360技术博客:“DNS隧道”盗号木马分析

显示全部楼层 · 发表于 2014-7-11 20:08:04

vm001 发表于 2014-7-11 17:12
接着作者又会改进，这明显是他要对抗360网络防御啊

这个肯定的，对抗是个回避不了的问题~
但不影响有好思路发出来分享下嘛~~~

显示全部楼层 · 发表于 2014-7-11 20:09:01

轻巧夺命发表于 2014-7-11 17:01
下次人家就吸取教训了，构造63字符以内的数据包.....

没关系~63字节以内的照样能拦截~

显示全部楼层 · 发表于 2014-7-11 21:34:48

prawnliu 发表于 2014-7-11 20:09
没关系~63字节以内的照样能拦截~

嗯，人工拉黑不安全的的DNS服务器。

显示全部楼层 · 发表于 2014-7-11 22:10:51

分析这些东东没有多大意思，360很多病毒都查杀不了的。

显示全部楼层 · 发表于 2014-7-11 22:54:01

轻巧夺命发表于 2014-7-11 21:34
嗯，人工拉黑不安全的的DNS服务器。

出一个拉黑一个在我的概念里属于拦不住~~
我说能拦截~您就放心好了~

显示全部楼层 · 发表于 2014-7-11 23:03:18

prawnliu 发表于 2014-7-11 22:54
出一个拉黑一个在我的概念里属于拦不住~~
我说能拦截~您就放心好了~

你难道是360的人？

以我这个外行来看，只要是灰色文件，任何DNS查询的IP地址仅能为已知的安全DNS服务器IP，这样就好了。

显示全部楼层 · 发表于 2014-7-11 23:16:44

轻巧夺命发表于 2014-7-11 23:03
你难道是360的人？

以我这个外行来看，只要是灰色文件，任何DNS查询的IP地址仅能为已知的安全DNS服务 ...

这样会出现误报

显示全部楼层 · 发表于 2014-7-11 23:20:08

vm001 发表于 2014-7-11 23:16
这样会出现误报

这个确实是的，当然，也可以对于这类灰文件发出的DNS查询，先暂时拦截，然后360自动对这些DNS查询IP进行一次比如www.baidu.com的查询，如果没有任何正常返回信息，就拦截掉吧。
当然，我是个外行。

显示全部楼层 · 发表于 2014-7-12 10:04:28

轻巧夺命发表于 2014-7-11 17:01
下次人家就吸取教训了，构造63字符以内的数据包.....

是啊，我也想到这个问题了。。。

显示全部楼层 · 发表于 2014-7-12 10:06:41

vm001 发表于 2014-7-11 17:12
接着作者又会改进，这明显是他要对抗360网络防御啊

魔道两家，彼此消长，生生不息

[分享] 360技术博客:“DNS隧道”盗号木马分析