目录

• 介绍
• ping测试
• • 流量分析
  • 规则
• TCP型
• • 流量分析
  • 规则

介绍

BurpSuite里面有一个类似DNSlog的功能。它生成的域名中存在.burpcollaborator.net，可识别度和精准度都非常好，可以利用此特征防御BurpSuite带外通道攻击。这种攻击方式还是蛮流行的，一周就能收到近10W条告警。

ping测试

1. 普通ping

2. 获取测试结果

流量分析

1. 查看icmp协议的内容，data部分没啥可看的

2. 查看dns协议的内容，及追踪流
看到了访问的地址

规则

规则检测.burpcollaborator.net的时候，对于dns类型的内容，要格外注意编码问题。

alert udp any any -> any any (msg:"BurpSuite UDP型带外通道攻击"; content:"|10 62 75 72 70 63 6f 6c 6c 61 62 6f 72 61 74 6f 72 03 6e 65 74 00|"; rawbytes; metadata:service check-ports; sid:2; rev:1;)

rawbytes这个选项是配合紧接之前的 content 选项，检测的是未经预处理器解析的原始数据。有时并不清楚特征数据被预处理器解析后会是什么，此时就通过这个选项直接在原始数据包中的匹配。

由于请求包和相应包里面都有.burpcollaborator.net，且存在多个数据流，因此出现多条告警。

TCP型

流量分析

TCP型的复现较为麻烦些，直接看数据包吧

查看16进制内容，这个时候就不存在编码问题了

规则

alert tcp any any -> any any (msg:"BurpSuite TCP型带外通道攻击"; flow:to_server; content:".burpcollaborator.net"; nocase; metadata:service http; sid:1; rev:1;)

标签：检测,burpcollaborator,BurpSuite,content,TCP,入侵,net,any
来源： https://blog.csdn.net/weixin_44288604/article/details/122476615