### 外传-1 DNS 外传 #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0010 数据外传。 - 对应技术族：T1048.003 应用层协议外传（DNS）、T1071.004 DNS。 - 定位：借必放的 DNS 通道把数据编码进查询送出，数据泄露即高危。 #### 2. 前置条件 - 已在目标主机立足，可发起 DNS 查询。 - 攻击者控制一台权威 DNS 服务器接收并解码。 - 出站 UDP/TCP 53 通常放行（配置面）。 #### 3. 技术原理 - DNS 查询走 UDP 53 递归：客户端构造查询报文，子域标签可承载编码数据。把待传数据切块做 base32/base64 编码，拼进 `<编码块>.<外传域>` 的子域发出，权威服务器按子域解码，按块序号重组。 - 反向回传可借 TXT 记录或 A 记录响应体携带数据。 - 协议特性（非漏洞）：DNS 报文原生允许多级子域与 TXT 文本，隧道只是复用这些合法字段。带宽低是其天然限制。 #### 4. 执行步骤（仅帧逻辑，不给脚本） 1. 部署受控权威 DNS，定义编码块与序号规