文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

利用Python实现DGA域名检测

利用永恒之蓝进行勒索事件中黑客预留的域名是DGA域名，在某些条件下探测该DGA域名是否可以正常解析，若解析成功则不进行加密，若解析成功则不加密。...DGA一般都是通过硬编码写入到程序中，在没有能力对其逆向的情况下，我们可以分析网络流量来分析DNS请求的DGA域名。这样就需要了解哪些域名是DGA域名，这里面有多种方法与思路： 1....DGA域名有个特征，很多DGA并没有注册，黑客前期会生成大量的DGA域名，但是在某些情况下，如传输数据与命令或抑制事件时，会选择性的注册少量域名，这样的话可以对DNS解析不成功的域名进行记录，并将这些域名进行进行...，若其没有注册，且域名很随机可以判断为疑似DGA域名。...这个思路是这样：通过监测网络流量(有条件的同学可以在大网环境下测试下)，分析DNS的请求，一旦请求的DNS和DGA库中的匹配，输出相应的IP、端口，当然后期也可以做相应的统计与告警。

3.4K60

DGA域名的今生前世：缘起、检测、与发展

图1 DGA域名工作原理 2DGA域名分类 DGA算法由两部分构成，种子（算法输入）和算法，可以根据种子和算法对DGA域名进行分类，DGA域名可以表示为AGD（Algorithmically-Generated...3DGA域名存活时间 Plohmann Daniel等人[3]对43个恶意软件家族做逆向分析，实现了DGA算法并对超过1亿个DGA域名做分析，结合WHOIS信息，统计出了不同DGA家族域名存活时间的分布...DGA域名, 由于DGA域名的请求过程中会产生大量NXDomain，[11]对NXDomain进行分类，有效识别DGA域名。...我们构建了本地白名单列表，二级域名如果能匹配上该列表则过滤该域名，过滤后剩余545万域名。 顶级域名合法。数据中存在大量顶级域名不存在的DNS请求，这些域名不是DGA域名，过滤后剩余463万域名。...随着加密DNS的进一步部署，预计将来有更多DGA域名通过加密DNS协议进行传输，针对使用DGA域名botnet的检测将会更加困难，文章[7]利用pydig工具对DGA域名和正常域名发送请求，产生加密流量

7.3K30
您找到你想要的搜索结果了吗？
是的
没有找到

DGA域名检测的数据分析与深度学习分类

本文将针对DGA域名的检测，开展以下几个方面的内容： 1）针对开源DGA域名与正常域名进行初步的数据分析，查看正常域名与DGA域名的不同及其各自的数据分布； 2）尝试利用自然语言处理的方式对DGA域名进行可视化...对于DGA与正常域名，可以发现他们两者的几点不同：1）DGA的长度分布区间要比正常域名小，DGA长度分布区间为2-44，而正常域名的长度分布为1-63；2）DGA与正常域名的长度分布明显不同，DGA域名长度分布没有明显的分布规律...图3.7 DGA域名字符分布 对于DGA域名字符与正常域名字符分布，两者有一定的差别，比如正常域名在某些字符上，取值的概率比较小；DGA域名使用数字的概率比正常域名更高。...五、深度学习分类 在DGA域名检测过程中，包含两个方面：1）如何判定某个域名是否是DGA域名；2）如何判定该DGA属于哪个家族。本节将分别从这两个方面对实验内容进行阐述。...5.1 判断某个域名是否是DGA域名 DGA域名检测过程中的第一个目标是判断该域名是否是DGA域名；在该部分实验中，将直接使用全部数据来进行实验：正常域名、DGA域名，其中域名的数量见表2-1。

4.4K40

第65篇：探索顶级APT后门Sunburst的设计思路（修正篇）Solarwinds供应链攻击中篇

Part4 后门DGA域名通信阶段 dga域名通信阶段前置知识 1 dga域名通信阶段概述 在以上环境检测都通过之后，Sunburst后门会进入使用dga域名的DNS通信阶段。...2 唯一标识符userid 部分受害者计算机基础信息过大（比如说计算机域名过长），需要发送多次DGA域名请求才能完整地把计算机域名信息传输完毕。...为了能够区分不同计算机的dga域名请求，把来自于同一计算机的dga域名的分段信息解密后组合到一起，Sunburst对于每台计算机都会计算一个唯一的标识符userid。...后门的dga域名通信阶段 1 第1阶段DGA域名通信 在这个阶段，Sunburst主要任务是把受害者计算机域名，经过几层加密放在DGA域名中，然后回传给C2。...为了对抗IOCs检测，Sunburst后门作者设计了巧妙的dga域名生成算法和URL路径随机生成算法，而且两个dga域名请求间隔时间可能长达一整天，攻击过程非常隐蔽。 3.

40220

第66篇：顶级APT后门Sunburst通信流量全过程复盘分析(修正篇)

当C2服务端攻击者将dga域名解析成图中蓝色部分的IP地址时，说明C2服务端的攻击者还未决定目标是否是有价值的目标，是否要进一步渗透，所以需要Sunburst后门会继续发起dga域名请求，以便接收攻击者发送下一步指令...第2步 延迟一分钟之后，Sunburst后门发起第2个请求，通过dga域名的加密部分告诉C2服务端，目标机器有Carbon Black终端安全防护软件存在。...C2服务端将dga域名解析为8.18.145.62，Sunburst后门解析ip地址的最后8字节，得知需要延迟1天之后再次发起dga域名请求。...第3步 延迟1天之后，Sunburst通过ping如下dga域名，向C2请求指令，C2将域名解析为8.18.144.150，Sunburst需要继续等待1天，然后发起dga域名请求。...通过这个案例发现，Sunburst后门在规避流量检测方面下足了功夫，首先它在4天的时间内，仅仅发起了5个dga域名的DNS请求，而且域名appsync-api.eu-west-1.avsvmcloud.com

32620

详解全球联合执法摧毁的 Grandoreiro 僵尸网络

自从 2020 年 10 月以来，该恶意软件一直使用 DGA 算法每天生成一个主域名，以及几个备用的域名。除了当天日期外，DGA 算法还支持静态配置。...C&C 地址统计信息 不同配置的 DGA 算法生成的域名都解析到了相同的 IP 地址，这意味着不同的 Grandoreiro 样本文件入侵的受害者都会回连到相同的 C&C 服务器。...如前所述，Grandoreiro 使用 No-IP 进行域名注册。base64_alpha 字段对应于 DGA 使用的自定义 base64 字母表。...DGA 算法逻辑如下所示，最终输出结果是子域名，该子域名与 base_domain 拼接起来用作当天的 C&C 服务器。...密钥用于加密发送到服务器的初始请求。因此，服务器还需要知道密钥，以便解密初始客户端请求。 密钥长度决定了在握手期间建立的用于加密流量的密钥的长度。使用自定义流密码对流量进行加密。

15210

Flightsim：看我如何生成并分析恶意网络流量

工具可以通过执行测试任务来模拟DNS隧道、DGA流量、向已知活动C2服务器发送请求以及其他的可疑网络行为。...Starting09:30:28 dga Generating list of DGA domains09:30:30 dga Resolving rdumomx.xyz09...工具模块介绍 下面给出的是该工具自带的模块包： 模块名 模块描述 c2-dns 生成当前的C2目的地址列表，分别执行DNS请求 c2-ip 随机连接10个当前列表中的C2 IP地址:端口，模拟攻击会话...dga 使用随机标签和顶级域名模拟DGA流量 hijack 通过ns1.sandbox.alphasoc.xyz测试DNS劫持 scan 使用常见端口对10个随机RFC 1918地址进行端口扫描 sink...对10个安全提供商的随机地址进行安全测试 spambot 随机解析并连接互联网SMTP服务器，测试欺诈端口 tunnel 生成DNS隧道请求并发送至*.sandbox.alphasoc.xyz 项目地址

1.2K20

数字化治理方阵（DGA）正式成立

在此背景下，中国信通院云大所牵头成立“数字化治理方阵（DGA）”，将围绕企业数字化运营，新架构、新技术、新模式、新业务、新生态治理，以及治理数字化等关键领域展开主题交流、资源共享、产业发展及平台搭建等工作...为进一步凝聚共识、增强行业影响力，现于今日在2022 首届XOps产业生态峰会上正式举行数字化治理方阵（DGA）成立仪式。...数字化治理方阵（DGA）成立仪式 方阵自启动成员单位招募以来，受到企事业单位广泛关注，截至大会前夕，共有29家单位完成申请工作，成为数字化治理方阵首批成员单位。...为进一步凝聚共识、增强行业影响力，现于今日在2022 首届XOps产业生态峰会上正式举行数字化治理方阵（DGA）成立仪式。...数字化治理方阵（DGA）成立仪式 方阵自启动成员单位招募以来，受到企事业单位广泛关注，截至大会前夕，共有29家单位完成申请工作，成为数字化治理方阵首批成员单位。

84220

Hacker基础之工具篇 Automater

今天我们来介绍一个Kali中的工具Automater 这个工具在Information Gathering下面 Automater这个工具是一个URL/域名，IP地址和MD5哈希OSINT工具 旨在使渗透测试人员更轻松地进行分析目标网址...当然也可以看到一些检测的恶意apk历史记录，等等，当然我这里只是用做演示 我们也可以看到用DGA生成的恶意域名（就是下面那个很长一串那个） DGA（域名生成算法）是一种利用随机字符来生成C&C域名，从而逃避域名黑名单检测的技术手段...例如，一个由Cryptolocker创建的DGA生成域xeogrhxquuubt.com，如果我们的进程尝试其它建立连接，那么我们的机器就可能感染Cryptolocker勒索病毒。...域名黑名单通常用于检测和阻断这些域的连接，但对于不断更新的DGA算法并不奏效 ? 还会包括一些我们做渗透测试时候的用IP查域名等等操作 ? 这个工具对于前期的信息收集还是蛮大作用的 ?...这个工具我感觉在做恶意代码分析的时候会用到很多，因为一个恶意代码会去请求一个IP或者URL，我们就不用自己去查东查西的，直接用这个工具就可以了

96320

域名注册域名解析域名绑定 dns服务器解析 域名记录的添加 记录类型含义@ www 访问域名请求过程

1.2域名解析 注册好了域名,只是代表你花了钱,这个域名是你的,他并没有做任何事情,他也不能做任何事情 所以还必须解析到你的虚拟主机上,更明确一点,就是虚拟主机的ip 域名供应商一般都会提供dns解析服务器...记录：如果将域名指向一个域名，实现与被指向域名相同的访问效果，需要增加CNAME记录MX记录：建立电子邮箱服务，将指向邮件服务器地址，需要设置MX记录NS记录：域名解析服务器记录，如果要将子域名指定某个域名服务器来解析...简单说一下一个http请求的过程,也就是从我们浏览器输入地址敲下回车之后 浏览器输入域名敲下回车之后 一般我们都是http请求,具体的自行百度 http协议是一种通讯的规范 输入这样一个请求,需要建立socket...可以理解为你搞掉你们村的村长,像上告,找到镇里,镇里不行市里......一直找到能搞定它的 这样就得到了ip,http请求默认的是80端口,如果不是的话,在请求的时候就需要协商,比如  example.com...:8080 这样子有了ip和端口就可以建立socket连接了 然后就是向服务器发送请求了 服务器根据请求找到绑定的路径文件等这样子就完成了域名到页面的访问了 好像明白点什么了吧!

56.7K40

【虹科技术分享】ntopng是如何进行攻击者和受害者检测

例如： 在对可疑的DGA域名的DNS请求中，客户端被认为是 "攻击者"，因为它是这种潜在的恶意请求的发起者。...通过打开 "状态 "下拉菜单，很明显有一些可疑的活动，如几个可疑的DGA域名请求和2000多个可疑的文件传输。   但是，这个页面不足以了解是否有攻击正在进行，以及谁是麻烦的来源。...事实上，可疑的DGA域警报开始跳出。“骷髅头”符号有助于识别 "攻击者"，在这种情况下，就是被Hancitor感染的Windows客户端主机。...这些是下载Ficker Stealer和Cobal Strike的请求。   你可以在 "主机地图 "中识别攻击者/受害者（左边栏菜单 "地图"->"主机"）。

79430

浏览器同域名请求的最大并发数限制

当客户端有一个新请求时，就会唤醒线程池中的某一个睡眠线程，让它来处理客户端的这个请求，当处理完这个请求后，线程又处于睡眠状态。...），于是通常的优化网站加载速度的方法是采用多个域名增加浏览器对同一网页的请求并发连接数。...1.京东（www.jd.com） 京东图片域名一直是老域名360buyimg.com。...解决方案： 1.给定一组域名，如：img1.baidu.com、img2.baidu.com、img3.baidu.com、img4.baidu.com... ... 2.这组域名指向同一个源，或者说最终源是一个...3.上传图片（静态文件）的时候随机返回这组域名中的其中一个即可，这样图片的访问域名就不会出现只是一个域名了。

13K30

nginx反向代理https域名时，请求报错502问题排查

，Nginx 渲染模版已支持 HTTPS，尝试略过 upstream 配置，直接在 conf 文件中渲染 https://域名，请求仍然失败 3、然后换个思路，修改成内网ip不走域名，发现是正常，那换个域名试试...；但使用了nginx反向代理，在请求时DNS域名进行解析，真正请求出去的为IP与端口，但对方系统是多个域名对应一个公网ip，这个一个公网IP下映射到了多个项目和服务，通过nginx的server_name...所以能成功请求方式有两种： 1、直接域名请求; 2、IP端口请求，但请求时需添加host； 即在nginx配置项中增加 proxy_ssl_server_name on; 或者设置请求头 proxy_ssl_server_name...on; proxy_ssl_name 域名; proxy_set_header Host 域名; （当你的nginx服务器作为反向代理，将client的请求转发到一个SSL服务器时，需要在HTTP请求头中包含...小知识：1.多个域名访问不同系统，使用同一个公网IP的情况；可以多个域名配置同一个公网IP和端口，映射到不同服务的nginx代理上，通过nginx配置server_name识别源域名，判定访问来源，进行请求处理

2.9K60

域名系统工作原理

网站上线前需要对网站进行渗透测试，上一节我们Sine安全讲师讲了web的基础知识了解,明白了具体web运行的基础和环境和协议,这一节我们来讨论下域名和DNS工作原理以及http状态码和请求的协议来分析检测中的重点域名收集...递归服务器 递归服务器负责接收用户的查询请求，进行递归查询并响应用户查询请求。在初始时递归服务器仅有记录了根域名的Hint文件。 1.3.5....DGA DGA（Domain Generate Algorithm，域名生成算法）是一种利用随机字符来生成C&C域名，从而逃避域名黑名单检测的技术手段，常见于botnet中。 1.3.6....，会把保存在该请求域名下的所有cookie值一起发送给web服务器 Cookie: role=admin;ssid=1 Content-Length 请求的内容长度 Content-Length: 348...Host 指定请求的服务器的域名和端口号 Host: www.xxxxx.com If-Match 只有请求内容与实体相匹配才有效 If-Match: “737060cd8c284d8af7ad3082f209582d

3K20
点击加载更多

扫码

添加站长 进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

更多标签

活动推荐

    运营活动

    活动名称
    广告关闭

    腾讯云开发者

    扫码关注腾讯云开发者

    扫码关注腾讯云开发者

    领取腾讯云代金券

    热门产品

    热门推荐

    更多推荐

    Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

    深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

    腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

    领券