Quelltext der Seite DNS-Tunneling

 
== Was ist DNS und was ist DNS-Tunneling? == 

Das Domain Name System (DNS) ist das Protokoll, welches URLs in IP-Adressen auflöst. Da DNS ist weit verbreitet und gilt als vertrauenswürdig, deswegen überwachen Unternehmen ihren DNS-Verkehr meist nicht auf bösartige Aktivitäten. 
Infolgedessen können eine Reihe von DNS-basierten Angriffen gegen Unternehmensnetzwerke effektiv sein, darunter zählt auch das DNS-Tunneling. Das DNS-Tunneling ist eine Methode, mit der Daten über das DNS-Protokoll versendet werden, einem Protokoll, welches nicht für die Datenübertragung vorgesehen ist.

== Anwendungsfälle == 

=== http via DNS === 

Der beliebteste Anwendungsfall für DNS-Tunneling ist der Zugang zu kostenlosem Internet durch Umgehung von gesperrten Portalen an Flughäfen, in Hotels oder übers WLAN im Flugzeug. 

Die Etablierung des DNS-Tunnels erfolgt über entsprechende DNS-Tunneling-Tools. 

An diesen gemeinsam genutzten Internet-Hotspots wird der HTTP-Verkehr blockiert, bis ein Benutzername/Passwort eingegeben wird, aber der DNS-Verkehr ist im Allgemeinen im Hintergrund noch erlaubt. 

Somit kann der HTTP-Verkehr über DNS verschlüsselt werden und somit einen Internetzugang etablieren. 

 
DNS-Tunneling im Angriffszenario 

# das DNS-Protokoll wird zweckentfremdet und genutzt um Malware und andere Daten über die Client-Server-Kommunikation zu tunneln 
# ein Angreifer registriert eine Domain (badsite.com) 
# dieser registrierte DNS-Eintrag (DNS-Record) verweist auf den Server des Angreifers 
# der Opfer-Computer wird mit Malware infiziert 
# etabliert verdeckte Kanäle über DNS, um die Kommunikation zu verbergen oder die von Netzwerkadministratoren festgelegten Richtlinien zu umgehen 
# der infizierte Computer hinter der Firewall darf DNS über die Firewall machen 
# des infizierten Computers macht eine DNS-Anfrage für badsite.com  
# der DNS-Server (DNS-Resolver) leitet Traffic auf Command und Control-Server 
# auf Command und Control-Server ist ein DNS-Tunneling-Programm installiert 
# Aufbau eines DNS-Tunnels über den Resolver zwischen Opfer- und Angreifer 
# DNS-Tunnel kann zur Exfiltration von Daten oder für andere bösartige Zwecke verwendet werden 
# Verbindung erfolgt über DNS-Server (Resolver) -> somit keine direkte Verbindung zwischen Opfer und Angreifer 
  - Erhöht die Schwierigkeit den Rechner des Angreifers zu verfolgen 

 

 

== Wie erfolgt der Datenversand über den DNS-Tunnel? == 
* der Datenversand erfolgt verschlüsselt über den DNS-Requests 
* das geschieht z.B. durch Voranstellen eines Datenteils in der Domain der Anfrage z.B. encodedpieceofdata.badsite.com 
* der DNS-Server ermittelt zu der URL die passende IP-Adresse des Servers 
* die Anfrage encodedpieceofdata.badsite.com wird an den Ziel-Server weitergeleitet 
* der Server verarbeitet die Instruktionen aus dem encodedpieceofdata wie z.B. eine HTTP-Abfrage 
* der Server antwortet per DNS-Request zurück