mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
34 lines
1.4 KiB
Markdown
34 lines
1.4 KiB
Markdown
# DNSCat pcap аналіз
|
||
|
||
{{#include ../../../banners/hacktricks-training.md}}
|
||
|
||
Якщо у вас є pcap з даними, що **експортуються за допомогою DNSCat** (без використання шифрування), ви можете знайти експортований контент.
|
||
|
||
Вам потрібно лише знати, що **перші 9 байтів** не є реальними даними, а пов'язані з **C\&C комунікацією**:
|
||
```python
|
||
from scapy.all import rdpcap, DNSQR, DNSRR
|
||
import struct
|
||
|
||
f = ""
|
||
last = ""
|
||
for p in rdpcap('ch21.pcap'):
|
||
if p.haslayer(DNSQR) and not p.haslayer(DNSRR):
|
||
|
||
qry = p[DNSQR].qname.replace(".jz-n-bs.local.","").strip().split(".")
|
||
qry = ''.join(_.decode('hex') for _ in qry)[9:]
|
||
if last != qry:
|
||
print(qry)
|
||
f += qry
|
||
last = qry
|
||
|
||
#print(f)
|
||
```
|
||
Для отримання додаткової інформації: [https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap](https://github.com/jrmdev/ctf-writeups/tree/master/bsidessf-2017/dnscap)\
|
||
[https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md](https://github.com/iagox86/dnscat2/blob/master/doc/protocol.md)
|
||
|
||
Є скрипт, який працює з Python3: [https://github.com/josemlwdf/DNScat-Decoder](https://github.com/josemlwdf/DNScat-Decoder)
|
||
```
|
||
python3 dnscat_decoder.py sample.pcap bad_domain
|
||
```
|
||
{{#include ../../../banners/hacktricks-training.md}}
|