1.1 域名系統(tǒng)(Domain Name System)

DNS即Domain Name System 的縮寫(xiě)，域名系統(tǒng)以分布式數(shù)據(jù)庫(kù)的形式將域名和IP地址相互映射。DNS協(xié)議即域名解析協(xié)議，簡(jiǎn)單的說(shuō)：DNS是用來(lái)解析域名的。有了DNS我們就不用再記住煩人的IP地址，用相對(duì)好記的域名就可以對(duì)服務(wù)器進(jìn)行訪(fǎng)問(wèn)，即使服務(wù)器更換了IP地址，我們依舊可以通過(guò)域名訪(fǎng)問(wèn)該服務(wù)器，這樣能夠使我們更方便的訪(fǎng)問(wèn)互聯(lián)網(wǎng)。

為了方便理解DNS的工作原理，我簡(jiǎn)單做了一幅圖：

假如我們要訪(fǎng)問(wèn) www.baidu.com ，首先要向本地DNS服務(wù)器發(fā)出DNS請(qǐng)求，查詢(xún) www.baidu.com 的IP地址，如果本地DNS服務(wù)器沒(méi)有在自己的DNS緩存表中發(fā)現(xiàn)該網(wǎng)址的記錄，就會(huì)向根服務(wù)器發(fā)起查詢(xún)，根服務(wù)器收到請(qǐng)求后，將com域服務(wù)器的地址返回給本地DNS服務(wù)器，本地DNS服務(wù)器則繼續(xù)向com域發(fā)出查詢(xún)請(qǐng)求，域服務(wù)器將 baidu.com 授權(quán)域名服務(wù)器的地址返回給本地DNS服務(wù)器，本地DNS服務(wù)器繼續(xù)向 baidu.com 發(fā)起查詢(xún)，得到 www.baidu.com 的IP地址。

本地DNS服務(wù)器得到 www.baidu.com 對(duì)應(yīng)的IP地址后以dns應(yīng)答包的方式傳遞給用戶(hù)，并且在本地建立DNS緩存表。

Windows下查看和刷清空DNS緩存表的命令： ipconfig /displaydns    ipconfig /flushdns

1.2 DNS欺騙原理

盡管DNS在互聯(lián)網(wǎng)中扮演著如此重要的角色，但是在設(shè)計(jì)DNS協(xié)議時(shí)，設(shè)計(jì)者沒(méi)有考慮到一些安全問(wèn)題，導(dǎo)致了DNS的安全隱患與缺陷。

DNS欺騙就是利用了DNS協(xié)議設(shè)計(jì)時(shí)的一個(gè)非常嚴(yán)重的安全缺陷。

首先欺騙者向目標(biāo)機(jī)器發(fā)送構(gòu)造好的ARP應(yīng)答數(shù)據(jù)包，ARP欺騙成功后，嗅探到對(duì)方發(fā)出的DNS請(qǐng)求數(shù)據(jù)包，分析數(shù)據(jù)包取得ID和端口號(hào)后，向目標(biāo)發(fā)送自己構(gòu)造好的一個(gè)DNS返回包，對(duì)方收到DNS應(yīng)答包后，發(fā)現(xiàn)ID和端口號(hào)全部正確，即把返回?cái)?shù)據(jù)包中的域名和對(duì)應(yīng)的IP地址保存進(jìn)DNS緩存表中，而后來(lái)的當(dāng)真實(shí)的DNS應(yīng)答包返回時(shí)則被丟棄。

假設(shè)嗅探到目標(biāo)靶機(jī)發(fā)出的DNS請(qǐng)求包有以下內(nèi)容：

Source address : 192.168.1.57
Destination address : ns.baidu.com
Source port : 1234
Destination port : 53 (DNS port)
Data : www.baidu.com

我們偽造的DNS應(yīng)答包如下：

Source address : ns.baidu.com
Destination address : 192.168.1.57
Source port : 53 (DNS port)
Destination port : 1234
Data : www.baidu.com 192.168.1.59

目標(biāo)靶機(jī)收到應(yīng)答包后把域名以及對(duì)應(yīng)IP保存在了DNS緩存表中，這樣www.baidu.com的地址就被指向到了192.168.1.59上。

2.1 實(shí)戰(zhàn)DNS欺騙

同ARP欺騙一樣，DNS欺騙也可以被稱(chēng)為DNS毒化，屬于中間人攻擊，我還是用虛擬機(jī)來(lái)模擬DNS欺騙攻擊

用到的工具是Ettercap

首先來(lái)看目標(biāo)靶機(jī)，

很明顯現(xiàn)在www.baidu.com指向到的IP地址是正確的，

接著我們用ettercap來(lái)進(jìn)行DNS欺騙，首先找到etter.dns這個(gè)配置文件并且編輯

添加一條A記錄，將 www.baidu.com 指向到本機(jī)IP

保存并且退出，使用ettercap開(kāi)始欺騙：

接著我們?cè)诘绞艿焦舻闹鳈C(jī)上看一下：

可以看到，目標(biāo)主機(jī)對(duì)域名www.baidu.com的訪(fǎng)問(wèn)已經(jīng)被指向到192.168.1.59

在瀏覽器中訪(fǎng)問(wèn)該域名便訪(fǎng)問(wèn)到事先搭建好的一臺(tái)WEB服務(wù)器

以上就是一次成功的DNS欺騙

DNS欺騙的危害是巨大的，我不說(shuō)大家也都懂得，常見(jiàn)被利用來(lái)釣魚(yú)、掛馬之類(lèi)的

2.2 DNS欺騙的防范

DNS欺騙是很難進(jìn)行有效防御的，因?yàn)榇蠖嗲闆r下都是被攻擊之后才會(huì)發(fā)現(xiàn)，對(duì)于避免DNS欺騙所造成危害，本菜鳥(niǎo)提出以下建議

1.因?yàn)镈NS欺騙前提也需要ARP欺騙成功。所以首先做好對(duì)ARP欺騙攻擊的防范。

2.不要依賴(lài)于DNS，盡管這樣會(huì)很不方便，可以使用hosts文件來(lái)實(shí)現(xiàn)相同的功能，Hosts文件位置：

windows xp/2003/vista/2008/7 系統(tǒng)的HOSTS文件位置 c:\windows\system32\drivers\etc 用記事本打開(kāi)即可進(jìn)行修改。

3.使用安全檢測(cè)軟件定期檢查系統(tǒng)是否遭受攻擊

4.使用DNSSEC。

最近小編整理了許多關(guān)于DNS欺騙的文章，希望大家多多閱讀，多多學(xué)習(xí)。

最新評(píng)論