勉強前イメージ
攻撃の名前だった気がする・・・
調査
DNSトンネリング とは
DNSの仕組みを利用してサイバー攻撃や情報漏洩に悪用する攻撃になります。
httpに比べてfirewallなどで制限されていない場合も多く、日常の中で大量にDNSの通信を行うので紛れ込ませることが可能です。
基本的なDNSの通信
基本的にはDNSの仕組みは以下になります。
流れとしては以下になります。
- クライアントPCからDNSサーバに聞きに行く
- DNSサーバはわからないのでルートのDNSサーバに聞きに行く
- ルートのDNSサーバはわからないのでcomのDNSサーバを教える
- comのDNSサーバに聞きに行く
- comのDNSサーバはわからないのでexampleのDNSサーバを教える
- exampleのDNSサーバに聞きに行く
- IPアドレスを教えてもらう
- DNSサーバはクライアントPCにIPアドレスを教える
悪用される際のDNSの通信
それが悪用されると以下のような流れになります。
- クライアントPCからDNSサーバに聞きに行く
- DNSサーバはわからないのでルートのDNSサーバに聞きに行く
- ルートのDNSサーバはわからないのでcomのDNSサーバを教える
- comのDNSサーバに聞きに行く
- comのDNSサーバはわからないのでexampleのDNSサーバを教える
- exampleのDNSサーバに聞きに行く
- TXTレコードを教えてもらう
- DNSサーバはクライアントPCにTXTレコードを教える
- 送られたマルウェアなどをダウンロードし、コマンド結果などを送付します
exampleのDNSサーバは悪意を持っていて、TXTレコードにマルウェアを仕込んだりデータを送るような指示を書いて送ります。
また1回の問い合わせで送れない場合は複数回の問い合わせで送信します。
そのため、情報漏洩に繋がったりします。
勉強後イメージ
DNSは普通にweb見てても発生するからぱっとすぐわかったりしないし
firewallでhttpに比べて制限されていることも少ないから使われるのね・・・・