手把手教你DNS劫持挂马

出品｜MS08067实验室（www.ms08067.com)

本文做者：BlackCat（Ms08067内网安全小组成员）

首先学习DNS劫持以前，务必要了解下DNS是个什么玩意。

DNS（域名系统）

他能够将网站的域名转换为ip地址。nternet 上的每一个设备都被分配了一个 IP 地址，必须有该地址才能找到相应的 Internet 设备 - 就像使用街道地址来查找特定住所同样。当用户想要加载网页时，用户在 Web 浏览器中键入的内容（example.com）与查找 example.com 网页所需的机器友好地址之间必须进行转换。

DNS劫持：

DNS劫持又称域名劫持，是指在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围之外的请求放行，不然返回假的IP地址或者什么都不作使请求失去响应，其效果就是对特定的网络不能访问或访问的是假网址。这里若是不懂的话，能够本身搭建一个DNS服务器，配置一个属于本身的域名。

A类解析是在告诉域名系统，“xxx.xxxx.xxx ”的IP地址是“xxx.xx.xx.xxx”

A事件是绑定IP的，通常的DNS劫持，都是被修改的这个位置，因此 当你搜索百度的域名，

会跳转到其余的页面，就是这里A事件被修改，解析页面被指向其余的页面。

首先 咱们须要写好咱们的恶意网站，通常都结合CS或者MSF捆绑马使用，提示更新软件或者下载安全更新，这里用我以前搭建的flash钓鱼页面 ：

当dns劫持后，不管他打开什么页面都会提示这个页面。下面配置开始。

下面要用到一个新的工具：Ettercap

Ettercap

  EtterCap是一个基于ARP地址欺骗方式的网络嗅探工具，主要适用于交换局域网络。借助于EtterCap嗅探软件，渗透测试人员能够检测网络内明文数据通信的安全性，及时采起措施，避免敏感的用户名/密码等数据以明文的方式进行传输。ettercap几乎是每一个渗透测试人员必备的工具之一（就下面的这个虫子）。

首先第一步就是要配置 Ettercap的DNS解析，把 A记录更改成咱们伪造页面的IP上

位置为：/etc/ettercap/etter.dns

而后 启动 Ettercap

ettercap -G #- G 是图形化页面。

而后先选择网卡，怎么选择根据你当前的网络链接状态去选择，若是你的当前网络是是经过网线链接那么就选择你的物理网卡，若是是经过Wi-Fi那就选择你的无线网卡，这里是虚拟机环境，因此我选择个人eth0 网卡。

列出主机列表：

而后下一步是扫描当前网络的地址：

这里我开了一台win10虚拟机当靶机，地址为 192.168.93.4

接着咱们把受害者的机器加入到target1中，将网关加入到target2中，用于对这两台机器进行arp欺骗。

若是想复查target的设置，快捷键 ctrl + T，能够进行更改删除操做。

下一步开启arp欺骗，Mitm-> poisoning ,弹出框选择，Sniff Remote Connections，嗅探远程的链接，将目标主机的流量都欺骗过来。

此时咱们已经冒充好了网关，冒充的方式就是arp欺骗，接下来咱们要冒充dns

Plugins -> Manage the plugins列出全部插件。而后选择 dns_spoof

选择后 右键 activate 开启攻击，开启后模块左侧会多出来个*

而后去靶机上测试 ，输入百度。

实验初步成功，而后就等待他下载flash自解马便可，他要是不下载窗口就不关闭，因此这里咱们能够随时观测下CS的上线状况，一旦发现他上线，咱们这边就关闭dns劫持和arp欺骗，进行CS上线后的操做。

 
 
 

转载请联系做者并注明出处！

Ms08067安全实验室专一于网络安全知识的普及和培训。团队已出版《Web安全攻防：渗透测试实战指南》，《内网安全攻防：渗透测试实战指南》，《Python安全攻防：渗透测试实战指南》，《Java代码安全审计（入门篇）》等书籍。
团队公众号按期分享关于CTF靶场、内网渗透、APT方面技术干货，从零开始、以实战落地为主，致力于作一个实用的干货分享型公众号。
官方网站：https://www.ms08067.com/

扫描下方二维码加入实验室VIP社区
加入后邀请加入内部VIP群，内部微信群永久有效！