hacktricks/forensics/basic-forensic-methodology/pcap-inspection/dnscat-exfiltration.md
2024-02-11 01:46:25 +00:00

3.4 KiB

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli masz plik pcap z danymi eksfiltrującymi się za pomocą DNSCat (bez użycia szyfrowania), możesz znaleźć eksfiltrowane treści.

Wystarczy wiedzieć, że pierwsze 9 bajtów nie są prawdziwymi danymi, ale są związane z komunikacją C&C:

from scapy.all import rdpcap, DNSQR, DNSRR
import struct

f = ""
last = ""
for p in rdpcap('ch21.pcap'):
if p.haslayer(DNSQR) and not p.haslayer(DNSRR):

qry = p[DNSQR].qname.replace(".jz-n-bs.local.","").strip().split(".")
qry = ''.join(_.decode('hex') for _ in qry)[9:]
if last != qry:
print(qry)
f += qry
last = qry

#print(f)

Aby uzyskać więcej informacji: https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap
https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md

Istnieje skrypt działający w Pythonie 3: https://github.com/josemlwdf/DNScat-Decoder

python3 dnscat_decoder.py sample.pcap bad_domain
Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks: