案例复盘DNSLog：那次排障差点让我怀疑人生，结果竟是它？！
哎，兄弟们，姐妹们，今天咱们不聊虚的，直接来个硬核的 案例复盘DNSLog 实战，说真的，搞网络安全这么久，我自认为什么妖魔鬼怪没见过？直到上个月那次排障，差点把我CPU干烧了！你猜怎么着？最后的“凶手”居然是平时最不起眼的 DNSLog ！是不是听着就挺玄乎？别急，听我慢慢跟你唠，这玩意儿用好了，简直就是救命的雷达，用不好，嘿，那真是“盲人摸象”。
前言：那天，我的告警平台跟疯了一样
那天下午，我刚泡好一杯美式，准备摸会儿鱼，突然，我的安全告警平台跟打了鸡血似的，唰唰唰地弹窗，全是外联IP的可疑连接请求，我一看，好家伙，全是访问一些奇奇怪怪的域名，什么 update.dnslog[.]cn 之类的，我当时第一反应是：“完犊子，是不是有内鬼在搞数据外带？”心里那个紧张劲儿,就跟自己中了木马似的。
我赶紧打开流量分析工具，抓包！咦？诡异的事情来了——这些流量指向的IP，竟然是Google的公共DNS 8.8.8？我当时就懵了，难道是全世界都在攻击我们这破服务器？不可能啊！
福尔摩斯上身，一步步揭开真相
没办法，我只能静下心来，开始了我的 案例复盘DNSLog 之旅，我先假设这是正常的业务请求，但得验证啊，我手动模拟了一下，直接ping了一下那个可疑域名，结果……通了？但返回的IP地址是个内网地址 0.0.5，哎哟喂，这就有意思了，外网域名解析到了内网地址，这不是典型的DNS Rebinding（重绑定）攻击的前兆吗？
但我没慌，我决定用 DNSLog 做个实验，我把我自己的一个子域名挂到DNSLog服务上，然后在受害者机器上触发一下请求，等待的过程总是漫长的，我跟同事吐槽：“这要真是内鬼，我今晚就睡公司了！”
结果，5分钟后，DNSLog平台果然收到了解析记录！但奇怪的是，记录里的客户端IP居然是国外的一个IP，这不对劲啊，我们内网服务器怎么可能跑国外去？除非……代理！那一刻，我脑子里的灯泡“叮”一下亮了！
我把这个现象跟之前抓的包一对比，瞬间顿悟：压根就不是什么高级攻击，就是有台服务器中了挖矿病毒，把DNS解析配置污染了，并强制走代理去访问矿池地址，而这台服务器恰好是我们运维兄弟用来做测试的沙箱，玩完忘了关机,还开着外网代理！
为什么DNSLog这么神？我的情绪化总结
哎，你说这事儿气不气人？排查了一天一夜，差点把服务器拆了，但回头想想，如果没有 DNSLog，我可能还在浩瀚的流量日志里捞针呢，这玩意儿就相当于黑夜里的灯塔，你不一定要直接看到那条船，但你只要看到灯塔灯光一闪一闪,就知道船在哪个方位。
其实很多安全新手看到陌生域名就慌，疯狂封禁IP，那都是治标不治本。案例复盘DNSLog 教会我一个道理：域名解析记录，就是网络世界的“北斗导航”，你只要在关键节点埋下这个探针，不管攻击者怎么跳，只要他敢发出DNS请求，你就能精准定位他的老巢，这感觉，就像你在黑暗的房间里听声辨位,一抓一个准！
所以啊，之后我不管是做渗透测试，还是应急响应，兜里必揣着 DNSLog 这个小工具，它不复杂，但真到用的时候，它能帮你把复杂的问题简单化，好了，这次的破事复盘完了,我心里也顺畅多了。
最后说点掏心窝子的话，搞安全这一行，拼的不是谁工具多，而是谁思路活，一个简单的 DNSLog 用好了，抵得上十个贵的要死的商业平台，希望我的这次踩坑经历，能给你们提个醒——下次再遇到诡异的外联，先别急着下结论，丢个DNSLog出去看看，说不定答案就在那轻轻一跳的解析记录里呢？哈哈,共勉吧！
网络安全学习交流QQ群：728218497 （加群请备注“思源学安全”哦！）
