局域网下的DNS欺骗复现

漏洞简介

DNS

DNS是Domain Name System的简写，即域名系统，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网。简单地说，如果我们想访问岂安科技的官网，本来需要输入网站主机的IP地址，但是DNS可以将http://www.bigsec.com解析成对应的IP地址，我们就不需要记住复杂的IP地址了。

DNS劫持

域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器（DNS），或伪造域名解析服务器（DNS）的方法，把目标网站域名解析到错误的IP地址从而实现用户无法访问目标网站的目的或者蓄意或恶意要求用户访问指定IP地址（网站）的目的。

实验环境

攻击机：kali linux（192.168.182.130）
靶  机：win7x64位（192.168.182.132）
默认网关：192.168.182.2

漏洞复现

可以使用下面几个命令查看网关，网关为192.168.182.2

route -n
ip route show
netstat -r

编辑ettercap的DNS文件

vim /etc/ettercap/etter.dns

在最后添加一个A记录，将百度的IP设置为攻击机的IP

设置挂马页面

vim /var/www/html/index.html

启动apache服务

/etc/init.d/apache2 start
或者
service apache2 start

启动 Ettercap图形化页面

ettercap -G

这里是虚拟机环境，所以是选择eth0 ，然后点击上方的对勾

将网关和靶机IP依次添加

开启arp欺骗，点击上方圆圈，选择ARP Poisoing，然后选择Sniff remote connections嗅探远程的连接，点击OK

选择Manage plugins列出所有插件

双击选中dns_spoof进行攻击

ping一下百度，得到的回复来自攻击机的IP，说明成功了。

在靶机中访问https://www.baidu.com，显示拒绝连接

而访问http://www.baidu.com，显示的攻击机设置的黑页，DNS劫持百度成功。