DNS टनेलिङ भनेको के हो? पत्ता लगाउने निर्देशनहरू

DNS टनेलिङले डोमेन नाम प्रणालीलाई ह्याकरहरूका लागि हतियारमा परिणत गर्छ। DNS अनिवार्य रूपमा इन्टरनेटको ठूलो फोन बुक हो। DNS अन्तर्निहित प्रोटोकल पनि हो जसले प्रशासकहरूलाई DNS सर्भर डाटाबेस क्वेरी गर्न अनुमति दिन्छ। अहिलेसम्म सबै कुरा स्पष्ट देखिन्छ। तर धूर्त ह्याकरहरूले महसुस गरे कि उनीहरूले गोप्य रूपमा पीडित कम्प्युटरसँग DNS प्रोटोकलमा नियन्त्रण आदेशहरू र डाटा इन्जेक्सन गरेर सञ्चार गर्न सक्छन्। यो विचार DNS टनेलिङ को आधार हो।

कसरी DNS टनेलिङ काम गर्दछ

इन्टरनेटमा सबै कुराको आफ्नै छुट्टै प्रोटोकल छ। र DNS समर्थन अपेक्षाकृत सरल छ प्रोटोकल अनुरोध-प्रतिक्रिया प्रकार। यदि तपाइँ यो कसरी काम गर्दछ हेर्न चाहनुहुन्छ भने, तपाइँ nslookup चलाउन सक्नुहुन्छ, DNS प्रश्नहरू बनाउनको लागि मुख्य उपकरण। तपाईले चाहानु भएको डोमेन नाम निर्दिष्ट गरेर ठेगाना अनुरोध गर्न सक्नुहुन्छ, उदाहरणका लागि:

हाम्रो अवस्थामा, प्रोटोकलले डोमेन IP ठेगानाको साथ प्रतिक्रिया दियो। DNS प्रोटोकलको सन्दर्भमा, मैले ठेगाना अनुरोध वा तथाकथित अनुरोध गरें। "ए" प्रकार। त्यहाँ अन्य प्रकारका अनुरोधहरू छन्, र DNS प्रोटोकलले डेटा फिल्डहरूको फरक सेटको साथ प्रतिक्रिया दिनेछ, जसलाई हामी पछि हेर्नेछौं, ह्याकरहरूद्वारा शोषण गर्न सकिन्छ।

एक तरिका वा अर्को, यसको मूलमा, DNS प्रोटोकल सर्भरमा अनुरोध पठाउने र ग्राहकलाई यसको प्रतिक्रिया फिर्ता गर्न सम्बन्धित छ। के हुन्छ यदि आक्रमणकारीले डोमेन नाम अनुरोध भित्र लुकेको सन्देश थप्छ? उदाहरणका लागि, पूर्ण रूपमा वैध URL प्रविष्ट गर्नुको सट्टा, उसले प्रसारण गर्न चाहेको डाटा प्रविष्ट गर्नेछ:

मानौं कि आक्रमणकारीले DNS सर्भरलाई नियन्त्रण गर्छ। यसले त्यसपछि डाटा प्रसारण गर्न सक्छ - व्यक्तिगत डाटा, उदाहरणका लागि - आवश्यक रूपमा पत्ता नलागेको। आखिर, किन एक DNS क्वेरी अचानक केहि अवैध हुनेछ?

सर्भर नियन्त्रण गरेर, ह्याकरहरूले प्रतिक्रियाहरू जाली गर्न र लक्षित प्रणालीमा डाटा फिर्ता पठाउन सक्छन्। यसले तिनीहरूलाई संक्रमित मेसिनमा मालवेयरको DNS प्रतिक्रियाको विभिन्न क्षेत्रहरूमा लुकेका सन्देशहरू पठाउन अनुमति दिन्छ, निर्देशनहरू जस्तै एक विशेष फोल्डर भित्र खोजी गर्ने।

यस आक्रमणको "सुरंग" भाग हो लुकाउने निगरानी प्रणाली द्वारा पत्ता लगाउने डाटा र आदेशहरू। ह्याकरहरूले base32, base64, आदि क्यारेक्टर सेटहरू प्रयोग गर्न सक्छन्, वा डाटा इन्क्रिप्ट पनि गर्न सक्छन्। यस्तो एन्कोडिङले सादा पाठ खोज्ने साधारण खतरा पत्ता लगाउने उपयोगिताहरूद्वारा पत्ता नलागेको हुन्छ।

र यो DNS टनेलिङ हो!

DNS टनेलिङ आक्रमणको इतिहास

ह्याकिंग उद्देश्यका लागि DNS प्रोटोकल अपहरण गर्ने विचार सहित सबै कुराको सुरुवात हुन्छ। जहाँसम्म हामी भन्न सक्छौं, पहिलो छलफल यो आक्रमण अप्रिल १९९८ मा Bugtraq मेलिङ लिस्टमा Oskar Pearson द्वारा गरिएको थियो।

2004 सम्म, DNS टनेलिङलाई ब्ल्याक ह्याटमा ह्याकिङ प्रविधिको रूपमा ड्यान कमिन्स्कीद्वारा प्रस्तुतीकरणमा प्रस्तुत गरिएको थियो। यसरी, विचार धेरै चाँडै एक वास्तविक आक्रमण उपकरण मा बढ्यो।

आज, DNS टनेलिङले नक्सामा विश्वस्त स्थिति ओगटेको छ सम्भावित खतराहरू (र सूचना सुरक्षा ब्लगरहरूलाई प्राय: यसको व्याख्या गर्न भनिन्छ)।

बारे सुन्नुभएको छ समुद्री कछुआ ? यो साइबर अपराधी समूहहरू द्वारा चलिरहेको अभियान हो - प्राय: राज्य-प्रायोजित - वैध DNS सर्भरहरू अपहरण गर्न DNS अनुरोधहरू तिनीहरूको आफ्नै सर्भरहरूमा पुन: निर्देशित गर्न। यसको मतलब संस्थाहरूले Google वा FedEx जस्ता ह्याकरहरूद्वारा सञ्चालित नक्कली वेब पृष्ठहरूलाई संकेत गर्ने "खराब" IP ठेगानाहरू प्राप्त गर्नेछन्। एकै समयमा, आक्रमणकारीहरूले प्रयोगकर्ता खाताहरू र पासवर्डहरू प्राप्त गर्न सक्षम हुनेछन्, जसले अनजानमा तिनीहरूलाई त्यस्ता नक्कली साइटहरूमा प्रविष्ट गर्नेछन्। यो DNS टनेलिङ होइन, तर DNS सर्भरहरू नियन्त्रण गर्ने ह्याकरहरूको अर्को दुर्भाग्यपूर्ण परिणाम हो।

DNS टनेलिङ खतराहरू

DNS टनेलिङ खराब समाचार चरणको सुरुवातको सूचक जस्तै हो। कुन चाहिँ? हामीले पहिले नै धेरैको बारेमा कुरा गरिसकेका छौं, तर तिनीहरूलाई संरचना गरौं:

• डाटा आउटपुट (एक्सफिल्टेशन) - एक ह्याकरले गोप्य रूपमा DNS मा महत्वपूर्ण डाटा प्रसारण गर्दछ। यो निश्चित रूपमा पीडित कम्प्युटरबाट जानकारी हस्तान्तरण गर्ने सबैभन्दा प्रभावकारी तरिका होइन - खातामा सबै लागतहरू र एन्कोडिङहरू लिँदै - तर यसले काम गर्दछ, र एकै समयमा - गोप्य रूपमा!
• आदेश र नियन्त्रण (संक्षिप्त C2) - ह्याकरहरूले DNS प्रोटोकल प्रयोग गरेर साधारण नियन्त्रण आदेशहरू पठाउँछन्, भन्नुहोस्, रिमोट पहुँच ट्रोजन (रिमोट एक्सेस ट्रोजन, संक्षिप्त रूपमा RAT)।
• IP-Over-DNS टनेलिङ - यो पागल लाग्न सक्छ, तर त्यहाँ उपयोगिताहरू छन् जसले DNS प्रोटोकल अनुरोधहरू र प्रतिक्रियाहरूको शीर्षमा IP स्ट्याक लागू गर्दछ। यसले FTP, Netcat, ssh, आदि प्रयोग गरेर डाटा स्थानान्तरण गर्दछ। एक अपेक्षाकृत सरल कार्य। अत्यन्तै अशुभ !

DNS टनेलिङ पत्ता लगाउँदै

DNS दुरुपयोग पत्ता लगाउन दुई मुख्य विधिहरू छन्: लोड विश्लेषण र ट्राफिक विश्लेषण।

मा लोड विश्लेषण डिफेन्डिङ पार्टीले पछाडी पठाइएका डेटामा विसंगतिहरू खोज्छ जुन तथ्याङ्कीय विधिहरूद्वारा पत्ता लगाउन सकिन्छ: अनौठो देखिने होस्ट नामहरू, DNS रेकर्ड प्रकार जुन प्रायजसो प्रयोग हुँदैन, वा गैर-मानक एन्कोडिङ।

मा यातायात विश्लेषण प्रत्येक डोमेनमा DNS अनुरोधहरूको संख्या सांख्यिकीय औसतको तुलनामा अनुमान गरिएको छ। DNS टनेलिङ प्रयोग गर्ने आक्रमणकारीहरूले सर्भरमा ठूलो मात्रामा ट्राफिक उत्पन्न गर्नेछन्। सिद्धान्तमा, सामान्य DNS सन्देश आदानप्रदान भन्दा उल्लेखनीय रूपमा उच्च। र यो ट्र्याक गर्न आवश्यक छ!

DNS टनेलिङ उपयोगिताहरू

यदि तपाइँ तपाइँको आफ्नै पेन्टेस्ट सञ्चालन गर्न चाहानुहुन्छ र तपाइँको कम्पनीले त्यस्तो गतिविधि पत्ता लगाउन र प्रतिक्रिया दिन सक्छ भनेर हेर्न चाहनुहुन्छ भने, त्यहाँ यसको लागि धेरै उपयोगिताहरू छन्। ती सबै मोडमा टनेल गर्न सक्छन् IP-over-DNS:

• आयोडिन - धेरै प्लेटफर्महरूमा उपलब्ध छ (Linux, Mac OS, FreeBSD र Windows)। तपाईंलाई लक्ष्य र नियन्त्रण कम्प्युटरहरू बीचको SSH शेल स्थापना गर्न अनुमति दिन्छ। त्यो एक राम्रो छ гайд आयोडिन स्थापना र प्रयोगमा।
• OzymanDNS - डेन कामिन्स्कीबाट DNS टनेलिङ परियोजना, पर्लमा लेखिएको। तपाइँ यसलाई SSH मार्फत जडान गर्न सक्नुहुन्छ।
• DNSCat2 - "DNS सुरुङ जसले तपाईंलाई बिरामी बनाउँदैन।" फाइलहरू पठाउन/डाउनलोड गर्न, खोलहरू सुरु गर्न, आदिका लागि एउटा इन्क्रिप्टेड C2 च्यानल सिर्जना गर्दछ।

DNS निगरानी उपयोगिताहरू

तल धेरै उपयोगिताहरूको सूची छ जुन टनेल आक्रमणहरू पत्ता लगाउन उपयोगी हुनेछ:

• dnsHunter - MercenaryHuntFramework र Mercenary-Linux को लागि लिखित पाइथन मोड्युल। .pcap फाइलहरू पढ्छ, DNS प्रश्नहरू निकाल्छ र विश्लेषणमा मद्दत गर्न भौगोलिक स्थान म्यापिङ गर्दछ।
• reassemble_dns - एक पाइथन उपयोगिता जसले .pcap फाइलहरू पढ्छ र DNS सन्देशहरू विश्लेषण गर्दछ।

DNS टनेलिङमा माइक्रो FAQ

प्रश्न र उत्तर को रूप मा उपयोगी जानकारी!

प्रश्न: टनेलिङ भनेको के हो?
बारेमा: यो अवस्थित प्रोटोकल मा डाटा स्थानान्तरण गर्न को लागी एक तरिका हो। अन्तर्निहित प्रोटोकलले एक समर्पित च्यानल वा टनेल प्रदान गर्दछ, जुन त्यसपछि वास्तवमा प्रसारण भइरहेको जानकारी लुकाउन प्रयोग गरिन्छ।

प्रश्न: पहिलो DNS टनेलिङ आक्रमण कहिले गरिएको थियो?
बारेमा: हामीलाई थाहा छैन! यदि तपाईंलाई थाहा छ भने, कृपया हामीलाई थाहा दिनुहोस्। हाम्रो जानकारीको लागि, आक्रमणको पहिलो छलफल अप्रिल 1998 मा Bugtraq मेलिङ सूचीमा Oscar Piersan द्वारा सुरु गरिएको थियो।

Q: कुन आक्रमणहरू DNS टनेलिङसँग मिल्दोजुल्दो छन्?
बारेमा: DNS एक मात्र प्रोटोकलबाट टाढा छ जुन टनेलिङको लागि प्रयोग गर्न सकिन्छ। उदाहरणका लागि, कमाण्ड र कन्ट्रोल (C2) मालवेयरले संचार च्यानललाई मास्क गर्न HTTP प्रयोग गर्दछ। DNS टनेलिङको रूपमा, ह्याकरले आफ्नो डेटा लुकाउँछ, तर यस अवस्थामा यो टाढाको साइट पहुँच गर्ने नियमित वेब ब्राउजरबाट ट्राफिक जस्तो देखिन्छ (आक्रमणकारीद्वारा नियन्त्रित)। यो अनुगमन कार्यक्रमहरू द्वारा ध्यान नदिने हुन सक्छ यदि तिनीहरू बुझ्नको लागि कन्फिगर गरिएको छैन खतरा ह्याकर उद्देश्यका लागि HTTP प्रोटोकलको दुरुपयोग।

के तपाईं हामीलाई DNS सुरुङ पत्ता लगाउन मद्दत गर्न चाहनुहुन्छ? हाम्रो मोड्युल जाँच गर्नुहोस् Varonis किनारा र यसलाई नि: शुल्क प्रयास गर्नुहोस् डेमो!

स्रोत: www.habr.com