打造域名监控脚本

联想的域名劫持事件刚刚结束不就,前面的文章中有大牛已经分析了一些事件。作为企业安全人员,更关心的的是这种事件如何尽早发现。通过外媒对联想的域名劫持事件的报道,透露出事情发生后,直到记者提出采访要求,他们的高管才知道域名被黑客劫持。

所以,为了防范于未然,我们可以利用一些脚本来对DNS进行监控,如果发生了劫持事件,至少我们能够尽早发现问题。
本文的代码都是使用python编写,并安装了一个开源库,dnspython. http://www.dnspython.org

一、域名对应地址收集脚本
功能:
这个脚本用来初始化域名 <->IP 的记录。
机制:
该脚本通过读取格式为
www.weibo.com
m.weibo.com
xx.weibo.com
的文本来进行dns查询并生成域名 以及对应 的IP 文件,以domainip.txt命名。
<code>
import dns.resolver
import sys
def FileOpen(filename):
filehandle = open(filename,'r')
filehandle2 = open('domainip.txt','w')
domain = filehandle.readline()
while(domain):
search_result = []
domain = domain.strip('\n')
try:
ipaddress = dns.resolver.query(domain,rdtype='A')
except:
None
for i in ipaddress:
search_result = domain + ' ' + str(i) + '\n'
filehandle2.write(search_result)
domain = filehandle.readline()
if name == 'main':
Filename = sys.argv[1]
FileOpen(Filename)
</code>
格式为:
www.weibo.com 127.0.0.1
www.weibo.com 127.0.0.2
m.weibo.com 172.0.0.1
xx.weibo.com 132.0.0.1

二、文件监控脚本
功能:
该脚本会读取domainip.txt文件中的域名进行解析,然后对比domainip.txt中记录的初始ip是否与之一致,如果一致则正常,否则便告警。

<code>
import dns.resolver
def FileOpen():
filehandle2 = open('result.txt','r')
summary = filehandle2.readline()
while(summary):
search_result = []
result_ip = []
summary = summary.strip('\n')
domain = summary.split(' ')[0]
try:
ipaddress = dns.resolver.query(domain,rdtype='A')
for i in ipaddress:
search_result.append(str(i))
except:
print domain,"No anwser error"
deep = len(search_result)
search_result.sort()
if deep and summary > 1:
for i in range(deep):
try:
summary = summary.strip('\n')
ip = summary.split(' ')[1]
result_ip.append(ip)
result_ip.sort()
summary = filehandle2.readline()
except IndexError:
continue
if(search_result == result_ip):
print domain,'OK'
else:
print domain,search_result,result_ip
else:
result_ip.append(summary.split(' ')[1] )
if( search_result == result_ip and search_result):
print domain,'OK'
else:
print 'not ok',domain,search_result
summary = filehandle2.readline()
if name == 'main':
FileOpen()
</code>

最后便是写入crontab

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
平台声明:文章内容(如有图片或视频亦包括在内)由作者上传并发布,文章内容仅代表作者本人观点,简书系信息发布平台,仅提供信息存储服务。

推荐阅读更多精彩内容

  • dnsmasq是什么我就不说了,请自行百度。 目前我需要使用的用途是:1.dhcp(分配一个或者多个内网ip地址)...
    dnaEMx阅读 16,335评论 0 6
  • Spring Cloud为开发人员提供了快速构建分布式系统中一些常见模式的工具(例如配置管理,服务发现,断路器,智...
    卡卡罗2017阅读 135,014评论 19 139
  • NAME dnsmasq - A lightweight DHCP and caching DNS server....
    ximitc阅读 2,936评论 0 0
  • 1. 概述 在网络环境中一般用户只需要在浏览器中输入url如www.sunny.com就可以到对应服务器获取相应的...
    ghbsunny阅读 2,985评论 0 7
  • DNS(Domain Name System,域名系统),因特网上作为域名和IP地址相互映射的一个分布式数据库,能...
    一直在努力hard阅读 4,706评论 3 19