CTF流量分析实战：从一道DNS题看Base64隐写与数据拼接（附Wireshark过滤技巧）

CTF流量分析实战：DNS数据隐写与Base64拼接技术精解

1. 引言：当DNS查询成为数据载体

在网络安全竞赛中，DNS协议常被用作隐蔽通信的载体。不同于HTTP这类明文传输协议，DNS查询的天然分散性和普遍不被审查的特性，使其成为数据外传的理想选择。2021年闽盾杯中的这道题目，正是考察选手如何从看似正常的DNS流量中，识别并拼接出被分割隐藏的Base64编码数据。

这类题目通常模拟真实攻击场景——攻击者将敏感信息分割成多个片段，通过DNS查询的子域名部分进行传输。作为防御方，我们需要从海量数据包中快速定位关键片段，并重建原始数据。整个过程考验三个核心能力：协议特征识别、数据提取技巧和逻辑重组思维。

2. 特征识别：捕捉Base64的蛛丝马迹

2.1 Base64编码的特征指纹

Base64编码数据具有明显的视觉特征，熟练的CTF选手能快速识别：

• 固定前缀：Zmxh是"flag"字符串的Base64编码（echo -n "flag" | base64）
• 字符集限制：仅包含A-Z、a-z、0-9、+、/和填充符=
• 长度规律：编码后长度通常是4的倍数（不足时会补=）

# 验证"flag"的Base64编码 $ echo -n "flag" | base64 ZmxhZw==

2.2 Wireshark过滤技巧

面对数千个DNS数据包，手动翻找效率极低。使用显示过滤器精准定位：

dns.qry.name contains "Zmxh" || dns.qry.name matches "[A-Za-z0-9+/=]{20,}\."

这个组合过滤器会匹配：

1. 包含经典flag前缀的查询
2. 或包含连续20个以上Base64字符的域名

提示：matches操作符支持正则表达式，但性能较差，大数据量时应慎用

3. 数据提取：高效收集分散片段

3.1 导出查询名的三种方法

推荐使用tshark快速提取：

tshark -r challenge.pcap -Y "dns.qry.name contains 'i6ov08'" \ -T fields -e dns.qry.name > queries.txt

3.2 数据清洗实战

原始数据示例：

ZmxhZ3tlNj.i6ov08.dnslog.cn root.i6ov08.dnslog.cn YTM3NmUxYz.i6ov08.dnslog.cn

清洗脚本核心逻辑：

import re with open('queries.txt') as f: lines = [line.split('.')[0] for line in f if re.match(r'^[A-Za-z0-9+/=]+\.i6ov08', line)] # 输出: ['ZmxhZ3tlNj', 'YTM3NmUxYz', ...]

4. 数据拼接：从碎片还原完整信息

4.1 排序算法选择

DNS查询可能乱序到达，需按原始顺序重组：

1. 时间戳排序：tshark -t ad导出时保留相对时间
2. 查询名模式：如题目使用Z.、Y.等前缀暗示顺序
3. 序列号检测：部分题目会在数据中嵌入序号

4.2 手工拼接示例

观察清洗后的数据片段：

ZmxhZ3tlNj YyYWMxNTRj YTM3NmUxYz AwMWVlOGJi ZTgxMzE4Yn0K

拼接逻辑：

1. 去除重复片段（如YyYWMxNTRj出现两次）
2. 尝试两种常见组合方式：
   • 直接连接：ZmxhZ3tlNjYyYWMxNTRjYTM3NmUxYzAwMWVlOGJiZTgxMzE4Yn0K
   • 添加分隔符：ZmxhZ3tlNj-YyYWMxNTRj-YTM3NmUxYz-AwMWVlOGJi-ZTgxMzE4Yn0K

4.3 自动化解码验证

使用Python进行解码尝试：

import base64 def try_decode(s): try: # 补全可能的缺失padding pad_len = len(s) % 4 if pad_len: s += '=' * (4 - pad_len) return base64.b64decode(s).decode() except: return None result = try_decode("ZmxhZ3tlNjYyYWMxNTRjYTM3NmUxYzAwMWVlOGJiZTgxMzE4Yn0K") print(result) # flag{e662ac154ca376e1c001ee8bbe81318b}

5. 高阶技巧与防御视角

5.1 对抗DNS隐蔽信道的检测方法

作为蓝队成员，应监控异常DNS模式：

• 查询名长度异常：正常域名很少超过50字符
• 随机子域名爆破：短时间内大量随机子域名查询
• Base64特征检测：实时匹配[A-Za-z0-9+/=]{20,}模式

5.2 扩展练习建议

• 混合编码题目：尝试Hex+Base64组合编码的数据
• 时间隐写术：利用查询时间间隔传递信息
• 协议嵌套：DNS over HTTPS流量中的隐蔽信道

6. 实战工具链推荐

1. NetworkMiner：可视化分析网络流
2. DNSQuerySniffer：专精DNS流量监控
3. 自定义Scapy脚本：

from scapy.all import * def extract_dns(pkt): if pkt.haslayer(DNSQR): qname = pkt[DNSQR].qname.decode() if re.match(b64_regex, qname): print(f"[+] Found at {pkt.time}: {qname}") sniff(offline="dns.pcap", prn=extract_dns)

在真实渗透测试中，这种技术常被用于C2通信。某次红队评估中，我们曾发现攻击者将窃取的数据分片藏在每日的DNS查询中，通过合法域名掩护数据渗出。防御方需要建立持续监控机制，对异常DNS模式保持警觉。