Ethical Hacking 简明教程
Ethical Hacking - DNS Poisoning
DNS 欺骗是一种欺骗 DNS 服务器，使其确信它已收到真实信息的技术，而实际上它并未收到。这将导致在 DNS 级别替换错误的 IP 地址，在那里 Web 地址被转换为数字 IP 地址。它允许攻击者用服务器控件的 IP 地址替换给定 DNS 服务器上目标网站的 IP 地址条目。攻击者可以创建可能包含恶意内容的服务器假 DNS 条目，名称与该服务器相同。
例如，用户键入 www.google.com，但用户会被发送到另一个欺诈网站，而不是被定向到 Google 服务器。正如我们所理解的，DNS 欺骗用于将用户重定向到由攻击者管理的虚假页面。
DNS Poisoning − Exercise
让我们使用相同的工具 Ettercap 对 DNS 欺骗进行练习。
DNS 欺骗非常类似于 ARP 欺骗。要启动 DNS 欺骗，您必须从我们在上一章中已经讨论过的 ARP 欺骗开始。我们将使用 Ettercap 中已经存在的 DNS spoof 插件。
Step 1 − 打开终端并键入“nano etter.dns”。此文件包含由 Ettercap 用于解析域名地址的所有 DNS 地址的条目。在此文件中，我们将添加 Facebook 的一个假条目。如果有人想要打开 Facebook，他将被重定向到另一个网站。
Step 2 − 现在在“重定向到 www.linux.org” 字样下插入条目。请参见以下示例 −
Step 3 - 现在保存此文件并保存文件退出。使用“ctrl+x”保存文件。
Step 4 - 此后，整个过程都相同，开始 ARP 中毒。启动 ARP 中毒后，单击菜单栏中的“插件”并选择“dns_spoof”插件。
Step 5 - 激活 DNS_spoof 后，您将在结果中看到，每当有人在其浏览器中键入 facebook.com 时，它将开始向 Google IP 进行欺骗。
这意味着用户在其浏览器中获取 Google 页面，而不是 facebook.com。
在本练习中，我们了解了如何通过不同的工具和方法来嗅探网络流量。这里一家公司需要一位道德黑客为其提供网络安全，以阻止所有这些攻击。让我们了解一下一位道德黑客可以做些什么来防止 DNS 中毒。
Defenses against DNS Poisoning
作为一名道德黑客，您的工作很大可能将您置于预防而不是笔试的位置。您作为攻击者所知道的事情可以帮助您防止从外部采用的技术。
以下是笔试人员的角度对我们刚刚涵盖的攻击进行的防御措施：
-
对网络中最敏感的部分使用硬件交换网络，以将流量分离到一个独立的分段或冲突域。
-
在交换机上实现 IP DHCP 侦听，以防止 ARP 中毒和欺骗攻击。
-
实施策略以防止网络适配器使用混杂模式。
-
部署无线接入点时要小心，因为无线网络上的所有流量都可能被嗅探。
-
使用 SSH 或 IPsec 等加密协议加密敏感流量。
-
端口安全由交换机使用，这些交换机能够编程以仅允许特定的 MAC 地址在每个端口上发送和接收数据。
-
IPv6 具有 IPv4 所没有的安全优势和选项。
-
用 SSH 替换 FTP 和 Telnet 等协议是防止嗅探的有效防御措施。如果 SSH 不是可行的解决方案，请考虑使用 IPsec 保护旧的传统协议。
-
虚拟专用网络 (VPN) 由于其加密方面，可以提供有效的防御嗅探措施。
-
SSL 是与 IPsec 一起强大的防御措施。