利用工具对DNS劫持

1.ettercap

    ettercap可以做到DNS劫持和ARP欺骗。它从最开始是交换局域网的嗅探器，变成功能强大的中间人攻击工具。支持许多协议的主动和被动解剖，并包括网络和主机分析的功能。

   基础用法：用户界面类型：-G 图形化界面；-T 显示字符的界面； -q 不显示抓到的数据内容

                     日志选项： -w 将嗅探到的数据写入pcap文件； -L  记录所有的流量

2.实操

攻击主机：kali （192.168.241.129）

目标主句：Windows 10（192.168.241.130）

   1）先搭建网站。可以直接从网上找到你想要的，然后可以通过vi /var/www/index.html 对源码进行更改（该处存在一个apache的index.html，可以选择删除，替换成自己想要的index.html）。

   2）输入 service apache2 start ，开启http服务：

   3）在自己的浏览器上访问该网站，通过ip（192.168.241.129）访问，能够出现画面，说明搭建成功。

   5）输入命令: vi /etc/ettercap/etter.dns，编辑该ettercap下的dns文件。

   6）在该文件最末尾插入两句命令：访问任何网址（*），在进行DNS解析时都将被我们的劫持，而劫持后放置的位置在192.168.241.129。

   7）输入命令：ettercap -G 开启图形化界面。

   8）点击右上角的对号（打开之前，将Setup按钮关一下再开），会出现下面这个页面。

   9）点击搜索符号，就可以扫描出存活的主机，其中192.18.241.2为目标主机的网关，192.168.241.130为存活主机的ip。

   10）将网关加入Target1，存活的主机加入到Target2。

   11）在模块里双击dns_spoof，就开启了dns监听。

   12）此时，在Windows 10上去访问任何网站，例如www.baidu.com，就会出现我们所创建的网站。

   另一种方法：通过在命令终端去ping任何一个网站，例如www.taobao.com，可以看到回复我们的都是192.168.241.129。此时，我们就劫持到了目标主机（win 10）的域名解析。

3.DNS劫持的危害

    攻击者利用缺陷对用户的DNS进行劫持，严重影响用户的上网体验感，同时使得域名由用户的IP指向了攻击者IP，用户域名上的流量也就被攻击者劫取。在这一过程中，用户就会失去对域名的控制，也无法访问站点，从而导致用户出现经济损失。

4.防御

    1.定期的检查域名的账户信息及解析状态是否存在异常，并对域名对应站点内容进行定期排查。

    2.定期修改账号密码。

    3.安装SSL证书。SSL证书具备服务器身份认证功能，能够有效防止。

    4.选择正规专业的DNS服务商，可以获得性能较为强大的域名解析和域名监测服务，及时发现域名异常状态并快速解决。