打造域名监控脚本

联想的域名劫持事件刚刚结束不就，前面的文章中有大牛已经分析了一些事件。作为企业安全人员，更关心的的是这种事件如何尽早发现。通过外媒对联想的域名劫持事件的报道，透露出事情发生后，直到记者提出采访要求，他们的高管才知道域名被黑客劫持。

所以，为了防范于未然，我们可以利用一些脚本来对DNS进行监控，如果发生了劫持事件，至少我们能够尽早发现问题。
本文的代码都是使用python编写，并安装了一个开源库，dnspython. http://www.dnspython.org

一、域名对应地址收集脚本
功能：
这个脚本用来初始化域名 <->IP 的记录。
机制：
该脚本通过读取格式为
www.weibo.com
m.weibo.com
xx.weibo.com
的文本来进行dns查询并生成域名 以及对应 的IP 文件，以domainip.txt命名。
<code>
import dns.resolver
import sys
def FileOpen(filename):
filehandle = open(filename,'r')
filehandle2 = open('domainip.txt','w')
domain = filehandle.readline()
while(domain):
search_result = []
domain = domain.strip('\n')
try:
ipaddress = dns.resolver.query(domain,rdtype='A')
except:
None
for i in ipaddress:
search_result = domain + ' ' + str(i) + '\n'
filehandle2.write(search_result)
domain = filehandle.readline()
if name == 'main':
Filename = sys.argv[1]
FileOpen(Filename)
</code>
格式为：
www.weibo.com 127.0.0.1
www.weibo.com 127.0.0.2
m.weibo.com 172.0.0.1
xx.weibo.com 132.0.0.1

二、文件监控脚本
功能：
该脚本会读取domainip.txt文件中的域名进行解析，然后对比domainip.txt中记录的初始ip是否与之一致，如果一致则正常，否则便告警。

<code>
import dns.resolver
def FileOpen():
filehandle2 = open('result.txt','r')
summary = filehandle2.readline()
while(summary):
search_result = []
result_ip = []
summary = summary.strip('\n')
domain = summary.split(' ')[0]
try:
ipaddress = dns.resolver.query(domain,rdtype='A')
for i in ipaddress:
search_result.append(str(i))
except:
print domain,"No anwser error"
deep = len(search_result)
search_result.sort()
if deep and summary > 1:
for i in range(deep):
try:
summary = summary.strip('\n')
ip = summary.split(' ')[1]
result_ip.append(ip)
result_ip.sort()
summary = filehandle2.readline()
except IndexError:
continue
if(search_result == result_ip):
print domain,'OK'
else:
print domain,search_result,result_ip
else:
result_ip.append(summary.split(' ')[1] )
if( search_result == result_ip and search_result):
print domain,'OK'
else:
print 'not ok',domain,search_result
summary = filehandle2.readline()
if name == 'main':
FileOpen()
</code>

最后便是写入crontab