DNS 深度理解 [ 一 ]

0x01 首先,我们先来简单回顾下DNS的基本解析流程, 比较简单,如下

1
2
3
4
5
6
7
8
9
10
-> 以客户端浏览器访问 www.rootkit.org 域名为例,首先,它会去检查当前浏览器缓存,如果有,就直接响应,如果没有,就继续往下找
-> 接着,操作系统会去检查自己的host文件,如果从中没找到对应关系,会再到系统dns缓存中查,如果缓存中有,就直接返回该域名所对应的ip
-> 如果缓存中没有,则会向我们事先设置好的dns服务器 [ 一般有两个, 主 & 备 ] 去请求,即所谓的`递归查询`,dns服务器首先会到自身解析数据库中去查
-> 如果dns服务器在自己的解析库中也没找到,它就会自动帮我们向根发送询问请求
-> 此时,根看到要请求的是org的后缀,就会把org所在的ns服务器告诉我们的dns
-> 然后,我们的dns服务器就会去请求org所在的ns服务器
-> 当请求到达org ns服务器时,org一看域名是在rootkit这个域下的,就会把rootkit所在的ns服务器再告诉我们的dns服务器
-> 再然后,我们的dns服务器就会去请求rootkit这个域的ns服务器
-> rootkit这个域的ns服务器一看是要访问www就直接找到了www对应的A记录的ip,并把它丢给我们的dns,上面逐个询问的过程,即 `迭代查询`
-> 最后,我们的dns再把最终解析到的这个ip丢给我们的客户端,然后客户端就直接拿着去访问了,如下,访问google.com时的简易流程图


演示环境,此处暂以一主一从为例进行演示

1
2
DnsMaster ip : 192.168.3.60 主 DNS 服务器
DnsSlave ip : 192.168.3.61 从 DNS 服务器

0x02 几种常见的 DNS 功用类型

1
2
3
4
主dns,主要负责实际的正反向域名解析
从dns,主要从其它的主dns或者从dns中同步解析数据库,`即区域传送`,一般是通过序列号递增来判断主dns是否有更新
缓存DNS服务器...
转发器...

0x03 理解DNS区域解析流向

1
2
3
4
5
正向 : FQDN -> IP
反向 : IP -> FQDN
FQDN 即 `完整合法域名`,如 `www.rootkit.org.` 最后面的`.`表示根,意思就是根下的org下的rootkit
不管是正向还是反向区域都需要有一个单独的解析数据库去解析

0x04 认识DNS中一些常见的资源记录类型,说到底就是用它们来标记某个主机类型

1
2
3
4
5
6
7
A 记录 FQDN -> ipv4
AAAA 记录 FQDN -> ipv6
NS 记录 标明当前区域的NS服务器是谁
MX 记录 标明当前域内谁是邮件服务器
PTR 记录 ip -> FQDN
SOA 记录 一个解析库有且只有一个SOA记录,且必须为解析库的第一条记录
CNAME 记录 别名

0x05 如何在区域配置文件中定义上述各种资源记录

记录定义标准格式,如下

1
name TTL值[缓存时长可省] IN 记录类型 值

定义SOA记录,一般会配合DNS主从同步来用

1
2
3
4
5
6
7
admin.org. IN SOA ns.admin.org. admin.admin.org. (
2017122309 ; 序列号
2H ; 刷新时间
10M ; 重试时长
1W ; 过期时间
1D ; 否定答案的TTL值
)

定义NS记录,如果连续两条紧挨着的记录相同,后面一个的name可省略,另外NS记录需要在后续有一个对应的A记录

1
2
admin.org. IN NS ns1.admin.org.
admin.org. IN NS ns2.admin.org.

定义MX记录,注意,此记录有优先级,数字越小,优先级越高,同样,后面也需要指向一条A记录

1
2
admin.org. IN MX 10 mx1.admin.org.
admin.org. IN MX 6 mx2.admin.org.

定义A记录,注意,对于A记录,同一个name可以对应多个不同的ip,访问时会自动实现轮询的效果

1
2
3
4
www.admin.org. IN A l.2.3.4
www.admin.org. IN A l.2.3.4
*.admin.org. IN A 1.2.3.4 泛解析,用户输入不存在的域名是全部都解析到这个ip
admin.org. IN A 1.2.3.4 另外一种泛解析写法 admin.org

定义PTR记录,即反向区域解析,一定要注意,所有的ip地址必须反过来写,另外,都必须带上固有后缀in-addr.arpa.

1
4.3.2.in-addr.arpa. IN PTR www.admin.org.

定义CNAME记录,意思就是当访问web.admin.org.时就直接解析到www.admin.org.

1
web.admin.org. IN CNAME www.admin.org.

0x06 关于一些常见 dns 解析测试工具的基本使用

1
2
3
4
5
# dig -t 记录类型 要解析的域名 @用于解析该域名的dns服务器
# dig -t axfr 要解析的域名 @用于解析该域名的dns服务器 全量区域同步,可用来测试`区域传送漏洞`
# dig +trace 要解析的域名 跟踪指定域名的详细解析过程
# nslookup 交互式查询
# host -t 类型 要解析的域名 用于解析的dns服务器

0x07 因为后续还要做DNS主从实时同步,所以这里就先从配置正向区域解析开始

开始安装主DNS,bind是核心包,bind-devel是bind核心库,utils是dns测试工具包,工具包里包含了一些常用工具,如,nslookup,dig,host,另外,此处暂以yum方式进行安装,当然,你也可以自行采用源码编译的方式进行安装,不过编译安装不太好的地方就是,有很多关键目录和配置文件没法自动生成,配置起来比较繁琐

1
2
# yum install bind-utils bind bind-devel bind-chroot -y
# rpm -qa | grep bind

配置主DNS的主配置文件named.conf

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
# cat /var/named/named.ca 全球13组根DNS服务器解析地址的存放位置
# cp /etc/named.conf{,.bak} 先备份配置文件再编辑
# > /etc/named.conf bind的主配置文件,主要提供全局配置
# vi /etc/named.conf
// 全局配置段,注意,dns工作在tcp/53和udp/53端口上,tcp/53一般主要用来进行区域同步,而udp/53主要用来负责正常的解析请求和响应
options {
version "1.1.1";
listen-on port 53 { 192.168.3.60;127.0.0.1; }; // 把dns端口监听在本地指定的ip上
directory "/var/named/chroot/etc/";
pid-file "/var/named/chroot/var/run/named/named.pid";
allow-query { any; }; // 允许任意主机向我进行dns请求
Dump-file "/var/named/chroot/var/log/binddump.db";
Statistics-file "/var/named/chroot/var/log/named_stats";
zone-statistics yes;
memstatistics-file "log/mem_stats";
empty-zones-enable no;
forwarders { 114.114.114.114;8.8.8.8; };
};
// 设置rndc通信共享秘钥
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
// bind日志配置区段
logging {
channel warning {
file "/var/named/chroot/var/log/dns_warning" versions 10 size 10m;
severity warning;
print-category yes;
print-severity yes;
print-time yes;
};
channel general_dns {
file "/var/named/chroot/var/log/dns_log" versions 10 size 100m;
severity info;
print-category yes;
print-severity yes;
print-time yes;
};
category default {
warning;
};
category queries {
general_dns;
};
};
// 为了简化bind主配置文件,可以通过include的方式来引入区域文件
include "/var/named/chroot/etc/view.conf";

针对rndc 的简单配置,关于rndc其实就是个bind服务管理工具,可以通过它在本地或者直接远程来方便的对bind服务进行各种管理操作,如,重载,刷新缓存,关闭…默认工作在tcp/953端口上,比较危险,所以我们一般只让它监听在本地即可

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
# vi /etc/rndc.key
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
# vi /etc/rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1; // 让它只监听在本地,禁止rndc远程连接,防止被利用
default-port 953;
};

0x08 定义正向区域文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# vi /var/named/chroot/etc/view.conf
view "MasterView" {
zone "admin.org" {
type master;
file "admin.org.zone"; // 区域文件名,此处的文件名可以随意
allow-transfer { // 允许传送的主机,所谓的区域传送漏洞也就出在这里
192.168.3.61;
// any; // 如果此处设置为any,则允许任意主机来传送,这就是产生区域传送漏洞的根源
// 所以务必谨记,跟谁传送,就只写谁的ip
};
notify yes;
also-notify {
192.168.3.61;
};
};
};

0x09 定义正向区域文件,我们再来编写正向区域解析数据库,内部主要用于存放各种记录类型和宏,如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
# vi /var/named/chroot/etc/admin.org.zone
$TTL 3600 ; 1h
@ IN SOA ns1.admin.org. email.admin.org (
2003 ; serial // 时刻谨记,每次如果是手工修改完解析库文件以后都要自增一下
900 ; refresh (15 minutes)
600 ; retry (10 minutes)
86400 ; expire (1 day)
3600 ; minimum (1 hour)
)
IN NS ns1.admin.org.
IN NS ns2.admin.org.
IN MX 10 mx1.admin.org.
IN MX 20 mx2.admin.org.
ns1 IN A 192.168.3.3
ns2 IN A 192.168.3.61
mx1 IN A 192.168.3.4
mx2 IN A 192.168.3.5
www IN A 192.168.3.6
www IN A 192.168.3.3
ftp IN CNAME www.admin.org.
* IN A 192.168.3.110 //此处,即为泛解析的两种书写方式
admin.org. IN A 192.168.3.120
cacti IN A 192.168.3.16
zabbix IN A 192.168.3.18

0x10 配置完正向区域解析库以后,我们就可以来重载服务,测试解析了

1
2
3
4
5
6
7
8
9
10
11
12
13
# named-checkconf 此命令会自动检查bind主配置文件是否有语法错误
# named-checkzone "admin.org" admin.org.zone 检查指定区域解析库文件是否有错误配置
# ps -aux | grep named 我们看到bind默认是用named用户来运行的,我们改下区域解析库文件的权限
# chmod 640 /var/named/chroot/etc/admin.org.zone
# ll /var/named/chroot/etc/admin.org.zone
# chown named.named /var/named/chroot/etc/admin.org.zone
# /etc/init.d/named start 启动dns服务
# /etc/init.d/named reload 重载dns服务
# rndc reload 在dns服务启动的情况下,也可使用rndc来重载区域解析库
# chkconfig named on 加入系统自启动
# netstat -tulnp 看下端口有没正常起来
# dig -t A www.admin.org @192.168.3.60
# dig -t A mx2.admin.org @192.168.3.60

0x11 在正向区域测试解析没有任何问题之后,我们再来看如何定义反向区域,注意,反向区域的ip地址要全部反写,即 变化的区域不写,不变的区域反写,此区域不需要MX和A记录,只需要PTR记录即可,另外,通常都是先有正向解析再有反向解析

1
2
192.168.3.x => 3.168.192.in-addr.arpa
192.168.x.x => 168.192.in-addr.arpa

定义反向区域的方式很简单,先定义好反向区域文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
# vi /var/named/chroot/etc/view.conf
view "MasterView" {
zone "admin.org" IN {
type master;
file "admin.org.zone";
allow-transfer {
192.168.3.61;
};
notify yes;
also-notify {
192.168.3.61;
};
};
zone "3.168.192.in-addr.arpa" IN { // 一样要反写,此处就表示192.168.3.x这个网段
type master;
file "192.168.3.zone";
};
};

再来定义反向区域解析库

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
# vi /var/named/chroot/etc/192.168.3.zone
$TTL 3600
$ORIGIN 3.168.192.in-addr.arpa.
@ IN SOA ns1.admin.org. login.admin.org. (
2001 // 时刻谨记,每次如果是手工修改完解析库文件以后都要自增一下
900
600
86400
3600
)
IN NS ns1.admin.org.
IN NS ns2.admin.org.
6 IN PTR www.admin.org.
5 IN PTR mx2.admin.org.
4 IN PTR mx1.admin.org.
61 IN PTR ns2.admin.org. // 注意,这里必须要有一条ns记录指向我们后面的从DNS服务器
3 IN PTR ns1.admin.org.
31 IN PTR pop3.admin.org.

1
2
3
4
5
6
7
8
9
# chmod 640 192.168.3.zone
# chown :named 192.168.3.zone
# named-checkconf
# named-checkzone "3.168.192.in-addr.arpa" 192.168.3.zone 检查zone配置文件中是否有错误
# ll /var/named/chroot/etc/
# /etc/init.d/named reload
# netstat -tulnp
# host -t ptr 192.168.3.3 192.168.3.60
# dig -x 192.168.3.4 @192.168.3.60

0x12 当主DNS的正反向区域解析都没任何问题之后,我们开始来配置主从DNS实时同步

1
2
# yum install bind-utils bind bind-devel bind-chroot -y
# rpm -qa bind-utils bind bind-devel bind-chroot

开始配置从DNS,其实,在这里跟配置主DNS并没有太大区别,还是先按上面主DNS的配置方式来一遍

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
# > /etc/named.conf
# vi /etc/named.conf
options {
version "1.1.1";
listen-on port 53 { 192.168.3.61; 127.0.0.1; };
directory "/var/named/chroot/etc/";
pid-file "/var/named/chroot/var/run/named/named.pid";
allow-query { any; };
Dump-file "/var/named/chroot/var/log/binddump.db";
Statistics-file "/var/named/chroot/var/log/named_stats";
zone-statistics yes;
memstatistics-file "log/mem_stats";
empty-zones-enable no;
forwarders { 114.114.114.114;8.8.8.8; };
};
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};
logging {
channel warning {
file "/var/named/chroot/var/log/dns_warning" versions 10 size 10m;
severity warning;
print-category yes;
print-severity yes;
print-time yes;
};
channel general_dns {
file "/var/named/chroot/var/log/dns_log" versions 10 size 100m;
severity info;
print-category yes;
print-severity yes;
print-time yes;
};
category default {
warning;
};
category queries {
general_dns;
};
};
include "/var/named/chroot/etc/view.conf";

配置rndc

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
# vi /etc/rndc.key
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
# vi /etc/rndc.conf
key "rndc-key" {
algorithm hmac-md5;
secret "Eqw4hClGExUWeDkKBX/pBg==";
};
options {
default-key "rndc-key";
default-server 127.0.0.1;
default-port 953;
};

0x13 接着,再来配置主从DNS正向区域实时同步,务必要记得在主DNS的正向解析库中一定要先有一条ns记录的ip是指向从DNS服务器的,不然同步通知是无法完成的,也就是说,一旦主DNS发生改变,它会通知所有的ns服务器进行更新,这样就可以实现实时正向区域同步的效果

对于从DNS的配置就非常简单了,只需要在从DNS上编辑区域文件,在里面配置好主DNS服务器的ip,设置好从DNS正向区域文件名,然后启动服务即可,如下

1
2
3
4
5
6
7
8
# vi /var/named/chroot/etc/view.conf
view "SlaveView" {
zone "admin.org" IN {
type slave; // 这里的类型要选择从服务器
masters { 192.168.3.60; }; // 指定主DNS服务器ip
file "slave.admin.org.zone"; // 指定从DNS正向区域解析库文件名,重启服务后它会自动同步过来,不用手工编辑
};
};

上面配置没问题以后,我们来重载服务试试

1
2
3
4
5
6
7
8
9
# ps -aux | grep named
# cd /var/ && chown named.named named/ 为了能让它自动创建解析库文件需要改先权限
# ll /var/named/chroot/etc
# /etc/init.d/named start
# chkconfig named on
# cat /var/named/chroot/etc/slave.admin.org.zone 这个文件会在从dns重载之后自动被同步过来
# netstat -tulnp
# tail -f /var/log/messages 其实,从日志中我们是可以清晰的看到整个同步过程的
# dig -t MX admin.org @192.168.3.61 同步完成后,我们可以直接用本机来进行解析测试

正向区域实时同步搞定之后,我们再来看看如何实现反向区域实时主从同步,还是要先在主DNS上的反向区域解析库中定义一条指向从DNS服务器的PTR记录,如下

首先,到主DNS服务器上去编辑反向区域解析库文件,添加一条指向从DNS服务器的PTR记录,具体如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
# vi /var/named/chroot/etc/192.168.3.zone
$TTL 3600
$ORIGIN 3.168.192.in-addr.arpa.
@ IN SOA ns1.admin.org. login.admin.org. (
2001 // 时刻谨记,每次如果是手工修改完解析库文件以后都要自增一下
900
600
86400
3600
)
IN NS ns1.admin.org.
IN NS ns2.admin.org.
6 IN PTR www.admin.org.
5 IN PTR mx2.admin.org.
4 IN PTR mx1.admin.org.
61 IN PTR ns2.admin.org. // 先在主DNS的反向区域解析库中添加一条指向从DNS的PTR记录
3 IN PTR ns1.admin.org.
31 IN PTR pop3.admin.org.

之后,再回到从DNS服务器上编辑区域配置文件,添加一个反向区域,跟正向区域同步一样,依然是指明主DNS服务器ip和从DNS反向区域解析库文件名,之后再重载服务,测试解析即可

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
# vi /var/named/chroot/etc/view.conf
view "SlaveView" {
zone "admin.org" IN {
type slave;
masters { 192.168.3.60; };
file "slave.admin.org.zone";
};
zone "3.168.192.in-addr.arpa" IN {
type slave;
masters { 192.168.3.60; };
file "192.168.3.zone";
};
};

1
2
3
# rndc reload
# cat /var/named/chroot/etc/192.168.3.zone 依然是在重载服务以后,该反向区域解析库文件会被自动同步过来
# host -t ptr 192.168.3.3 192.168.3.61

0x14 关于DNS自身的安全问题

1
2
3
配置错误,修复简单
各类投毒污染攻击,需要多方配合,篇幅原因后续我们再详细说
bind工具自身的漏洞,时常注意官方发布的各类高危补丁,尤其是可以直接被远程利用的,而后进行适时修补或更新即可

0x15 基于 DNS 的各类渗透技巧,其实说来,底层的原理非常简单,因为在一些脚本或者数据库中有很多那种可以直接用于发起DNS请求的函数,而我们就可以通过此来构造自己的各种攻击语句,然后再从解析log中提取执行结果

1
2
3
基于DNS log的sql盲注,代码及命令执行...后续有空接着说
基于DNS隧道的各类远程,如,cobalt strike,关于这个,我们后续还会再单独抽出来详细说
更多,待续...

下面就是个简单的区域传送效果,不过像这种古董级漏洞,现在确实已经非常罕见了,属于敏感信息泄露的一种,容易直接被人看见内部的网络结构拓扑部署,祝大家好运吧 ^_^



后话:
    其实,像dns这种过于的基础服务,配置起来确实非常简单,不过,关键还是要能灵活应用,非常建议大家还是把绝大部分的时间都花在去深入理解dns的解析过程上,个人觉得那个才是真正的价值,因为所有的DNS高级应用场景,最底层全部都是基于这个,把最基础的东西搞通透以后,再去看各类高级应用就非常简单了,还是那句话不管上层怎么变化,但万变不离其宗,篇幅限制,此处仅仅也只是先带大家打个照面,更多高级应用,后续肯定还会有大量的篇幅说明,来日方长,我们待续……