神刀安全网

建立你自己的Passive DNS收集系统

在本篇文章中,我将会向大家介绍如何在 Ubuntu 服务器上搭建一个 Bro IDS 并且安装一个 bro-pdns 来记录 DNS 的查询记录,存入 SQL 数据库中。

Passive DNS 对安全研究非常重要,因为它可以在前期帮助我们构建出目标的基础设施结构,并且可以得到以下三方面的答案:

该域名曾经绑定过哪些IP

这个IP有没有其他的域名

该域名最早/最晚什么时候出现

Passive DNS 同时也在 SOC 的时候起到很大的帮助。通过识别的恶意域名,可以找到其他被恶意破坏的机器。 目前有很多网站允许我们访问它的  Passive DNS 系统,例如:

Virustotal( https://www.virustotal.com/ ) passivetotal( https://www.passivetotal.com ) CIRCL ( https://www.circl.lu/services/passive-dns/ ) 。有很多这样的网站,但是,自己在本地有一个当然会更方便。

安装 Bro

首先,你需要做的第一件事是安装一个 ubuntu 并且运行起来。我们就直接用 Security Onion 简单的搭建下就行了,直接通过虚拟机搭建起来就行了。

具体命令如下:

> apt-get update && apt-get upgrade

> apt-get install cmake make gcc g++ flex bison libpcap-dev/

/libgeoip-dev libssl-dev python-dev zlib1g-dev

/libmagic-dev swig2.0

> wget https://www.bro.org/downloads/release/bro-2.4.tar.gz

> tar -xvzf bro-2.4.tar.gz

> cd bro-2.4

> ./configure –prefix=/nsm/bro

> make

> make install

> export PATH=/nsm/bro/bin:$PATH

我们首先假设,我们只运行了单个的 Bro ,并且只有一个监控界面。如果你想要更多的功能,可以阅读配置文件。

以上的步骤完成后,我们需要配置一个文件。

由于我们只需要监控一个接口,所以我们不修改任何文件。但是,为了确定下,我们需要查看 $PREFIX/etc/node.cfg 确定下 eth0 是否是我们唯一的网卡接口。

注:在我们的例子中 $PREFIX /nsm/bro

现在我们可以开始运行 Bro 了:

> broctl

[BroControl] install

[BroControl] start

[BroControl] status

如果你的路径没有设置正确,你可以用完整路 ’/nsm/bro/bin/broctl`’ 运行 broctl   好吧,这一点都不难! 安装完 Bro ,我们开始安装 MySQL ,然后让 MySQL 工作起来,这样的话,我们就能在数据库中记录 Bro 的请求和应答了。这就更简单了:

> sudo apt-get install mysql-server libapache2-mod-auth-mysql php5-mysql

> sudo mysql_install_db

> sudo /usr/bin/mysql_secure_installation

接下来,我们创建一个数据库使用:

> mysql -u root -p

mysql> CREATE DATABASE pdns;

但是,我们还需要安装其他的一些第三方库,首先我们需要安装‘ pip

> wget https://bootstrap.pypa.io/get-pip.py

> python get-pip.py

接下来我们安装, Bottle 库,对,就像下面这样:

> pip install bottle

并且用 apt 安装 SQLAlchemy

> sudo apt-get install python-sqlalchemy

好了,我们需要的东西差不多都安装完了,我们可以让  bro-pdns 启动了 首先,我们用 git 下载 bro-pnd ,没有的话可以 apt 安装:

> apt-get install git

git clone  https://github.com/JustinAzoff/bro-pdns.git

接下来,把 bro-pdns 文件夹移动到 /nsm/bro/share/bro/site 路径下,然后打开’ /nsm/bro/share/bro/site ’路径下的 local.bro 文件,添加下面这句内容:

@load ./bro_pdns

redef PDNS::uri = "mysql://root:password@localhost/pdns";

其中 password 要改成数据库的密码。然后,我们需要运行  `broctl deploy`  重启整个系统,并且把新的脚本导入到 Bro  。 设置下 HTTP API ,这样的话,你就可以直接调用 API 来获取 domain IP

BRO_PDNS_DB=mysql://root:pass@localhost/pdns/nsm/share/bro/

site/bro-pdns/bro_pdns.py serve

好了,配置好后,我们就可以正式开始使用它了。你想查询一个站点的信息,你可以向 api 传递你要查询的域名,就能查到结果了:

> curl http://localhost:8081/dns/www.youtube.com

很显然,用任何你想要查询的 IP 或者域名替换掉 www.youtube.com ,就可以了

建立你自己的Passive DNS收集系统

但是这些结果是很乱的,因为他是用 json 格式的,我们可以用 python 写一个脚本来处理下,让结果更漂亮些,下面的脚本就是我们写的处理脚本:

#!/usr/bin/python

import requests

import json

import sys

indicator = sys.argv[1]

url = "http://localhost:8081/dns/"

r = requests.get(url+indicator)

j = json.loads(r.text)

print "+"+"-"*24+"+"+"-"*24+"+"+"-"*8+"+"+"-"*7+"+"+"-"*30+"+"

print "|"+" "*7+"First Seen"+" "*7+"|"+" "*7+"Last Seen"+" "*8+ /

"|"+" "*2+"Type"+" "*2+"|"+" "*2+"TTL"+" "*2+"|"+" "*12+"Answer"+" "*12+"|"

print "+"+"-"*24+"+"+"-"*24+"+"+"-"*8+"+"+"-"*7+"+"+"-"*30+"+"

for record in j[‘records’]:

print "  ",record[‘first’],"/t   ",record[‘last’],"     ",/

record[‘type’],"      ",record[‘ttl’],"   ",record[‘answer’]

下面是我们运行的结果:

建立你自己的Passive DNS收集系统

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 建立你自己的Passive DNS收集系统

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址