渗透测试实战之DNS欺骗攻击

一、场景描述：

在虚拟机环境下配置 “Win7”和“Kali Linux”虚拟系统，使得2个系统之间能够相互通信，网络拓扑如图所示。

二、实验环境：

1. 软件：VMware Workstations14以上版本

2. 虚拟机：Kali-Linux、Windows 7

1) 打开虚拟机：启动kali-linux 启动windows7（未装补丁）

2) 获取IP地址（ifconfig、ipconfig）

Kali-Linux ：192.168.88.129

Windows 7： 192.168.88.128

在虚拟机环境下配置 “Win7”和“Kali Linux”2个虚拟系统，使得虚拟系统之间能够相互通信。

三、DNS原理

什么是DNS 域名系统（ Domain Name System ），是一种分布式网络目录服务，主要用于域名与 IP 地址的相互转换

DNS特点：分散和分层的机制来实现域名空间的委派授权以及域名与地址相转换的授权

DNS查询请求是层层传递，查询和应答无严格身份验证、会话无加密收到应答后DNS服务器会缓存结果

四、dns欺骗操作

1.首先，确定目标机的ip和网关，攻击机要先冒充目标机的网关，对目标机进行arp欺骗

2.打开kali，输入sudo su 进入root用户

3.输入vim /etc/ettercap/etter.dns ，在配置文件下输入*.com A 192.168.88.129（这是把所有以.com结尾的域名都映射为对应攻击者的ip，在攻击机做中间人后，目标机先访问这里的dns）（A代表ipv4,AAA代表ipv6）

4.使用工具ettercap：一个基于ARP地址欺骗方式的网络嗅探工具，主要适用于交换局域网络。

输入ettercap -G ，进入ettercap工具 ，点击对勾（接受）。

拓：MITM是中间人攻击（Man-in-the-middle attack）

5.分别点击1（扫描同网段存活主机）和2（存活主机列表），得到Host List

6.如图分别把目标机ip与网关IP加入Target中

7.点击1下的2，即可进行arp欺骗了（感觉这个工具不能造成断网，始终能使目标机连网，但是攻击机已经做了一个中间人）

ettercap mitm方法：

ARP           ARP欺骗

NDP           ipv6协议欺骗技术

ICMP          发送ICMP数据包重定向到kali，然后由kali转发(只有受害者发出的数据包经过kali)

Port Stealing     ARP静态绑定欺骗

DHCP          发送DHCP数据包，让受害者认为kali是路由器，(只有受害者发出的数据包经过kali)

8.可以看到目标机的网关mac地址已是攻击机的mac地址了

9.进行如下1-->2-->3-->鼠标左键双击dns_spoof操作，可进行dns欺骗了

10.在目标机ping www.baidu.com ，发现ip为攻击机架设的ip。ettercap工具下方也有欺骗记录

五、dns欺骗的危害

输入了正确的域名，访问了错误的服务器、虚假广告、信息窃取（编写一个能够或账号密码的网站）

六、dns欺骗的防御

1、DNS服务器：

•         使用新版本的DNS软件
•         安全设置对抗DNS欺骗（安全设备）
•         使用安全技术对DNS数据进行保护

2、应用服务器：服务证书、用户自主标识（身份认证--账号密码）

注：本文只用作记录学习过程分享，请勿用来作为不正当的操作