手把手教你DNS劫持挂马

出品｜MS08067实验室（www.ms08067.com)

本文作者：BlackCat（Ms08067内网安全小组成员）

首先学习DNS劫持之前，务必要了解下DNS是个什么玩意。

DNS（域名系统）

他可以将网站的域名转换为ip地址。nternet 上的每个设备都被分配了一个 IP 地址，必须有该地址才能找到相应的 Internet 设备 - 就像使用街道地址来查找特定住所一样。当用户想要加载网页时，用户在 Web 浏览器中键入的内容（example.com）与查找 example.com 网页所需的机器友好地址之间必须进行转换。

DNS劫持：

DNS劫持又称域名劫持，是指在劫持的网络范围内拦截域名解析的请求，分析请求的域名，把审查范围以外的请求放行，否则返回假的IP地址或者什么都不做使请求失去响应，其效果就是对特定的网络不能访问或访问的是假网址。这里如果不懂的话，可以自己搭建一个DNS服务器，配置一个属于自己的域名。

A类解析是在告诉域名系统，“xxx.xxxx.xxx ”的IP地址是“xxx.xx.xx.xxx”

A事件是绑定IP的，一般的DNS劫持，都是被修改的这个位置，所以当你搜索百度的域名，

会跳转到其他的页面，就是这里A事件被修改，解析页面被指向其他的页面。

首先我们需要写好我们的恶意网站，一般都结合CS或者MSF捆绑马使用，提示更新软件或者下载安全更新，这里用我之前搭建的flash钓鱼页面：

当dns劫持后，无论他打开什么页面都会提示这个页面。下面配置开始。

下面要用到一个新的工具：Ettercap

Ettercap

EtterCap是一个基于ARP地址欺骗方式的网络嗅探工具，主要适用于交换局域网络。借助于EtterCap嗅探软件，渗透测试人员可以检测网络内明文数据通讯的安全性，及时采取措施，避免敏感的用户名/密码等数据以明文的方式进行传输。ettercap几乎是每个渗透测试人员必备的工具之一（就下面的这个虫子）。

首先第一步就是要配置 Ettercap的DNS解析，把 A记录更改为我们伪造页面的IP上

位置为：/etc/ettercap/etter.dns

然后启动 Ettercap

ettercap -G #- G 是图形化页面。

然后先选择网卡，怎么选择根据你当前的网络连接状态去选择，如果你的当前网络是是通过网线连接那么就选择你的物理网卡，如果是通过Wi-Fi那就选择你的无线网卡，这里是虚拟机环境，所以我选择我的eth0 网卡。

列出主机列表：

然后下一步是扫描当前网络的地址：

这里我开了一台win10虚拟机当靶机，地址为 192.168.93.4

接着我们把受害者的机器加入到target1中，将网关加入到target2中，用于对这两台机器进行arp欺骗。

如果想复查target的设置，快捷键 ctrl + T，可以进行更改删除操作。

下一步开启arp欺骗，Mitm-> poisoning ,弹出框选择，Sniff Remote Connections，嗅探远程的连接，将目标主机的流量都欺骗过来。

此时我们已经冒充好了网关，冒充的方式就是arp欺骗，接下来我们要冒充dns

Plugins -> Manage the plugins列出所有插件。然后选择 dns_spoof

选择后右键 activate 开启攻击，开启后模块左侧会多出来个*

然后去靶机上测试，输入百度。

实验初步成功，然后就等待他下载flash自解马即可，他要是不下载窗口就不关闭，所以这里我们可以随时观测下CS的上线情况，一旦发现他上线，我们这边就关闭dns劫持和arp欺骗，进行CS上线后的操作。

转载请联系作者并注明出处！

Ms08067安全实验室专注于网络安全知识的普及和培训。团队已出版《Web安全攻防：渗透测试实战指南》，《内网安全攻防：渗透测试实战指南》，《Python安全攻防：渗透测试实战指南》，《Java代码安全审计（入门篇）》等书籍。

团队公众号定期分享关于CTF靶场、内网渗透、APT方面技术干货，从零开始、以实战落地为主，致力于做一个实用的干货分享型公众号。

官方网站：https://www.ms08067.com/

扫描下方二维码加入实验室VIP社区

加入后邀请加入内部VIP群，内部微信群永久有效！