Подделка DNS

Есть много способов для выполнения подделки DNS. Мы будем рассматривать методику под названием подделка DNS ID.

Каждый DNS запрос, направляемый по сети, содержит уникальный идентификационный номер, задачей которого является идентификация запросов и ответов и их связывание. Это означает, что если наш злоумышленный компьютер сможет перехватить DNS запрос, отправленный с целевого устройства, нам, лишь, придется создать ложный пакет, который будет содержать этот идентификационный номер, чтобы пакет был принят целевым устройством.

Мы выполним этот процесс в два шага с помощью одного инструмента. Сначала, мы выполним отравление ARP КЭШа на целевом устройстве, чтобы направить его трафик через наш атакующий компьютер, чтобы мы могли перехватить DNS запрос, а затем мы отправим собственно поддельный пакет. Здесь нам нужно заставить пользователя целевого компьютера посетить наш вредоносный сайт, а не тот сайт, к которому пользователь изначально хотел получить доступ. Эта атака показана на рисунке 4.

Есть несколько доступных инструментов, которые можно использовать для осуществления подделки DNS. Мы воспользуемся инструментом Ettercap, который имеет версии под Windows и Linux. Этот инструмент можно загрузить отсюда. Если вы немного изучите этот веб сайт, вы обнаружите, что Ettercap обладает большим количеством функций помимо подделки DNS, и что этот инструмент весьма широко используется в различных видах MITM атак.

Если вы устанавливаете Ettercap на машину Windows, вы заметите, что у него есть графический интерфейс, который отлично работает, но в этом примере мы будем использовать интерфейс командной строки.

Прежде чем запускать Ettercap, потребуется немного настроек. Ettercap в своей сути представляет анализатор пакетов, использующий ряд подключаемых модулей для выполнения различных атак. Модуль dns_spoof является именно тем, с чем мы будем работать в этом примере, поэтому нам нужно изменить файл конфигурации, связанный с этим модулем. На системе windows этот файл можно найти в C:\Program Files (x86)\EttercapNG\share\etter.dns и в /usr/share/ettercap/etter.dns. Этот файл довольно простой и содержит DNS записи, которые вы собираетесь подделать. В этой статье нам нужно, чтобы все пользователи, пытающиеся посетить yahoo.com, перенаправлялись на узел в локальной сети, поэтому мы добавим запись, выделенную на рисунке 5.

После запуска все, кто пытается получить доступ к www.yahoo.com, будут перенаправлены на наш злоумышленный сайт.

Дата добавления: 2015-07-08