ARP欺骗与DNS劫持

模拟拓扑

ARP欺骗

（1） 只欺骗，不转发流量：好奇用户 172.172.10.11 开启了 ARP 欺骗，给正常用户172.172.10.10 不断的发送 ARP 包，告诉正常用户 172.172.10.10 其正常网关172.172.10.1 的 MAC 地址为好奇用户的 MAC 地址，由于局域网内通过 MAC 地址寻址，因此正常用户发往网关 172.172.10.1 的数据包就会流向 172.172.10.11，如下所示：

正常用户不能正常上网，如下所示：

在 172.172.10.10 查看 arp 表如下，可以发现 172.17.10.1 的 MAC 地址被换成了 172.172.10.11的 MAC 地址|：

（2） 欺骗并进行流量转发：在第一步的基础上，在 172.172.10.11 上增加流量转发的功能。流量转发是在/proc/sys/net/ipv4/ip_forward 文件中，流量转发默认是不开启的（也就是值为 0），使用 echo 将其设置为 1，表示开启流量转发如下所示：

在172.172.10.10中可以正常访问外网：

可以转发流量，也可以通过某些软件伪造流量；那么我们该如何防范呢？

1. 配置静态ARP绑定
2. 启用ARP监测工具
3. 部署入侵检测系统

二、DNS劫持

1. 用户192.168.80.129先开启apache2的服务，如下：
   
2. 查看百度IP地址：
   nslookup
   www.baidu.com
   百度ip：183.2.172.17
3. 修改etter.dns配置文件：
   
   
   进行ARP欺骗：
   
   通过以下命令打开ettercap图形化界面
   
   点击右上角的√，
   
   然后点击左上角的放大镜，扫描主机，然后点击它右边的列表，显示扫描到的主机，
   再把网关IP绑定target1，目标主机IP绑定到target2
   
   再次点击右上角的三个点，进入plugins，点击manage plugins
   
   
   然后双击dns_spoof就完成了
   
   此时，在正常用户192.168.80.131主机上查看是否劫持成功：

查看主机原arp表：

被攻击后的arp表：

访问www.microsoft.com解析出来的IP是黑客主机的IP地址：

此时访问www.baidu.com,显示的是apache2的网页：

在ettercap上也会显示dns劫持的信息（下面的显示栏中）：

DNS劫持应该如何防范：

1. 使用可信的DNS服务
2. 启用DoH对DNS进行加密
3. 使用DNSSEC或者加密DNS
4. 定期检查本地host文件是否被篡改

• 实验展示了ARP欺骗原理，DNS劫持的流程，使我们了解了这些常见威胁，并掌握一些防御措施；同时要提高自我的安全意识，不攻击也不被攻击。