Arp欺骗和DNS投毒的实验性分析

1.中间人攻击之Arp欺骗/毒化

本文涉及网络安全攻击知识，随时可能被永久删除。请Star我的GitHub仓库

实现原理：

这种攻击手段也叫做中间人攻击MITM（Man-in-the-Middle)
Attack），算是一种古老的方法了，但仍有很多变种的中间人攻击是有效的，能够很容易地欺骗外行并且入侵他们。MITM攻击就是攻击者扮演中间人并且实施攻击。MITM攻击它可以劫持一段会话，称为会话劫持，可以窃取密码和其他机密，即使使用了SSL加密。

这里使用的arp欺骗也被称为arp缓存中毒，是在内网的MITM攻击。Arp投毒的实现过程非常简单，我们只需要欺骗目标机器使其确信我们的攻击主机就是它的网关，再伪装成目标机器欺骗网关，这样所有的流量都会通过我们的攻击主机，我们就能截获目标机器与网关的通信数据了。网络中所有的机器都包含ARP缓存，它存储了本地网络中最近时间的MAC地址与ip地址的对应关系，我们要达成攻击目标的话就需要对这个缓存进行投毒。因为地址解析协议（arp）和arp投毒还涵盖了许多其他方面的知识，所以可以先了解下arp的原理及这种攻击如何在底层的协议中发挥作用。

实现网络通讯需要AP端广播ARP Request询问网关的Mac，并且路由回传数据也需要ARP Request询问AP的Mac。此时我们可以通过内网的第三台设备进行ARP欺骗，告诉AP端网关的Mac、告诉网关AP的Mac，此时所有网络数据则可以被我们第三台设备拦截并分析记录。

原理图：

实验环境：

• Kali Linux(攻击机)
• 局域网内Win7 靶机

免责声明：以下实验均在虚拟机内进行，请遵守法律法规，仅用作学习。了解攻击方法能更好的进行网络防范。勿用于实际生活中。造成的任何不良后果与作者本人无关。

实验过程：

进行中间人攻击

以下操作均需要root权限

1.提前开启IP转发才不会在ARP毒化过程中被目标有明显察觉。

 echo 1 >/proc/sys/net/ipv4/ip_forward（开启）
 echo 0 >/proc/sys/net/ipv4/ip_forward（关闭）

2.对局域网内存活主机进行扫描
（nmap的使用参照此处）

nmap -sP [ip段]

此处：

192.168.164.1 为网关

192.168.164.5 为攻击机

192.168.164.2 则为win7靶机

使用arpspoof执行arp欺骗毒化被欺骗者(192.168.164.2)：

将被欺骗者的流量重定向给攻击者，再由攻击者转发给网关。

arpspoof -i eth0 -t 192.168.164.2 192.168.164.1

eth0是网卡名,可通过ifconfig查看

在另一个终端同时执行如下代码毒化网关(192.168.164.1):

使网关的数据重定向到攻击者的机器。（流量由网关到攻击者再到受攻击者）

arpspoof -i eth0 -t 192.168.164.1 192.168.164.2

arp欺骗之前
网关的arp缓存表：

靶机arp缓存表：

arp欺骗之后
网关的arp缓存表：

靶机arp缓存表：

可以看到靶机和网关的arp缓存中均分别把攻击机识别成了网关和靶机

如发现目标设备没有出现在缓存表中，ping一下即可

下面使用Ettercap进行可视化操作：

在终端中打开ettercap工具

ettercap -G

通过scan for hosts 快速扫描当前局域网存活设备,并通过host list列出表单。

可以看到此时只有网关和靶机两个设备，并可知他们的Mac地址。将他们分别设为target 1和target 2。

开启ARP poisoning。

整个arp欺骗过程完成。可通过arp缓存表进行验证。

执行driftnet命令，捕获图片。

driftnet -i eth0

在被欺骗者的手机上用浏览器访问新闻页面。此时，攻击者的主机上就会捕获到新闻页面上包含的图片。

或者也可以抓取账户密码

ettercap -Tq -i eth0

2.DNS投毒

在arp欺骗的基础上，我们利用ettercap工具能更快捷的(相较于命令行)对目标进行dns投毒

首先我们启动web服务

/etc/init.d/apache2 start

然后进入ettercap的plugins扩展中心，双击选中dns_spoof

编辑/etc/ettercap/etter.dns , :wq保存退出。

vi /etc/ettercap/etter.dns

添加A解析记录:

*   A   ip

可用*表示任意网址，ip表示重定向，可使用攻击机的ip以达到重定向攻击机本地的网页文件

vi /var/www/html/index.html

写一个简单的测试网页：

攻击效果如下：

局限性：由于部分浏览器的缓存机制，访问曾经访问过的域名时如与dns缓存不同，则会显示无法显示此网页，而不是我们需要其访问的网页。