ettercap内网DNS劫持实验

实验原理

ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的网络层，负责将某个IP地址解析成对应的MAC地址。

ARP欺骗是一种中间人攻击，攻击者通过毒化受害者的ARP缓存，将网关的MAC替换成攻击者的MAC，于是攻击者的主机实际上就充当了受害主机的网关，之后攻击者就可以截获受害者发出和接到的数据包，从中获取账号密码、银行卡信息等。攻击原理图如下：

实验环境

所需信息： 内网网关：192.168.200.1  靶机IP：192.168.200.122

攻击者IP：192.168.200.170  软件：ettercap  本地服务：Apache服务

内网可以正常访问攻击者启动的Apache服务。如下图：

实验步骤

1、修改/etc/ettercap/etter.dns文件内容。如下：

2、命令行运行:ettercap -G, 运行ettercap软件，并先停止探测，并点击ACCEPT（对号）。如下图：

3、点击ettercap菜单，选择host。如下图：

4、选择hosts list后，然后扫描局域网内的主机。如下图：

5、扫描完后选择内网网关IP，点击“add Target1”。如下图

6、选择靶机IP，点击“add Target2”。如下图

7、选择成功后，点击MITM菜单，选择“ARP poisoning...”配置ARP欺骗。入下图：

8、弹出的框中选中“sniff remote connections”选项，并保存。如下图：

注意：上述的所有过程，只是配置了ARP欺骗，要想实现DNS欺骗，需配置后续操作。

9、点击ettercap菜单，选择Plugins。如下图：

10、选择Manage plugins菜单。如下图：

11、双击选择dns_spoof，后启动攻击按钮。如下图：

上述攻击步骤完成后，然后登录靶机上ping各种域名都会有响应。而且都是攻击者的回应。如下图：

而且靶机上访问的所有网站的资源都是攻击者的服务器资源，如下图。换句话说就是：攻击者可以获取用户的一些敏感信息。

测试完成后，打开cmd命令行输入：ipconfig /flushdns即可刷新DNS缓存，主机可重新获取DNS。