小记同学一次奇葩的DNS欺骗实验失败经历

这是一个DNS欺骗实验，使用kali的ettercap。有受害者、攻击者（虚拟机）、Web服务器三台机器。
受害者的事124.16.70.105
虚拟机的是124.16.71.48
web服务器是124.16.70.235，并且是80端口
子网掩码是255255.254.0

小白已经欺骗成功，欺骗的目标域名是hao123. 但是他实验发现，使用受害者ping hao123的时候dns欺骗成功，显示IP已经是235，却用浏览器访问不了hao123，提示无法找到网页。

受害者访问baidu是可以正常访问的，这些内容在数据包（http://files.cnblogs.com/files/ascii0x03/hao123bao.pcapng.tar，并没有打包，只是为了能上传到博客，下载后重命名去掉tar）里都有，这是为何呢? 另外，受害者直接输入235的IP是可以的访问到搭建的web服务器的，服务器搭建的正确的。

经过分析数据包，发现访问IP 235的时候受害者用的是正常的网关，访问别的网址使用的是攻击者即虚拟机的网关。看1748和1749两个包的链路层就很明显。

为何访问235的时候使用正确的网关了呢？
我感觉是因为IP 235是内网，受害者进行了广播形式的ARP请求（包1737），所以正常的网关返回了正常的mac（1746），所以建立TCP连接的时候使用了正常网关的MAC。

所以，测试环境尽量仿真……以免遇见奇葩的事情。

（包附件不知能不能下载）

by ascii0x03, 2015.8.20