标签：检测 burpcollaborator BurpSuite content TCP 入侵 net any
目录
介绍
BurpSuite里面有一个类似DNSlog的功能。它生成的域名中存在.burpcollaborator.net，可识别度和精准度都非常好，可以利用此特征防御BurpSuite带外通道攻击。这种攻击方式还是蛮流行的，一周就能收到近10W条告警。
ping测试
- 普通ping
2. 获取测试结果
流量分析
- 查看icmp协议的内容，
data部分没啥可看的
2. 查看dns协议的内容，及追踪流
看到了访问的地址
规则
规则检测.burpcollaborator.net的时候，对于dns类型的内容，要格外注意编码问题。
alert udp any any -> any any (msg:"BurpSuite UDP型带外通道攻击"; content:"|10 62 75 72 70 63 6f 6c 6c 61 62 6f 72 61 74 6f 72 03 6e 65 74 00|"; rawbytes; metadata:service check-ports; sid:2; rev:1;)
rawbytes这个选项是配合紧接之前的 content 选项，检测的是未经预处理器解析的原始数据。有时并不清楚特征数据被预处理器解析后会是什么，此时就通过这个选项直接在原始数据包中的匹配。
由于请求包和相应包里面都有.burpcollaborator.net，且存在多个数据流，因此出现多条告警。
TCP型
流量分析
TCP型的复现较为麻烦些，直接看数据包吧
查看16进制内容，这个时候就不存在编码问题了
规则
alert tcp any any -> any any (msg:"BurpSuite TCP型带外通道攻击"; flow:to_server; content:".burpcollaborator.net"; nocase; metadata:service http; sid:1; rev:1;)
标签：检测,burpcollaborator,BurpSuite,content,TCP,入侵,net,any 来源： https://blog.csdn.net/weixin_44288604/article/details/122476615
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。