0x01 首先,我们先来简单回顾下DNS的基本解析流程, 比较简单,如下
-> 以客户端浏览器访问 www.rootkit.org 域名为例,首先,它会去检查当前浏览器缓存,如果有,就直接响应,如果没有,就继续往下找
-> 接着,操作系统会去检查自己的host文件,如果从中没找到对应关系,会再到系统dns缓存中查,如果缓存中有,就直接返回该域名所对应的ip
-> 如果缓存中没有,则会向我们事先设置好的dns服务器 [ 一般有两个, 主 & 备 ] 去请求,即所谓的`递归查询`,dns服务器首先会到自身解析数据库中去查
-> 如果dns服务器在自己的解析库中也没找到,它就会自动帮我们向根发送询问请求
-> 此时,根看到要请求的是org的后缀,就会把org所在的ns服务器告诉我们的dns
-> 然后,我们的dns服务器就会去请求org所在的ns服务器
-> 当请求到达org ns服务器时,org一看域名是在rootkit这个域下的,就会把rootkit所在的ns服务器再告诉我们的dns服务器
-> 再然后,我们的dns服务器就会去请求rootkit这个域的ns服务器
-> rootkit这个域的ns服务器一看是要访问www就直接找到了www对应的A记录的ip,并把它丢给我们的dns,上面逐个询问的过程,即 `迭代查询`
-> 最后,我们的dns再把最终解析到的这个ip丢给我们的客户端,然后客户端就直接拿着去访问了,如下,访问google.com时的简易流程图
演示环境,此处暂以一主一从为例进行演示
DnsMaster ip : 192.168.3.60 主 DNS 服务器
DnsSlave ip : 192.168.3.61 从 DNS 服务器
0x02 几种常见的 DNS 功用类型
主dns,主要负责实际的正反向域名解析
从dns,主要从其它的主dns或者从dns中同步解析数据库,`即区域传送`,一般是通过序列号递增来判断主dns是否有更新
缓存DNS服务器...
转发器...
0x03 理解DNS区域解析流向
正向 : FQDN -> IP
反向 : IP -> FQDN
FQDN 即 `完整合法域名`,如 `www.rootkit.org.` 最后面的`.`表示根,意思就是根下的org下的rootkit
不管是正向还是反向区域都需要有一个单独的解析数据库去解析
0x04 认识DNS中一些常见的资源记录类型,说到底就是用它们来标记某个主机类型
A 记录 FQDN -> ipv4
AAAA 记录 FQDN -> ipv6
NS 记录 标明当前区域的NS服务器是谁
MX 记录 标明当前域内谁是邮件服务器
PTR 记录 ip -> FQDN
SOA 记录 一个解析库有且只有一个SOA记录,且必须为解析库的第一条记录
CNAME 记录 别名
0x05 如何在区域配置文件中定义上述各种资源记录
记录定义标准格式,如下
name TTL值[缓存时长可省] IN 记录类型 值
定义SOA记录,一般会配合DNS主从同步来用
admin.org. IN SOA ns.admin.org. admin.admin.org. (
2017122309 ; 序列号
2H ; 刷新时间
10M ; 重试时长
1W ; 过期时间
1D ; 否定答案的TTL值)
定义NS记录,如果连续两条紧挨着的记录相同,后面一个的name可省略,另外NS记录需要在后续有一个对应的A记录
admin.org. IN NS ns1.admin.org.
admin.org. IN NS ns2.admin.org.
定义MX记录,注意,此记录有优先级,数字越小,优先级越高,同样,后面也需要指向一条A记录
admin.org. IN NS ns1.admin.org.
admin.org. IN NS ns2.admin.org.
定义A记录,注意,对于A记录,同一个name可以对应多个不同的ip,访问时会自动实现轮询的效果
www.admin.org. IN A l.2.3.4
www.admin.org. IN A l.2.3.4
*.admin.org. IN A 1.2.3.4 泛解析,用户输入不存在的域名是全部都解析到这个ip上
admin.org. IN A 1.2.3.4 另外一种泛解析写法 admin.org
定义PTR记录,即反向区域解析,一定要注意,所有的ip地址必须反过来写,另外,都必须带上固有后缀in-addr.arpa.
4.3.2.in-addr.arpa. IN PTR www.admin.org.
定义CNAME记录,意思就是当访问web.admin.org.时就直接解析到www.admin.org.
web.admin.org. IN CNAME www.admin.org.
0x06 关于一些常见 dns 解析测试工具的基本使用
# dig -t 记录类型 要解析的域名 @用于解析该域名的dns服务器
# dig -t axfr 要解析的域名 @用于解析该域名的dns服务器 全量区域同步,可用来测试`区域传送漏洞`
# dig +trace 要解析的域名 跟踪指定域名的详细解析过程
# nslookup 交互式查询
# host -t 类型 要解析的域名 用于解析的dns服务器
0x07 因为后续还要做DNS主从实时同步,所以这里就先从配置正向区域解析开始
开始安装主DNS,bind是核心包,bind-devel是bind核心库,utils是dns测试工具包,工具包里包含了一些常用工具,如,nslookup,dig,host,另外,此处暂以yum方式进行安装,当然,你也可以自行采用源码编译的方式进行安装,不过编译安装不太好的地方就是,有很多关键目录和配置文件没法自动生成,配置起来比较繁琐
# yum install bind-utils bind bind-devel bind-chroot -y
# rpm -qa | grep bind
配置主DNS的主配置文件named.conf
# cat /var/named/named.ca 全球13组根DNS服务器解析地址的存放位置
# cp /etc/named.conf{,.bak} 先备份配置文件再编辑
# > /etc/named.conf bind的主配置文件,主要提供全局配置
# vi /etc/named.conf
// 全局配置段,注意,dns工作在tcp/53和udp/53端口上,tcp/53一般主要用来进行区域同步,而udp/53主要用来负责正常的解析请求和响应
options {
version "1.1.1";
listen-on port 53 { 192.168.3.60;127.0.0.1; }; // 把dns端口监听在本地指定的ip上
directory "/var/named/chroot/etc/";
pid-file "/var/named/chroot/var/run/named/named.pid";
allow-query { any; }; // 允许任意主机向我进行dns请求
Dump-file "/var/named/chroot/var/log/binddump.db";
Statistics-file "/var/named/chroot/var/log/named_stats";
zone-statistics yes;
memstatistics-file "log/mem_stats";
empty-zones-enable no;
forwarders { 114.114.114.114;8.8.8.8; };
};
// 设置rndc通信共享秘钥
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
// bind日志配置区段
logging {
channel warning {
file "/var/named/chroot/var/log/dns_warning" versions 10 size 10m;
severity warning;
print-category yes;
print-severity yes;
print-time yes;
};
channel general_dns {
file "/var/named/chroot/var/log/dns_log" versions 10 size 100m;
severity info;
print-category yes;
print-severity yes;
print-time yes;
};
category default {
warning;
};
category queries {
general_dns;
};
};
// 为了简化bind主配置文件,可以通过include的方式来引入区域文件
include "/var/named/chroot/etc/view.conf";
针对rndc 的简单配置,关于rndc其实就是个bind服务管理工具,可以通过它在本地或者直接远程来方便的对bind服务进行各种管理操作,如,重载,刷新缓存,关闭…默认工作在tcp/953端口上,比较危险,所以我们一般只让它监听在本地即可
0x08 定义正向区域文件
0x09 定义正向区域文件,我们再来编写正向区域解析数据库,内部主要用于存放各种记录类型和宏,如下
0x10 配置完正向区域解析库以后,我们就可以来重载服务,测试解析了
0x11 在正向区域测试解析没有任何问题之后,我们再来看如何定义反向区域,注意,反向区域的ip地址要全部反写,即 变化的区域不写,不变的区域反写,此区域不需要MX和A记录,只需要PTR记录即可,另外,通常都是先有正向解析再有反向解析
192.168.3.x => 3.168.192.in-addr.arpa
192.168.x.x => 168.192.in-addr.arpa
定义反向区域的方式很简单,先定义好反向区域文件
再来定义反向区域解析库
0x12 当主DNS的正反向区域解析都没任何问题之后,我们开始来配置主从DNS实时同步
# yum install bind-utils bind bind-devel bind-chroot -y
# rpm -qa bind-utils bind bind-devel bind-chroot
开始配置从DNS,其实,在这里跟配置主DNS并没有太大区别,还是先按上面主DNS的配置方式来一遍
# > /etc/named.conf
# vi /etc/named.conf
options {
version "1.1.1";
listen-on port 53 { 192.168.3.61; 127.0.0.1; };
directory "/var/named/chroot/etc/";
pid-file "/var/named/chroot/var/run/named/named.pid";
allow-query { any; };
Dump-file "/var/named/chroot/var/log/binddump.db";
Statistics-file "/var/named/chroot/var/log/named_stats";
zone-statistics yes;
memstatistics-file "log/mem_stats";
empty-zones-enable no;
forwarders { 114.114.114.114;8.8.8.8; };
};
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
logging {
channel warning {
file "/var/named/chroot/var/log/dns_warning" versions 10 size 10m;
severity warning;
print-category yes;
print-severity yes;
print-time yes;
};
channel general_dns {
file "/var/named/chroot/var/log/dns_log" versions 10 size 100m;
severity info;
print-category yes;
print-severity yes;
print-time yes;
};
category default {
warning;
};
category queries {
general_dns;
};
};
include "/var/named/chroot/etc/view.conf";
配置rndc
0x13 接着,再来配置主从DNS正向区域实时同步,务必要记得在主DNS的正向解析库中一定要先有一条ns记录的ip是指向从DNS服务器的,不然同步通知是无法完成的,也就是说,一旦主DNS发生改变,它会通知所有的ns服务器进行更新,这样就可以实现实时正向区域同步的效果
对于从DNS的配置就非常简单了,只需要在从DNS上编辑区域文件,在里面配置好主DNS服务器的ip,设置好从DNS正向区域文件名,然后启动服务即可,如下
上面配置没问题以后,我们来重载服务试试
正向区域实时同步搞定之后,我们再来看看如何实现反向区域实时主从同步,还是要先在主DNS上的反向区域解析库中定义一条指向从DNS服务器的PTR记录,如下
首先,到主DNS服务器上去编辑反向区域解析库文件,添加一条指向从DNS服务器的PTR记录,具体如下
之后,再回到从DNS服务器上编辑区域配置文件,添加一个反向区域,跟正向区域同步一样,依然是指明主DNS服务器ip和从DNS反向区域解析库文件名,之后再重载服务,测试解析即可
0x14 关于DNS自身的安全问题
配置错误,修复简单
各类投毒污染攻击,需要多方配合,篇幅原因后续我们再详细说
bind工具自身的漏洞,时常注意官方发布的各类高危补丁,尤其是可以直接被远程利用的,而后进行适时修补或更新即可
0x15 基于 DNS 的各类渗透技巧,其实说来,底层的原理非常简单,因为在一些脚本或者数据库中有很多那种可以直接用于发起DNS请求的函数,而我们就可以通过此来构造自己的各种攻击语句,然后再从解析log中提取执行结果
基于DNS log的sql盲注,代码及命令执行...后续有空接着说
基于DNS隧道的各类远程,如,cobalt strike,关于这个,我们后续还会再单独抽出来详细说
更多,待续...
下面就是个简单的区域传送效果,不过像这种古董级漏洞,现在确实已经非常罕见了,属于敏感信息泄露的一种,容易直接被人看见内部的网络结构拓扑部署,祝大家好运吧 ^_^
后话：
其实,像dns这种过于的基础服务,配置起来确实非常简单,不过,关键还是要能灵活应用,非常建议大家还是把绝大部分的时间都花在去深入理解dns的解析过程上,个人觉得那个才是真正的价值,因为所有的DNS高级应用场景,最底层全部都是基于这个,把最基础的东西搞通透以后,再去看各类高级应用就非常简单了,还是那句话不管上层怎么变化,但万变不离其宗,篇幅限制,此处仅仅也只是先带大家打个照面,更多高级应用,后续肯定还会有大量的篇幅说明,来日方长,我们待续……
文章出处：klion's blog
原文链接：https://klionsec.github.io/2017/12/11/Dns-tips/