DNS tunneling ແມ່ນຫຍັງ? ຄໍາແນະນໍາການຊອກຄົ້ນຫາ

DNS tunneling ປ່ຽນລະບົບຊື່ໂດເມນເປັນອາວຸດສໍາລັບແຮກເກີ. DNS ເປັນສິ່ງຈໍາເປັນເປັນປື້ມໂທລະສັບຂະຫນາດໃຫຍ່ຂອງອິນເຕີເນັດ. DNS ຍັງເປັນໂປໂຕຄອນທີ່ຕິດພັນທີ່ອະນຸຍາດໃຫ້ຜູ້ບໍລິຫານສາມາດສອບຖາມຖານຂໍ້ມູນ DNS server. ມາຮອດປະຈຸ, ທຸກສິ່ງທຸກຢ່າງເບິ່ງຄືວ່າຈະແຈ້ງ. ແຕ່ແຮກເກີທີ່ສະຫລາດຮັບຮູ້ວ່າພວກເຂົາສາມາດຕິດຕໍ່ສື່ສານກັບຄອມພິວເຕີຜູ້ເຄາະຮ້າຍຢ່າງລັບໆໂດຍການໃສ່ຄໍາສັ່ງຄວບຄຸມແລະຂໍ້ມູນເຂົ້າໄປໃນໂປໂຕຄອນ DNS. ຄວາມຄິດນີ້ແມ່ນພື້ນຖານຂອງ DNS tunneling.

ວິທີການ DNS tunneling ເຮັດວຽກ

ທຸກສິ່ງທຸກຢ່າງຢູ່ໃນອິນເຕີເນັດມີໂປໂຕຄອນແຍກຕ່າງຫາກຂອງຕົນເອງ. ແລະການສະຫນັບສະຫນູນ DNS ແມ່ນຂ້ອນຂ້າງງ່າຍດາຍ ອະນຸສັນຍາ ປະເພດຄໍາຮ້ອງຂໍການຕອບສະຫນອງ. ຖ້າທ່ານຕ້ອງການເບິ່ງວິທີການເຮັດວຽກ, ທ່ານສາມາດດໍາເນີນການ nslookup, ເຄື່ອງມືຕົ້ນຕໍສໍາລັບການສອບຖາມ DNS. ທ່ານສາມາດຮ້ອງຂໍທີ່ຢູ່ໄດ້ໂດຍພຽງແຕ່ລະບຸຊື່ໂດເມນທີ່ທ່ານສົນໃຈ, ຕົວຢ່າງ:

ໃນກໍລະນີຂອງພວກເຮົາ, ໂປໂຕຄອນຕອບສະຫນອງກັບທີ່ຢູ່ IP ໂດເມນ. ໃນເງື່ອນໄຂຂອງໂປໂຕຄອນ DNS, ຂ້າພະເຈົ້າໄດ້ເຮັດການຮ້ອງຂໍທີ່ຢູ່ຫຼືອັນທີ່ເອີ້ນວ່າຄໍາຮ້ອງຂໍ. ປະເພດ "A". ມີຄໍາຮ້ອງຂໍປະເພດອື່ນໆ, ແລະໂປໂຕຄອນ DNS ຈະຕອບສະຫນອງກັບຊຸດຂໍ້ມູນທີ່ແຕກຕ່າງກັນ, ເຊິ່ງ, ດັ່ງທີ່ພວກເຮົາຈະເຫັນຕໍ່ມາ, ສາມາດຖືກຂູດຮີດໂດຍແຮກເກີ.

ວິທີຫນຶ່ງຫຼືອື່ນ, ຢູ່ໃນຫຼັກຂອງມັນ, ໂປໂຕຄອນ DNS ແມ່ນກ່ຽວຂ້ອງກັບການສົ່ງຄໍາຮ້ອງຂໍໄປຫາເຄື່ອງແມ່ຂ່າຍແລະການຕອບສະຫນອງຂອງມັນກັບລູກຄ້າ. ຈະເປັນແນວໃດຖ້າຜູ້ໂຈມຕີເພີ່ມຂໍ້ຄວາມທີ່ເຊື່ອງໄວ້ພາຍໃນຄໍາຮ້ອງຂໍຊື່ໂດເມນ? ຕົວຢ່າງ, ແທນທີ່ຈະໃສ່ URL ທີ່ຖືກຕ້ອງສົມບູນ, ລາວຈະໃສ່ຂໍ້ມູນທີ່ລາວຕ້ອງການສົ່ງ:

ສົມມຸດວ່າຜູ້ໂຈມຕີຄວບຄຸມເຄື່ອງແມ່ຂ່າຍ DNS. ຫຼັງຈາກນັ້ນ, ມັນສາມາດສົ່ງຂໍ້ມູນ - ຂໍ້ມູນສ່ວນບຸກຄົນ, ຕົວຢ່າງ - ໂດຍບໍ່ຈໍາເປັນຕ້ອງຖືກກວດພົບ. ຫຼັງຈາກທີ່ທັງຫມົດ, ເປັນຫຍັງການສອບຖາມ DNS ທັນທີທັນໃດກາຍເປັນສິ່ງທີ່ຜິດກົດຫມາຍ?

ໂດຍການຄວບຄຸມເຄື່ອງແມ່ຂ່າຍ, ແຮກເກີສາມາດປອມການຕອບສະຫນອງແລະສົ່ງຂໍ້ມູນກັບຄືນສູ່ລະບົບເປົ້າຫມາຍ. ນີ້ອະນຸຍາດໃຫ້ພວກເຂົາຜ່ານຂໍ້ຄວາມທີ່ເຊື່ອງໄວ້ໃນຂົງເຂດຕ່າງໆຂອງການຕອບສະຫນອງ DNS ກັບ malware ໃນເຄື່ອງທີ່ຕິດເຊື້ອ, ດ້ວຍຄໍາແນະນໍາເຊັ່ນການຄົ້ນຫາພາຍໃນໂຟເດີສະເພາະ.

ພາກສ່ວນ "ເຈາະອຸໂມງ" ຂອງການໂຈມຕີນີ້ແມ່ນ ການປິດບັງ ຂໍ້ມູນແລະຄໍາສັ່ງຈາກການກວດສອບໂດຍລະບົບການຕິດຕາມ. ແຮກເກີສາມາດໃຊ້ base32, base64, ແລະອື່ນໆຊຸດຕົວອັກສອນ, ຫຼືແມ້ກະທັ້ງການເຂົ້າລະຫັດຂໍ້ມູນ. ການ​ເຂົ້າ​ລະ​ຫັດ​ດັ່ງ​ກ່າວ​ຈະ​ບໍ່​ຖືກ​ກວດ​ພົບ​ໂດຍ​ອຸ​ປະ​ກອນ​ການ​ກວດ​ສອບ​ໄພ​ຂົ່ມ​ຂູ່​ທີ່​ງ່າຍ​ດາຍ​ທີ່​ຊອກ​ຫາ​ຂໍ້​ຄວາມ​ທົ່ງ​ພຽງ.

ແລະນີ້ແມ່ນ DNS tunneling!

ປະຫວັດຂອງການໂຈມຕີ DNS tunneling

ທຸກສິ່ງທຸກຢ່າງມີການເລີ່ມຕົ້ນ, ລວມທັງຄວາມຄິດທີ່ຈະ hijacking ອະນຸສັນຍາ DNS ສໍາລັບຈຸດປະສົງ hacking. ເທົ່າທີ່ພວກເຮົາສາມາດບອກໄດ້, ທໍາອິດ ການສົນທະນາ ການໂຈມຕີນີ້ໄດ້ຖືກດໍາເນີນໂດຍ Oskar Pearson ໃນບັນຊີລາຍຊື່ທາງໄປສະນີ Bugtraq ໃນເດືອນເມສາ 1998.

ໃນປີ 2004, DNS tunneling ໄດ້ຖືກນໍາສະເຫນີຢູ່ໃນ Black Hat ເປັນເຕັກນິກການ hack ໃນການນໍາສະເຫນີໂດຍ Dan Kaminsky. ດັ່ງນັ້ນ, ຄວາມຄິດໄດ້ເຕີບໂຕຢ່າງໄວວາເຂົ້າໄປໃນເຄື່ອງມືການໂຈມຕີທີ່ແທ້ຈິງ.

ໃນມື້ນີ້, DNS tunneling ຄອບຄອງຕໍາແຫນ່ງທີ່ມີຄວາມຫມັ້ນໃຈໃນແຜນທີ່ ໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້ (ແລະ bloggers ຄວາມປອດໄພຂໍ້ມູນຂ່າວສານມັກຈະຖືກຖາມໃຫ້ອະທິບາຍມັນ).

ທ່ານໄດ້ຍິນກ່ຽວກັບ ເຕົ່າທະເລ ? ນີ້ແມ່ນແຄມເປນຢ່າງຕໍ່ເນື່ອງໂດຍກຸ່ມອາຊະຍາກໍາທາງອິນເຕີເນັດ - ສ່ວນຫຼາຍແມ່ນລັດສະຫນັບສະຫນູນ - ເພື່ອ hijack ເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຖືກຕ້ອງເພື່ອປ່ຽນເສັ້ນທາງການຮ້ອງຂໍ DNS ໄປຫາເຄື່ອງແມ່ຂ່າຍຂອງຕົນເອງ. ນີ້ຫມາຍຄວາມວ່າອົງການຈັດຕັ້ງຈະໄດ້ຮັບທີ່ຢູ່ IP "ບໍ່ດີ" ຊີ້ໄປຫາຫນ້າເວັບປອມທີ່ດໍາເນີນການໂດຍແຮກເກີ, ເຊັ່ນ Google ຫຼື FedEx. ໃນເວລາດຽວກັນ, ຜູ້ໂຈມຕີຈະສາມາດໄດ້ຮັບບັນຊີຜູ້ໃຊ້ແລະລະຫັດຜ່ານ, ຜູ້ທີ່ຈະເຂົ້າໄປໃນເວັບໄຊທ໌ປອມດັ່ງກ່າວໂດຍບໍ່ຮູ້ຕົວ. ນີ້ບໍ່ແມ່ນ DNS tunneling, ແຕ່ເປັນອີກຜົນສະທ້ອນທີ່ໂຊກບໍ່ດີຂອງແຮກເກີຄວບຄຸມເຄື່ອງແມ່ຂ່າຍ DNS.

DNS ໄພຂົ່ມຂູ່ຕໍ່ອຸໂມງ

DNS tunneling ແມ່ນຄ້າຍຄືຕົວຊີ້ວັດຂອງການເລີ່ມຕົ້ນຂອງເວທີຂ່າວທີ່ບໍ່ດີ. ອັນ​ໃດ? ພວກ​ເຮົາ​ໄດ້​ເວົ້າ​ເຖິງ​ບາງ​ຢ່າງ​ແລ້ວ, ແຕ່​ໃຫ້​ພວກ​ເຮົາ​ຈັດ​ໂຄງ​ປະ​ກອບ​ການ​:

• ຜົນ​ຜະ​ລິດ​ຂໍ້​ມູນ (exfiltration​) – ແຮກເກີแอบສົ່ງຂໍ້ມູນທີ່ສໍາຄັນຜ່ານ DNS. ນີ້ບໍ່ແມ່ນວິທີທີ່ມີປະສິດທິພາບທີ່ສຸດໃນການໂອນຂໍ້ມູນຈາກຄອມພິວເຕີຜູ້ຖືກເຄາະຮ້າຍ - ການຄໍານຶງເຖິງຄ່າໃຊ້ຈ່າຍແລະການເຂົ້າລະຫັດທັງຫມົດ - ແຕ່ມັນເຮັດວຽກ, ແລະໃນເວລາດຽວກັນ - secretly!
• ຄຳສັ່ງ ແລະການຄວບຄຸມ (ຫຍໍ້ C2) - ແຮກເກີໃຊ້ໂປໂຕຄອນ DNS ເພື່ອສົ່ງຄໍາສັ່ງຄວບຄຸມງ່າຍໆໂດຍຜ່ານ, ເວົ້າ, Trojan ເຂົ້າ​ເຖິງ​ທາງ​ໄກ​ (Remote Access Trojan, ຫຍໍ້ RAT).
• IP-Over-DNS Tunneling - ນີ້ອາດຈະຟັງຄືບ້າ, ແຕ່ມີສິ່ງອໍານວຍຄວາມສະດວກທີ່ປະຕິບັດ IP stack ຢູ່ເທິງສຸດຂອງ DNS protocol ຮ້ອງຂໍແລະການຕອບສະຫນອງ. ມັນເຮັດໃຫ້ການໂອນຂໍ້ມູນໂດຍໃຊ້ FTP, Netcat, ssh, ແລະອື່ນໆ. ເປັນວຽກທີ່ຂ້ອນຂ້າງງ່າຍດາຍ. ຮ້າຍ​ແຮງ!

ກວດຫາອຸໂມງ DNS

ມີສອງວິທີຕົ້ນຕໍໃນການກວດສອບການລ່ວງລະເມີດ DNS: ການວິເຄາະການໂຫຼດແລະການວິເຄາະການຈະລາຈອນ.

ທີ່ ການວິເຄາະການໂຫຼດ ຝ່າຍປ້ອງກັນຊອກຫາຄວາມຜິດກະຕິໃນຂໍ້ມູນທີ່ສົ່ງຄືນແລະອອກມາທີ່ສາມາດກວດພົບໄດ້ໂດຍວິທີການສະຖິຕິ: ຊື່ເຈົ້າພາບທີ່ມີລັກສະນະແປກ, ປະເພດບັນທຶກ DNS ທີ່ບໍ່ຖືກນໍາໃຊ້ເລື້ອຍໆ, ຫຼືການເຂົ້າລະຫັດທີ່ບໍ່ແມ່ນມາດຕະຖານ.

ທີ່ ການວິເຄາະການຈະລາຈອນ ຈໍານວນການຮ້ອງຂໍ DNS ກັບແຕ່ລະໂດເມນແມ່ນຄາດຄະເນທຽບກັບສະຖິຕິສະຖິຕິ. ຜູ້ໂຈມຕີທີ່ໃຊ້ DNS tunneling ຈະສ້າງຈໍານວນການເຂົ້າຊົມຫລາຍໄປຫາເຄື່ອງແມ່ຂ່າຍ. ໃນທາງທິດສະດີ, ດີກວ່າການແລກປ່ຽນຂໍ້ຄວາມ DNS ປົກກະຕິ. ແລະນີ້ຕ້ອງໄດ້ຮັບການຕິດຕາມ!

DNS tunneling utilities

ຖ້າທ່ານຕ້ອງການທີ່ຈະດໍາເນີນການ pentest ຂອງທ່ານເອງແລະເບິ່ງວ່າບໍລິສັດຂອງທ່ານສາມາດກວດພົບແລະຕອບສະຫນອງຕໍ່ກິດຈະກໍາດັ່ງກ່າວໄດ້ດີເທົ່າໃດ, ມີຫຼາຍປະໂຫຍດສໍາລັບການນີ້. ທັງຫມົດຂອງພວກເຂົາສາມາດ tunnel ໃນຮູບແບບ IP-Over-DNS:

• ທາດໄອໂອດິນ – ມີ​ຢູ່​ໃນ​ຫຼາຍ​ເວ​ທີ (Linux​, Mac OS​, FreeBSD ແລະ Windows​)​. ອະນຸຍາດໃຫ້ທ່ານຕິດຕັ້ງ Shell SSH ລະຫວ່າງຄອມພິວເຕີເປົ້າຫມາຍແລະຄວບຄຸມ. ນັ້ນແມ່ນສິ່ງທີ່ດີ ຄູ່ມື ກ່ຽວ​ກັບ​ການ​ຕັ້ງ​ຄ່າ​ແລະ​ການ​ນໍາ​ໃຊ້​ທາດ​ໄອ​ໂອ​ດິນ​.
• OzymanDNS - ໂຄງການສ້າງອຸໂມງ DNS ຈາກ Dan Kaminsky, ຂຽນໃນ Perl. ທ່ານສາມາດເຊື່ອມຕໍ່ກັບມັນຜ່ານ SSH.
• DNSCat2 - "ອຸໂມງ DNS ທີ່ບໍ່ເຮັດໃຫ້ທ່ານເຈັບ." ສ້າງຊ່ອງ C2 ທີ່ເຂົ້າລະຫັດໄວ້ເພື່ອສົ່ງ/ດາວໂຫຼດໄຟລ໌, ເປີດ shells, ແລະອື່ນໆ.

ເຄື່ອງມືກວດສອບ DNS

ຂ້າງລຸ່ມນີ້ແມ່ນບັນຊີລາຍຊື່ຂອງຜົນປະໂຫຍດຈໍານວນຫນຶ່ງທີ່ຈະເປັນປະໂຫຍດສໍາລັບການກວດສອບການໂຈມຕີ tunneling:

• dnsHunter - ໂມດູນ Python ຂຽນສໍາລັບ MercenaryHuntFramework ແລະ Mercenary-Linux. ອ່ານໄຟລ໌ .pcap, ສະກັດການສອບຖາມ DNS ແລະປະຕິບັດແຜນທີ່ພູມສາດເພື່ອຊ່ວຍໃນການວິເຄາະ.
• reassemble_dns – ຜົນປະໂຫຍດຂອງ Python ທີ່ອ່ານໄຟລ໌ .pcap ແລະວິເຄາະຂໍ້ຄວາມ DNS.

FAQ ຈຸນລະພາກກ່ຽວກັບ DNS tunneling

ຂໍ້ມູນທີ່ເປັນປະໂຫຍດໃນຮູບແບບຂອງຄໍາຖາມແລະຄໍາຕອບ!

Q: tunneling ແມ່ນຫຍັງ?
ກ່ຽວກັບ: ມັນເປັນພຽງແຕ່ວິທີການໂອນຂໍ້ມູນຜ່ານໂປໂຕຄອນທີ່ມີຢູ່ແລ້ວ. ໂປຣໂຕຄໍທີ່ຕິດພັນໃຫ້ຊ່ອງທາງ ຫຼືອຸໂມງສະເພາະ, ເຊິ່ງຫຼັງຈາກນັ້ນຖືກໃຊ້ເພື່ອເຊື່ອງຂໍ້ມູນທີ່ຖືກສົ່ງຕໍ່.

ຖາມ: ການໂຈມຕີ tunneling DNS ທໍາອິດຖືກດໍາເນີນເວລາໃດ?
ກ່ຽວກັບ: ພວກເຮົາບໍ່ຮູ້! ຖ້າທ່ານຮູ້, ກະລຸນາແຈ້ງໃຫ້ພວກເຮົາຮູ້. ເພື່ອຄວາມຮູ້ທີ່ດີທີ່ສຸດຂອງພວກເຮົາ, ການສົນທະນາຄັ້ງທໍາອິດຂອງການໂຈມຕີໄດ້ຖືກລິເລີ່ມໂດຍ Oscar Piersan ໃນບັນຊີລາຍຊື່ທາງໄປສະນີ Bugtraq ໃນເດືອນເມສາ 1998.

ຖາມ: ການໂຈມຕີອັນໃດທີ່ຄ້າຍຄືກັບ DNS tunneling?
ກ່ຽວກັບ: DNS ແມ່ນຢູ່ໄກຈາກໂປໂຕຄອນດຽວທີ່ສາມາດໃຊ້ສໍາລັບການເຈາະອຸໂມງ. ສໍາລັບຕົວຢ່າງ, ຄໍາສັ່ງແລະການຄວບຄຸມ (C2) malware ມັກຈະໃຊ້ HTTP ເພື່ອປິດບັງຊ່ອງທາງການສື່ສານ. ເຊັ່ນດຽວກັນກັບ DNS tunneling, ແຮກເກີເຊື່ອງຂໍ້ມູນຂອງລາວ, ແຕ່ໃນກໍລະນີນີ້ມັນຄ້າຍຄືການຈະລາຈອນຈາກຕົວທ່ອງເວັບປົກກະຕິທີ່ເຂົ້າເຖິງເວັບໄຊທ໌ຫ່າງໄກສອກຫຼີກ (ຖືກຄວບຄຸມໂດຍຜູ້ໂຈມຕີ). ນີ້ອາດຈະໄປ unnoticed ໂດຍໂຄງການຕິດຕາມກວດກາຖ້າຫາກວ່າພວກເຂົາເຈົ້າຍັງບໍ່ໄດ້ configured ເພື່ອຮັບຮູ້ ໄພຂົ່ມຂູ່ ການລ່ວງລະເມີດຂອງໂປໂຕຄອນ HTTP ສໍາລັບຈຸດປະສົງຂອງແຮກເກີ.

ທ່ານຕ້ອງການໃຫ້ພວກເຮົາຊ່ວຍກວດຫາອຸໂມງ DNS ບໍ? ກວດເບິ່ງໂມດູນຂອງພວກເຮົາ ຂອບ Varonis ແລະລອງມັນຟຣີ ການສາທິດ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com