先学习DNS劫持之前,务必要了解下DNS是个什么玩意。
DNS(域名系统)
他可以将网站的域名转换为ip地址。nternet 上的每个设备都被分配了一个 IP 地址,必须有该地址才能找到相应的 Internet 设备 – 就像使用街道地址来查找特定住所一样。当用户想要加载网页时,用户在 Web 浏览器中键入的内容(example.com)与查找 example.com 网页所需的机器友好地址之间必须进行转换。
DNS劫持:
DNS劫持又称域名劫持,是指在劫持的网络范围内拦截域名解析的请求,分析请求的域名,把审查范围以外的请求放行,否则返回假的IP地址或者什么都不做使请求失去响应,其效果就是对特定的网络不能访问或访问的是假网址。这里如果不懂的话,可以自己搭建一个DNS服务器,配置一个属于自己的域名。
A类解析是在告诉域名系统,“xxx.xxxx.xxx ”的IP地址是“xxx.xx.xx.xxx”
A事件是绑定IP的,一般的DNS劫持,都是被修改的这个位置,所以 当你搜索百度的域名,
会跳转到其他的页面,就是这里A事件被修改,解析页面被指向其他的页面。
首先 我们需要写好我们的恶意网站,一般都结合CS或者MSF捆绑马使用,提示更新软件或者下载安全更新,这里用我之前搭建的flash钓鱼页面 :
当dns劫持后,无论他打开什么页面都会提示这个页面。下面配置开始。
下面要用到一个新的工具:Ettercap
Ettercap
EtterCap是一个基于ARP地址欺骗方式的网络嗅探工具,主要适用于交换局域网络。借助于EtterCap嗅探软件,渗透测试人员可以检测网络内明文数据通讯的安全性,及时采取措施,避免敏感的用户名/密码等数据以明文的方式进行传输。ettercap几乎是每个渗透测试人员必备的工具之一(就下面的这个虫子)。
首先第一步就是要配置 Ettercap的DNS解析,把 A记录更改为我们伪造页面的IP上
位置为:/etc/ettercap/etter.dns
然后 启动 Ettercap
ettercap -G #- G 是图形化页面。
然后先选择网卡,怎么选择根据你当前的网络连接状态去选择,如果你的当前网络是是通过网线连接那么就选择你的物理网卡,如果是通过Wi-Fi那就选择你的无线网卡,这里是虚拟机环境,所以我选择我的eth0 网卡。
列出主机列表
然后下一步是扫描当前网络的地址:
这里我开了一台win10虚拟机当靶机,地址为 192.168.93.4
接着我们把受害者的机器加入到target1中,将网关加入到target2中,用于对这两台机器进行arp欺骗。
如果想复查target的设置,快捷键 ctrl + T,可以进行更改删除操作。
下一步开启arp欺骗,Mitm-> poisoning ,弹出框选择,Sniff Remote Connections,嗅探远程的连接,将目标主机的流量都欺骗过来。
此时我们已经冒充好了网关,冒充的方式就是arp欺骗,接下来我们要冒充dns
Plugins -> Manage the plugins列出所有插件。然后选择 dns_spoof
选择后 右键 activate 开启攻击,开启后模块左侧会多出来个*
然后去靶机上测试 ,输入百度。
实验初步成功,然后就等待他下载flash自解马即可,他要是不下载窗口就不关闭,所以这里我们可以随时观测下CS的上线情况,一旦发现他上线,我们这边就关闭dns劫持和arp欺骗,进行CS上线后的操作。
转自:Ms08067安全实验室