Утечка через DNS

Прогресс комнаты 0 / 4

Задание 1Введение

Цель: Обнаруживать и восстанавливать данные, вынесенные через DNS.

Заражённая машина выносит данные через DNS-запросы. Соберите украденное из журнала DNS-сервера. Записи шли не по порядку, а один запрос — проверочный и данных не несёт.

Задание 2Теория и инструменты

DNS-запросы почти никогда не блокируются, поэтому вредоносы прячут данные в поддоменах: кусок.домен-атакующего. Сервер атакующего видит запрос и записывает кусок.

Признаки: много запросов к одному домену, длинные hex- или base32-поддомены, порядковые номера.

Инструменты

Python re
Wireshark: фильтр dns
Zeek / Suricata — для обнаружения

Больше теории — в разделе «Обучение: Сети».

Задание 3Практика: найдите флаг

Данные задания1019 символов

2026-10-15 02:11:00 client 10.0.0.23 query: fonts.googleapis.com IN A
2026-10-15 02:11:07 client 10.0.0.23 query: seq-05.637433647d.cdn-telemetry.example IN A
2026-10-15 02:11:14 client 10.0.0.23 query: www.google.com IN A
2026-10-15 02:11:21 client 10.0.0.23 query: seq-00.4354467b64.cdn-telemetry.example IN A
2026-10-15 02:11:28 client 10.0.0.23 query: update.microsoft.com IN A
2026-10-15 02:11:35 client 10.0.0.23 query: seq-02.66316c7472.cdn-telemetry.example IN A
2026-10-15 02:12:42 client 10.0.0.23 query: api.github.com IN A
2026-10-15 02:12:49 client 10.0.0.23 query: telemetry.example IN A
2026-10-15 02:12:56 client 10.0.0.23 query: seq-01.6e735f3378.cdn-telemetry.example IN A
2026-10-15 02:12:03 client 10.0.0.23 query: seq-ff.000000.cdn-telemetry.example IN A
2026-10-15 02:12:10 client 10.0.0.23 query: time.windows.com IN A
2026-10-15 02:12:17 client 10.0.0.23 query: seq-03.347431306e.cdn-telemetry.example IN A
2026-10-15 02:13:24 client 10.0.0.23 query: seq-04.5f64337433.cdn-telemetry.example IN A

Вопрос: какой флаг спрятан в данных? Войдите, чтобы ответить

Пошаговый план — открывайте по одному шагу

1
Найдите запросы к подозрительному домену с номерами seq-NN.
2
Отбросьте запрос, номер которого не число, — он проверочный.
3
Отсортируйте куски по номеру и склейте.
4
Раскодируйте склеенную строку из hex.

Подсказки — каждая до решения стоит −25 очков

Войдите, чтобы открыть подсказку 1

Войдите, чтобы открыть подсказку 2

Задание 4Как защититься

Мониторьте DNS: длину и энтропию поддоменов, объём запросов к одному домену. Разрешайте DNS только через свои резолверы.

Разборы участников

Разборы открываются после того, как вы решите комнату, — чтобы не спойлерить ответ.