mcpField
H
hunting-for-dns-based-persistence

hunting-for-dns-based-persistence

github.com/mukul975安全35.2k61 次安装8 周前更新
代码仓库

关于 hunting-for-dns-based-persistence

用于排查基于 DNS 的持久化的安全技能，关注记录变更、未授权子域名、通配符记录和委派修改。它结合被动 DNS 历史、服务商审计日志与区域分析识别异常，并生成 JSON 调查报告。

主要功能

  1. 01建立 DNS 记录基线
  2. 02查询被动 DNS 历史
  3. 03检测记录及委派异常
  4. 04结合威胁情报分析
  5. 05报告风险级别和修复建议

适用场景

  1. 01调查事件后的 DNS 持久化
  2. 02发现悬空 CNAME 和未授权子域名
  3. 03验证 DNS 记录变更监控

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-dns-based-persistence

安装后在 Claude Code 中输入/hunting-for-dns-based-persistence确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

追踪基于 DNS 的持久化

概述

攻击者通过劫持 DNS 记录、创建未授权子域名、滥用泛解析 DNS 条目，或修改 NS 委派将流量重定向至攻击者控制的基础设施，从而建立基于 DNS 的持久化。这些技术能够经受凭证轮换、端点重装和传统修复措施的考验，因为 DNS 变更独立于受感染主机而持续存在。检测需要被动 DNS 历史分析、区域文件审计，以及监控未授权的记录修改。本技能涵盖使用 SecurityTrails 被动 DNS API、来自 Route53/Azure DNS/Cloudflare 的 DNS 审计日志，以及区域传送分析的追踪方法。

何时使用

  • 在调查需要追踪基于 DNS 的持久化的安全事件时
  • 在为该领域构建检测规则或威胁追踪查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • SecurityTrails API 密钥（免费套餐提供每月 50 次查询）
  • 对 DNS 提供商审计日志的访问权限（Route53、Azure DNS、Cloudflare 或本地 DNS）
  • Python 3.9+ 及 requests 库
  • DNS 区域文件访问权限或内部区域的 AXFR 能力
  • 用于对比的历史 DNS 基线

步骤

步骤 1：建立 DNS 记录基线

导出当前 DNS 区域记录，并为所有授权的 A、AAAA、CNAME、MX、NS 和 TXT 记录建立基线。

步骤 2：查询被动 DNS 历史

使用 SecurityTrails API 检索历史 DNS 记录，识别未授权的变更、新增子域名，以及指向已下线服务的 CNAME 记录（悬空 CNAME）。

步骤 3：检测异常

将当前记录与基线对比，识别未授权的修改、解析所有子域名的泛解析记录、NS 委派变更，以及 MX 记录劫持。

步骤 4：调查发现

将 DNS 异常与威胁情报源关联，检查解析目标是否指向已知恶意基础设施，并验证记录所有权。

预期输出

JSON 报告，列出 DNS 异常，包含记录类型、历史变更、风险严重程度，以及每项发现的修复建议。

评论

支持 Markdown