hunting-for-dns-based-persistence

name	hunting-for-dns-based-persistence
description	使用被动 DNS 数据库、SecurityTrails API 和 DNS 审计日志分析，狩猎 DNS 劫持、悬空 CNAME 记录、通配符 DNS 滥用和未授权区域修改等 DNS 持久化机制。
domain	cybersecurity
subdomain	threat-hunting
tags	["dns","persistence","threat-hunting","passive-dns","dns-hijacking","subdomain-takeover","securitytrails"]
version	1.0
author	mahipal
license	Apache-2.0

狩猎基于 DNS 的持久化

概述

攻击者通过劫持 DNS 记录、创建未授权子域名、滥用通配符 DNS 条目或修改 NS 委派，将流量重定向至攻击者控制的基础设施，从而建立基于 DNS 的持久化。由于 DNS 变更独立于已失陷主机而存在，这些技术在凭据轮换、终端重新镜像和传统修复操作后仍然有效。检测需要被动 DNS 历史分析、区域文件审计和未授权记录修改监控。本技能涵盖使用 SecurityTrails 被动 DNS API、Route53/Azure DNS/Cloudflare 的 DNS 审计日志以及区域传输分析的狩猎方法。

前置条件

• SecurityTrails API 密钥（免费版每月提供 50 次查询）
• 访问 DNS 提供商审计日志（Route53、Azure DNS、Cloudflare 或本地 DNS）
• Python 3.9+ 及 requests 库
• 内部区域的 DNS 区域文件访问权限或 AXFR 能力
• 用于比较的 DNS 历史基线

步骤

步骤 1：建立 DNS 记录基线

导出当前 DNS 区域记录，并为所有已授权的 A、AAAA、CNAME、MX、NS 和 TXT 记录建立基线。

步骤 2：查询被动 DNS 历史

使用 SecurityTrails API 获取 DNS 历史记录，识别未授权变更、新子域名以及指向已停用服务的 CNAME 记录（悬空 CNAME）。

步骤 3：检测异常

将当前记录与基线进行比对，识别未授权修改、解析所有子域名的通配符记录、NS 委派变更和 MX 记录劫持。

步骤 4：调查发现

将 DNS 异常与威胁情报 feeds 进行关联，针对已知恶意基础设施核查解析目标，并验证记录所有权。

预期输出

JSON 报告，列出 DNS 异常及其记录类型、历史变更、风险严重性，以及每个发现的修复建议。