DNS云学堂 | DNS的隐秘角落，隐藏性极强的隧道攻击分析

1214

发表时间：2021-03-15 13:27

DNS是网络服务入口，是所有业务访问必经之路。正常业务要通过DNS访问服务，恶意程序也需要通过DNS外联。数据显示，近91.3%的恶意程序被发现使用DNS作为主要入侵手段。这是因为DNS本身的协议脆弱性导致其很容易被利用，且攻击者可以很好地隐藏自己。DNS隧道攻击就是攻击者经常使用的攻击手段之一，本期云学堂解析DNS隧道攻击的原理，分享判断隧道攻击的基本思路，enjoy：

DNS隧道攻击

原理及特点

基本原理示意图

DNS隧道攻击原理概述

利用DNS查询过程，将非法数据压缩编码封装在DNS协议中，然后以DNS请求和响应包完成传输数据(通信)。

DNS隧道攻击的应用

攻击者通过C&C服务器完成点对点数据传播，或者植入木马、蠕虫、恶意软件等完成长期隐藏式的APT攻击。

DNS隧道攻击的优势

针对传统的安全设备，如网络防火墙等有较强的穿透性；DNS攻击成本相对较低，但攻击效果明显。

DNS隧道攻击特点

攻击者的流量数据封装在DNS协议中，传统安全设备较难发现，从流量数据包来看不容易被识别，不进行专业分析只会被认为是53端口DNS数据，隐蔽性较强。

利用DNS隧道攻击

示例

通过DNS隧道实现数据传输

恶意程序将控制指令封装在DNS协议中进行请求和响应交互，其中请求和响应中的真实控制指令均被编码成一段字符串。

通常发起请求的域名均采用Base64，Binary编码，NetBios编码、Hex编码等编码方式进行加密，为了传输更多的数据一般情况下采用TXT类型（DNS请求类型的一种）。所以防火墙和入侵检测设备处于正常递归出网的考虑很难做到对DNS流量的分析与过滤，因此，攻击者可以利用它实现诸如远程控制等攻击行为。

通过DNS隧道实现数据传输

DNS隧道除了可以实现恶意程序与C&C端的控制指令交互，还可以为攻击者提供一种永远可用的后方隧道来泄露窃取的资料或敏感数据。虽然受限于域名长度的限制，以及UDP传输的不可靠性，利用DNS隧道对外传输大的文件较难，但是传输重要的敏感信息已经足够。上述图中就展示了通过持续的子域名请求传送到控制端，然后在控制端将这些请求按照顺序拼接起来获取敏感数据。