目录
介绍
BurpSuite里面有一个类似DNSlog的功能。它生成的域名中存在.burpcollaborator.net，可识别度和精准度都非常好，可以利用此特征防御BurpSuite带外通道攻击。这种攻击方式还是蛮流行的，一周就能收到近10W条告警。
ping测试
- 普通ping
2. 获取测试结果
流量分析
- 查看icmp协议的内容，
data部分没啥可看的
2. 查看dns协议的内容，及追踪流
看到了访问的地址
规则
规则检测.burpcollaborator.net的时候，对于dns类型的内容，要格外注意编码问题。
alert udp any any -> any any (msg:"BurpSuite UDP型带外通道攻击"; content:"|10 62 75 72 70 63 6f 6c 6c 61 62 6f 72 61 74 6f 72 03 6e 65 74 00|"; rawbytes; metadata:service check-ports; sid:2; rev:1;)
rawbytes这个选项是配合紧接之前的 content 选项，检测的是未经预处理器解析的原始数据。有时并不清楚特征数据被预处理器解析后会是什么，此时就通过这个选项直接在原始数据包中的匹配。
由于请求包和相应包里面都有.burpcollaborator.net，且存在多个数据流，因此出现多条告警。
TCP型
流量分析
TCP型的复现较为麻烦些，直接看数据包吧
查看16进制内容，这个时候就不存在编码问题了
规则
alert tcp any any -> any any (msg:"BurpSuite TCP型带外通道攻击"; flow:to_server; content:".burpcollaborator.net"; nocase; metadata:service http; sid:1; rev:1;)