមានប្រយោជន៍ក្នុងទម្រង់សំណួរ និងចម្លើយ!

សំណួរ៖ តើអ្វីជាផ្លូវរូងក្រោមដី?
អំពី: វាគ្រាន់តែជាវិធីផ្ទេរទិន្នន័យលើពិធីការដែលមានស្រាប់។ ពិធីការមូលដ្ឋានផ្ដល់នូវឆានែល ឬផ្លូវរូងក្រោមដីដែលបានកំណត់ ដែលបន្ទាប់មកត្រូវបានប្រើដើម្បីលាក់ព័ត៌មានដែលកំពុងត្រូវបានបញ្ជូន។

សំណួរ៖ តើការវាយប្រហារតាមរូងក្រោមដី DNS ដំបូងធ្វើឡើងនៅពេលណា?
អំពី: យើង​មិនដឹង! ប្រសិនបើអ្នកដឹងសូមប្រាប់យើងឱ្យដឹង។ ដើម្បីទទួលបានចំណេះដឹងដ៏ល្អបំផុតរបស់យើង ការពិភាក្សាដំបូងនៃការវាយប្រហារត្រូវបានផ្តួចផ្តើមដោយ Oscar Piersan នៅក្នុងបញ្ជីសំបុត្ររួមរបស់ Bugtraq ក្នុងខែមេសា ឆ្នាំ 1998 ។

សំណួរ៖ តើការវាយប្រហារអ្វីស្រដៀងនឹង DNS tunneling?
អំពី: DNS គឺនៅឆ្ងាយពីពិធីការតែមួយគត់ដែលអាចប្រើសម្រាប់ផ្លូវរូងក្រោមដី។ ឧទាហរណ៍ មេរោគពាក្យបញ្ជា និងការគ្រប់គ្រង (C2) តែងតែប្រើ HTTP ដើម្បីបិទបាំងឆានែលទំនាក់ទំនង។ ដូចទៅនឹង DNS tunneling ដែរ hacker លាក់ទិន្នន័យរបស់គាត់ ប៉ុន្តែក្នុងករណីនេះ វាមើលទៅដូចជាចរាចរពីកម្មវិធីរុករកតាមអ៊ីនធឺណិតធម្មតាដែលចូលប្រើគេហទំព័រពីចម្ងាយ (គ្រប់គ្រងដោយអ្នកវាយប្រហារ)។ វាអាចនឹងមិនមានការកត់សម្គាល់ដោយកម្មវិធីត្រួតពិនិត្យ ប្រសិនបើពួកគេមិនត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីយល់ឃើញ ការគំរាមកំហែង ការបំពានលើពិធីការ HTTP សម្រាប់គោលបំណងពួក Hacker ។

តើ​អ្នក​ចង់​ឱ្យ​យើង​ជួយ​ក្នុង​ការ​រក​ឃើញ​ផ្លូវ​រូង​ក្នុង​ដី DNS ទេ? សូមពិនិត្យមើលម៉ូឌុលរបស់យើង។ គែម Varonis ហើយសាកល្បងវាដោយឥតគិតថ្លៃ ការបង្ហាញ!

ប្រភព: www.habr.com