DNSCat pcap analise

Reading time: 2 minutes

As jy 'n pcap het met data wat deur DNSCat uitgelek word (sonder om versleuteling te gebruik), kan jy die uitgelekte inhoud vind.

Jy moet net weet dat die eerste 9 bytes nie werklike data is nie, maar verband hou met die C&C kommunikasie:

from scapy.all import rdpcap, DNSQR, DNSRR
import struct

f = ""
last = ""
for p in rdpcap('ch21.pcap'):
if p.haslayer(DNSQR) and not p.haslayer(DNSRR):

qry = p[DNSQR].qname.replace(".jz-n-bs.local.","").strip().split(".")
qry = ''.join(_.decode('hex') for _ in qry)[9:]
if last != qry:
print(qry)
f += qry
last = qry

#print(f)

Vir meer inligting: https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap
https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md

Daar is 'n skrif wat met Python3 werk: https://github.com/josemlwdf/DNScat-Decoder

python3 dnscat_decoder.py sample.pcap bad_domain