• Linux - Edite /etc/resolv.conf para incluir una línea al principio con su host de análisis de tráfico (por ejemplo, agregue "nameserver 127.0.0.1" si está ejecutando localmente). Alternativamente, puede agregar una dirección de servidor DNS usando herramientas como Network Manager. Dentro de Network Manager, abra Configuración IPv4, seleccione Solo direcciones automáticas (DHCP) o Manual en el cuadro desplegable Método y edite el cuadro de texto Servidores DNS para incluir una dirección IP donde se esté ejecutando DNSChef.

• Windows - Seleccione Conexiones de red desde el Panel de control. Luego seleccione una de las conexiones (por ejemplo, "Conexión de área local"), haga clic derecho sobre ella y seleccione propiedades. En el cuadro de diálogo que aparece, seleccione Protocolo de Internet (TCP/IP) y haga clic en propiedades. Por último, seleccione el botón de opción Usar las siguientes direcciones de servidor DNS e ingrese la dirección IP donde se esté ejecutando DNSChef. Por ejemplo, si se ejecuta localmente, ingrese 127.0.0.1.

• OS X - Abra Preferencias del Sistema y haga clic en el ícono Red. Seleccione la interfaz activa y complete el campo Servidor DNS. Si está usando Airport, deberá hacer clic en el botón Avanzado... y editar los servidores DNS desde allí. Alternativamente, puede editar /etc/resolv.conf y agregar un servidor de nombres falso al principio (por ejemplo, "nameserver 127.0.0.1").

• iOS - Abra Ajustes y seleccione General. Luego seleccione Wi-Fi y haga clic en la flecha azul a la derecha de un punto de acceso activo de la lista. Edite la entrada DNS para que apunte al host donde se está ejecutando DNSChef. Asegúrese de haber desactivado la interfaz Celular (si está disponible).

• Android - Abra Ajustes y seleccione Redes inalámbricas y redes. Haga clic en Ajustes de Wi-Fi y seleccione Avanzado después de presionar el botón Opciones en el teléfono. Habilite la casilla Usar IP estática y configure un servidor DNS personalizado.

Si no tiene la capacidad de modificar manualmente la configuración de DNS del dispositivo, aún tiene varias opciones que involucran técnicas como ARP Spoofing, Rogue DHCP y otros métodos creativos.

Por último, debe configurar un servicio falso al que DNSChef redirigirá todas las solicitudes. Por ejemplo, si intenta interceptar tráfico web, debe iniciar un servidor web separado que se ejecute en el puerto 80 o configurar un proxy web (por ejemplo, Burp) para interceptar el tráfico. DNSChef apuntará las consultas a su host proxy/servidor con servicios correctamente configurados.

Ejecución de DNSChef

DNSChef es una aplicación multiplataforma desarrollada en Python que debería ejecutarse en la mayoría de las plataformas que tengan un intérprete de Python. Puede usar el ejecutable dnschef.exe proporcionado para ejecutarlo en hosts Windows sin instalar un intérprete de Python. Esta guía se centrará en entornos Unix; sin embargo, todos los ejemplos siguientes también se han probado y funcionan en Windows.

Probemos DNSChef con su funcionalidad de monitoreo más básica. Ejecute el siguiente comando como root (necesario para iniciar un servidor en el puerto 53):

Sin parámetros, DNSChef se ejecutará en modo proxy completo. Esto significa que todas las solicitudes simplemente se reenviarán a un servidor DNS ascendente (8.8.8.8 por defecto) y se devolverán al host solicitante. Por ejemplo, consultemos un registro "A" para un dominio y observemos los resultados:

DNSChef imprimirá la siguiente línea de registro que muestra la hora, la dirección IP de origen, el tipo de registro solicitado y, lo más importante, qué nombre se consultó:

Este modo es útil para la monitorización simple de aplicaciones cuando necesita saber qué dominios utiliza para sus comunicaciones.

DNSChef tiene soporte completo para IPv6, que se puede activar usando los indicadores -6 o --ipv6. Funciona exactamente igual que el modo IPv4, con la excepción de que la interfaz de escucha predeterminada cambia a ::1 y el servidor DNS predeterminado cambia a 2001:4860:4860::8888. Aquí hay un ejemplo de salida:

NOTA: Por defecto, DNSChef crea un listener UDP. Puede usar TCP en su lugar con el argumento --tcp que se tratará más adelante.

Interceptar todas las respuestas

Ahora que sabe cómo iniciar DNSChef, configurémoslo para falsificar todas las respuestas apuntando a 127.0.0.1 usando el parámetro --fakeip:

En la salida anterior, puede ver que DNSChef fue configurado para proxy de todas las solicitudes a 127.0.0.1. La primera línea de registro a las 08:11:23 muestra que hemos "cocinado" la respuesta del registro "A" para que apunte a 127.0.0.1. Sin embargo, las solicitudes posteriores para los registros 'AAAA' y 'MX' simplemente se hacen proxy desde un servidor DNS real. Veamos la salida del programa solicitante:

Como puede ver, el programa fue engañado para usar 127.0.0.1 para la dirección IPv4. Sin embargo, la información obtenida de los registros IPv6 (AAAA) y de correo (MX) parece completamente legítima. El objetivo de DNSChef es tener el menor impacto posible en el funcionamiento correcto del programa, por lo que si una aplicación depende de un servidor de correo específico, obtendrá uno correctamente a través de esta solicitud proxy.

Falsifiquemos una solicitud más para ilustrar cómo apuntar a múltiples registros al mismo tiempo:

Además del indicador --fakeip, he especificado ahora --fakeipv6 diseñado para falsificar consultas de registro 'AAAA'. Aquí está la salida actualizada del programa:

Una vez más, todos los registros no sobrescritos explícitamente por la aplicación fueron proxy y devueltos desde el servidor DNS real. Sin embargo, tanto IPv4 (A) como IPv6 (AAAA) fueron falsificados para apuntar a una máquina local.

DNSChef es compatible con múltiples tipos de registros:

NOTA: Por usabilidad, no todos los tipos de registros DNS están expuestos en la línea de comandos. Se pueden especificar registros adicionales como PTR, TXT, SOA, etc. usando el indicador --file y un encabezado de registro apropiado. Consulte la sección archivo de definiciones externas a continuación para obtener más detalles.

Por último, observemos cómo la aplicación maneja las consultas de tipo ANY:

Las consultas de registro ANY de DNS resultan en que DNSChef devuelva todos los registros falsos que conoce para un dominio aplicable. Aquí está la salida que verá el programa:

Filtrado de dominios

Usando el ejemplo anterior, considere que solo desea interceptar solicitudes para thesprawl.org y dejar las consultas a todos los demás dominios como webfaction.com sin modificación. Puede usar el parámetro --fakedomains como se ilustra a continuación:

En el ejemplo anterior, la solicitud para thesprawl.org fue falsificada; sin embargo, la solicitud para mx9.webfaction.com se dejó intacta. Filtrar dominios es muy útil cuando intenta aislar una sola aplicación sin afectar al resto.

NOTA: DNSChef no verificará si el dominio existe o no antes de falsificar la respuesta. Si ha especificado un dominio, siempre se resolverá a un valor falso, exista o no realmente.

Filtrado inverso

En otra situación, puede necesitar falsificar respuestas para todas las solicitudes excepto una lista definida de dominios. Puede lograr esta tarea usando el parámetro --truedomains de la siguiente manera:

Hay varias cosas sucediendo en el ejemplo anterior. Primero, note el uso de un comodín (*). Todos los dominios que coincidan con *.webfaction.com serán emparejados inversamente y resueltos a sus valores reales. La solicitud para 'google.com' devolvió 127.0.0.1 porque no estaba en la lista de dominios excluidos.

NOTA: Los comodines son específicos de posición. Una máscara de tipo *.thesprawl.org coincidirá con www.thesprawl.org pero no con www.test.thesprawl.org. Sin embargo, una máscara de tipo ..thesprawl.org coincidirá con thesprawl.org, www.thesprawl.org y www.test.thesprawl.org.

Archivo de definiciones externas

Puede haber situaciones en las que definir un único registro DNS falso para todos los dominios coincidentes no sea suficiente. Puede usar un archivo externo con una colección de pares DOMINIO=REGISTRO que definan exactamente dónde desea que vaya la solicitud.

Por ejemplo, creemos el siguiente archivo de definiciones y llamémoslo dnschef.ini:

Observe el encabezado de sección [A], define el tipo de registro para DNSChef. Ahora observemos cuidadosamente la salida de múltiples consultas:

Tanto google.com como www.google.com coincidieron con la entrada *.google.com y se resolvieron correctamente a 192.0.2.1. Por otro lado, la solicitud de www.thesprawl.org simplemente se hizo proxy en lugar de modificarse. Por último, todas las variaciones de wordpress.com, www.wordpress.org, etc. coincidieron con la máscara *.wordpress.* y se resolvieron correctamente a 192.0.2.3. Finalmente, una consulta no definida de slashdot.org simplemente se hizo proxy con una respuesta real.

Puede especificar encabezados de sección para todos los demás tipos de registros DNS compatibles, incluidos aquellos no expuestos explícitamente en la línea de comandos: [A], [AAAA], [MX], [NS], [CNAME], [PTR], [NAPTR] y [SOA]. Por ejemplo, definamos una nueva sección [PTR] en el archivo 'dnschef.ini':

Observemos el comportamiento de DNSChef con este nuevo tipo de registro:

Y aquí está lo que un cliente podría ver al realizar consultas DNS inversas:

Algunos registros requieren un formato exacto. Buenos ejemplos son SOA y NAPTR:

Consulte el archivo dnschef.ini de muestra para más ejemplos.

Filtrado avanzado

Puede combinar entradas de un archivo y de la línea de comandos. Por ejemplo, el siguiente comando utiliza ambos parámetros --file y --fakedomains:

Observe que la definición para thesprawl.org en el parámetro de línea de comandos tuvo prioridad sobre dnschef.ini. Esto puede ser útil si desea sobrescribir valores en el archivo de configuración. slashdot.org aún se resuelve a la dirección IP falsa porque fue especificado en el parámetro --fakedomains. La solicitud de tor.com simplemente se hace proxy ya que no fue especificada ni en la línea de comandos ni en el archivo de configuración.

Otras configuraciones =====================Por razones de seguridad, DNSChef escucha por defecto en la interfaz local 127.0.0.1 (o ::1 para IPv6). Puede hacer que DNSChef escuche en otra interfaz usando el parámetro --interface:

o para IPv6:

Por defecto, DNSChef utiliza el servidor DNS público de Google para hacer solicitudes proxy. Sin embargo, puede definir una lista personalizada de servidores de nombres usando el parámetro --nameservers:

Es posible especificar un puerto de servidor de nombres no estándar usando la notación IP#PUERTO:

Al mismo tiempo, es posible iniciar el propio DNSChef en un puerto alternativo usando el parámetro -p puerto#:

El protocolo DNS puede usarse sobre UDP (por defecto) o TCP. DNSChef implementa un modo TCP que puede activarse con la bandera --tcp.

Arquitectura interna

Aquí hay información sobre los detalles internos por si necesita adaptar la herramienta a sus necesidades. DNSChef está construido sobre el módulo SocketServer y utiliza hilos para ayudar a procesar múltiples solicitudes simultáneamente. La herramienta está diseñada para escuchar en puertos TCP o UDP (por defecto el puerto 53) para recibir solicitudes entrantes y reenviarlas cuando sea necesario a un servidor DNS real a través de UDP.

La excelente librería dnslib se utiliza para desglosar y reensamblar paquetes DNS. Es particularmente útil al generar paquetes de respuesta basados en consultas.

DNSChef es capaz de modificar consultas para registros de tipo "A", "AAAA", "MX", "CNAME", "NS", "TXT", "PTR", "NAPTR", "SOA", "ANY". Es muy fácil expandir o modificar el comportamiento para cualquier registro. Simplemente agregue otra entrada if qtype == "TIPO DE REGISTRO") e indique qué responder.

¡Disfrute la herramienta y envíe todas las solicitudes y comentarios a iphelix [at] thesprawl.org.

¡Feliz hacking! -Peter