byt3bl33d3r/dnschef-ngDNSChef (NG) - Proxy DNS per Penetration Tester e Analisti Malware
[!NOTE] Questa è una versione aggiornata di DNSChef originariamente scritto da @iphelix``` _ _ __
| | v0.7 | | / |
| | __ ___ | | | | ______ _ __ __ _ /| '_ \/ __|/ __| '_ \ / _ \ _|______| '_ \ / _| | (| | | | _ \ (__| | | | __/ | | | | | (| | _,|| ||/_|| ||___|| || ||_, | / | |_/ D O C U M E N T A T I O N
DNSChef è un proxy DNS altamente configurabile per Penetration Tester e Analisti di Malware. Un proxy DNS (noto anche come "Fake DNS") è uno strumento usato per l'analisi del traffico di rete delle applicazioni, tra gli altri usi. Per esempio, un proxy DNS può essere usato per falsificare le richieste per "badguy.com" in modo che puntino a una macchina locale per la terminazione o l'intercettazione, invece che a un host reale da qualche parte su Internet.
Esistono diversi proxy DNS in circolazione. La maggior parte si limita a far puntare tutte le query DNS a un singolo indirizzo IP oppure implementa un filtraggio rudimentale. DNSChef è stato sviluppato nell'ambito di un penetration test in cui serviva un sistema più configurabile. Di conseguenza, DNSChef è un'applicazione cross-platform in grado di falsificare risposte basate su liste di domini inclusive ed esclusive, supporta molteplici tipi di record DNS, corrispondenze di domini con wildcard, l'inoltro delle risposte reali per i domini non corrispondenti, la definizione di file di configurazione esterni, IPv6 e molte altre funzionalità. Puoi trovare una spiegazione dettagliata di ciascuna funzionalità e degli usi suggeriti qui sotto.
L'uso di un proxy DNS è consigliato nelle situazioni in cui non è possibile forzare un'applicazione a usare direttamente qualche altro server proxy. Per esempio, alcune applicazioni mobili ignorano completamente le impostazioni del proxy HTTP del sistema operativo. In questi casi, l'uso di un server proxy DNS come DNSChef ti permetterà di ingannare quell'applicazione in modo che inoltri le connessioni verso la destinazione desiderata.
## Nuove funzionalità
- Richiede Python 3.11+
- Supporta lo staging di file via DNS (per ora solo su `A`,`AAAA`,`TXT`...)
- Il file di configurazione ora è TOML
- API HTTP opzionale (consente di interrogare i log e aggiornare la configurazione da remoto)
- Completamente asincrono per prestazioni migliori (usa AsyncIO)
- Logging strutturato e una serie di miglioramenti alla qualità della vita (QOL)
- Ora è un pacchetto Python
- Dockerizzato
- Include una serie di PR e correzioni dal repository originale
## Installazione
Per installare l'ultima versione dovresti usare [pipx](https://pypa.github.io/pipx/) (a meno che tu non sia un pezzo di merda a cui piacciono le bistecche al sangue):
pipx install dnschef-ng
Se vuoi l'API HTTP (richiede alcune dipendenze aggiuntive):
pipx install dnschef-ng[api]
Installa l'ultima versione da Git usando pipx:
pipx install git+https://github.com/byt3bl33d3r/dnschef-ng.git
Installa l'ultima versione da Git usando pipx con le dipendenze per l'API HTTP:
pipx install "git+https://github.com/byt3bl33d3r/dnschef-ng.git#egg=dnschef-ng[api]"
## Configurazione di un proxy DNS
Prima di poter iniziare a usare DNSChef, devi configurare la tua macchina per usare un nameserver DNS con lo strumento in esecuzione su di esso. Hai diverse opzioni in base al sistema operativo che utilizzerai:
- **Linux** - Modifica */etc/resolv.conf* per includere una riga in cima con il tuo host di analisi del traffico (ad esempio aggiungi "nameserver 127.0.0.1" se stai eseguendo in locale). In alternativa, puoi aggiungere un indirizzo di server DNS usando strumenti come Network Manager. Dentro Network Manager apri *Impostazioni IPv4*, seleziona *Solo indirizzi automatici (DHCP)* oppure *Manuale* dal menu a discesa *Metodo* e modifica la casella di testo *Server DNS* per includere un indirizzo IP con DNSChef in esecuzione.
- **Windows** - Seleziona *Connessioni di rete* dal *Pannello di controllo*. Quindi seleziona una delle connessioni (ad es. "Connessione alla rete locale"), fai clic con il tasto destro su di essa e scegli Proprietà. Nella finestra di dialogo appena apparsa, seleziona *Protocollo Internet (TCP/IP)* e fai clic su Proprietà. Infine seleziona il pulsante di opzione *Usa i seguenti indirizzi server DNS* e inserisci l'indirizzo IP con DNSChef in esecuzione. Per esempio, se stai eseguendo in locale inserisci 127.0.0.1.
- **OS X** - Apri *Preferenze di Sistema* e fai clic sull'icona *Rete*. Seleziona l'interfaccia attiva e compila il campo *Server DNS*. Se stai usando Airport, dovrai fare clic sul pulsante *Avanzate...* e modificare i server DNS da lì. In alternativa, puoi modificare */etc/resolv.conf* e aggiungere un nameserver fittizio in cima (ad es. "nameserver 127.0.0.1").
- **iOS** - Apri *Impostazioni* e seleziona *Generali*. Quindi seleziona *Wi-Fi* e fai clic sulla freccia blu a destra di un punto di accesso attivo dall'elenco. Modifica la voce DNS in modo che punti all'host con DNSChef in esecuzione. Assicurati di aver disattivato l'interfaccia Cellular (se disponibile).
- **Android** - Apri *Impostazioni* e seleziona *Wireless e reti*. Fai clic su *Impostazioni Wi-Fi* e seleziona *Avanzate* dopo aver premuto il pulsante *Opzioni* sul telefono. Abilita la casella di controllo *Usa IP statico* e configura un server DNS personalizzato.
Se non hai la possibilità di modificare manualmente le impostazioni DNS del dispositivo, hai comunque diverse opzioni che coinvolgono tecniche come [ARP Spoofing](http://en.wikipedia.org/wiki/ARP_spoofing), [Rogue DHCP](http://www.yersinia.net/doc.htm) e altri metodi creativi.
Infine, devi configurare un servizio fittizio a cui DNSChef farà puntare tutte le richieste. Per esempio, se stai cercando di intercettare il traffico web, devi avviare un server web separato in ascolto sulla porta 80 oppure impostare un proxy web (ad es. Burp) per intercettare il traffico. DNSChef farà puntare le query al tuo host proxy/server con servizi configurati correttamente.
## Eseguire DNSChef
DNSChef è un'applicazione cross-platform sviluppata in Python che dovrebbe funzionare sulla maggior parte delle piattaforme dotate di un interprete Python. Questa guida si concentrerà sugli ambienti Unix; tuttavia, tutti gli esempi seguenti sono stati testati e funzionano anche su Windows.
Proviamo DNSChef con la sua funzionalità di monitoraggio più basilare. Esegui il seguente comando come root (necessario per avviare un server sulla porta 53):
# ./dnschef.py
_ _ __
| | version 0.2 | | / _|
__| |_ __ ___ ___| |__ ___| |_
/ _` | '_ \/ __|/ __| '_ \ / _ \ _|
| (_| | | | \__ \ (__| | | | __/ |
\__,_|_| |_|___/\___|_| |_|\___|_|
[email protected]
[*] DNSChef started on interface: 127.0.0.1
[*] Using the following nameservers: 8.8.8.8
[*] No parameters were specified. Running in full proxy mode
Senza alcun parametro, DNSChef viene eseguito in modalità proxy completo. Ciò significa che tutte le richieste verranno semplicemente inoltrate a un server DNS upstream (8.8.8.8 di default) e restituite all'host che ha effettuato la query. Per esempio, interroghiamo un record "A" per un dominio e osserviamo i risultati:
$ host -t A thesprawl.org
thesprawl.org has address 108.59.3.64
DNSChef stamperà la seguente riga di log che mostra l'ora, l'indirizzo IP di origine, il tipo di record richiesto e, cosa più importante, quale nome è stato interrogato:
[23:54:03] 127.0.0.1: proxying the response of type 'A' for thesprawl.org