iphelix/dnschefDNSChef - Proxy DNS pour testeurs de pénétration et analystes de malwares
| | version 0.4 | | / _|
| | __ ___ | | __| |
/ ` | ' / |/ | ' \ / _ \ |
| (| | | | _ \ (| | | | __/ |
_,|| ||/_|| ||___||
D O C U M E N T A T I O N
DNSChef est un proxy DNS hautement configurable destiné aux testeurs d'intrusion et aux analystes de logiciels malveillants. Un proxy DNS (aussi appelé « Fake DNS ») est un outil utilisé pour l'analyse du trafic réseau d'une application, entre autres usages. Par exemple, un proxy DNS peut être utilisé pour falsifier les requêtes vers « badguy.com » afin qu'elles pointent vers une machine locale pour terminaison ou interception au lieu d'un hôte réel quelque part sur Internet.
Il existe plusieurs proxys DNS. La plupart se contentent de rediriger toutes les requêtes DNS vers une seule adresse IP ou implémentent un filtrage rudimentaire. DNSChef a été développé dans le cadre d'un test d'intrusion où un système plus configurable était nécessaire. En conséquence, DNSChef est une application multiplateforme capable de falsifier les réponses en se basant sur des listes de domaines inclusives et exclusives, prenant en charge plusieurs types d'enregistrements DNS, la correspondance de domaines avec des jokers, le proxy des réponses réelles pour les domaines non correspondants, la définition de fichiers de configuration externes, l'IPv6 et de nombreuses autres fonctionnalités. Vous trouverez ci-dessous une explication détaillée de chacune des fonctionnalités et des utilisations suggérées.
L'utilisation d'un proxy DNS est recommandée dans les situations où il n'est pas possible de forcer une application à utiliser directement un autre serveur proxy. Par exemple, certaines applications mobiles ignorent totalement les paramètres de proxy HTTP du système d'exploitation. Dans ces cas, l'utilisation d'un serveur proxy DNS tel que DNSChef vous permettra de tromper cette application afin qu'elle redirige les connexions vers la destination souhaitée.
Avant de pouvoir commencer à utiliser DNSChef, vous devez configurer votre machine pour qu'elle utilise un serveur de noms DNS avec l'outil en cours d'exécution. Vous avez plusieurs options selon le système d'exploitation que vous allez utiliser :
Linux - Modifiez /etc/resolv.conf pour inclure une ligne tout en haut avec votre hôte d'analyse du trafic (par exemple, ajoutez « nameserver 127.0.0.1 » si vous exécutez localement). Alternativement, vous pouvez ajouter une adresse de serveur DNS à l'aide d'outils tels que Network Manager. Dans Network Manager, ouvrez les paramètres IPv4, sélectionnez Adresses automatiques (DHCP) uniquement ou Manuel dans la liste déroulante Méthode et modifiez la zone de texte Serveurs DNS pour inclure une adresse IP avec DNSChef en cours d'exécution.
Windows - Sélectionnez Connexions réseau dans le Panneau de configuration. Sélectionnez ensuite l'une des connexions (par exemple, « Connexion au réseau local »), faites un clic droit dessus et sélectionnez Propriétés. Dans la boîte de dialogue qui apparaît, sélectionnez Protocole Internet (TCP/IP) et cliquez sur Propriétés. Enfin, sélectionnez la case d'option Utiliser l'adresse de serveur DNS suivante et saisissez l'adresse IP avec DNSChef en cours d'exécution. Par exemple, si vous exécutez localement, saisissez 127.0.0.1.
OS X - Ouvrez Préférences Système et cliquez sur l'icône Réseau. Sélectionnez l'interface active et remplissez le champ Serveur DNS. Si vous utilisez Airport, vous devrez cliquer sur le bouton Avancé... et modifier les serveurs DNS à partir de là. Alternativement, vous pouvez modifier /etc/resolv.conf et ajouter un faux serveur de noms tout en haut (par exemple « nameserver 127.0.0.1 »).
iOS - Ouvrez Réglages et sélectionnez Général. Sélectionnez ensuite Wi-Fi et cliquez sur la flèche bleue à droite d'un point d'accès actif dans la liste. Modifiez l'entrée DNS pour pointer vers l'hôte sur lequel DNSChef est exécuté. Assurez-vous d'avoir désactivé l'interface cellulaire (si disponible).
Android - Ouvrez Paramètres et sélectionnez Réseau et Internet (ou Sans fil et réseaux selon la version). Cliquez sur Paramètres Wi-Fi et sélectionnez Avancé après avoir appuyé sur le bouton Options du téléphone. Activez la case à cocher Utiliser une adresse IP statique et configurez un serveur DNS personnalisé.
Si vous n'avez pas la possibilité de modifier manuellement les paramètres DNS de l'appareil, vous avez encore plusieurs options impliquant des techniques telles que l'usurpation ARP, le DHCP malveillant et d'autres méthodes créatives.
Enfin, vous devez configurer un service factice vers lequel DNSChef pointera toutes les requêtes. Par exemple, si vous essayez d'intercepter le trafic Web, vous devez démarrer soit un serveur Web séparé sur le port 80, soit configurer un proxy Web (par exemple Burp) pour intercepter le trafic. DNSChef pointera les requêtes vers votre hôte proxy/serveur avec des services correctement configurés.
DNSChef est une application multiplateforme développée en Python qui devrait fonctionner sur la plupart des plates-formes disposant d'un interpréteur Python. Vous pouvez utiliser l'exécutable dnschef.exe fourni pour l'exécuter sur des hôtes Windows sans installer d'interpréteur Python. Ce guide se concentre sur les environnements Unix ; cependant, tous les exemples ci-dessous ont été testés et fonctionnent également sous Windows.
Goûtons un peu à DNSChef avec sa fonctionnalité de surveillance la plus basique. Exécutez la commande suivante en tant que root (nécessaire pour démarrer un serveur sur le port 53) :
# ./dnschef.py
_ _ __
| | version 0.2 | | / _|
__| |_ __ ___ ___| |__ ___| |_
/ _` | '_ \/ __|/ __| '_ \ / _ \ _|
| (_| | | | \__ \ (__| | | | __/ |
\__,_|_| |_|___/\___|_| |_|\___|_|
[email protected]
[*] DNSChef started on interface: 127.0.0.1
[*] Using the following nameservers: 8.8.8.8
[*] No parameters were specified. Running in full proxy mode
Sans aucun paramètre, DNSChef s'exécute en mode proxy complet. Cela signifie que toutes les requêtes sont simplement transférées à un serveur DNS en amont (8.8.8.8 par défaut) et renvoyées à l'hôte demandeur. Par exemple, interrogeons un enregistrement « A » pour un domaine et observons les résultats :
$ host -t A thesprawl.org
thesprawl.org has address 108.59.3.64
DNSChef affichera la ligne de journal suivante indiquant l'heure, l'adresse IP source, le type d'enregistrement demandé et, surtout, le nom interrogé :
[23:54:03] 127.0.0.1: proxying the response of type 'A' for thesprawl.org
Ce mode est utile pour la surveillance simple d'une application lorsque vous devez déterminer les domaines qu'elle utilise pour ses communications.
DNSChef prend intégralement en charge IPv6, qui peut être activé à l'aide des options -6 ou --ipv6. Il fonctionne exactement comme le mode IPv4, à l'exception que l'interface d'écoute par défaut est remplacée par ::1 et le serveur DNS par défaut par 2001:4860:4860::8888. Voici un exemple de sortie :
# ./dnschef.py -6
_ _ __
| | version 0.2 | | / _|
__| |_ __ ___ ___| |__ ___| |_
/ _` | '_ \/ __|/ __| '_ \ / _ \ _|
| (_| | | | \__ \ (__| | | | __/ |
\__,_|_| |_|___/\___|_| |_|\___|_|
[email protected]