还剩4页未读,继续阅读
文本内容:
DNS欺骗技术教程网站平安电脑资料定义DNS欺骗就是攻击者冒充域名效劳器的一种欺骗行为,原理如果可以冒充域名效劳器,然后把查询的IP地址设为攻击者的IP地址,这样的话,用户上网就只能看到攻击者的主页,而不是用户想要取得的网站的主页了,这就是DNS欺骗的基本原理DNS欺骗其实并不是真的“黑掉”了对方的网站,而是冒名顶替、招摇撞骗罢了现在的Inter上存在的DNS效劳器有绝大多数都是用bind来架设的使用的bind版本主要为bind
4.
9.5+P1以前版本和bind
8.
2.2-P5以前版本.这些bind有个共同的特点就是BIND会缓存Cache所有已经查询过的结果这个问题就引起了下面的几个问题的存在.
1.DNS欺骗在DNS的缓存还没有过期之前如果在DNS的缓存中已经存在的记录一旦有客户查询DNS效劳器将会直接返回缓存中的记录.下面我们来看一个例子:一台运行着unix的Inter主机并且提供rlogin效劳它的IP地址为
123.
45.
67.89它使用的DNS效劳器即/etc/resolv.conf中指向的DNS效劳器的IP地址为
98.
76.
54.32某个客户端IP地址为
38.
222.
74.2试图连接到unix主机的rlogin端口假设unix主机的/etc/hosts.equiv文件中使用的是dns名称来允许目标主机的访问那么unix主时机向IP为
98.
76.
54.32的DNS效劳器发出一个PTR记录的查询:
123.
45.
67.89-
98.
76.
54.32[Query]NQY:1NAN:0NNS:0NAD:0QY:
2.
74.
222.
38.in-addr.arpaPTRIP为
98.
76.
54.32的DNS效劳器中没有这个反向查询域的信息经过一番查询这个DNS效劳器找到
38.
222.
74.2和
38.
222.
74.10为
74.
222.
38.in-addr.arpa.的权威DNS效劳器所以它会向
38.
222.
74.2发出PTR查询:
98.
76.
54.32-
38.
222.
74.2[Query]NQY:1NAN:0NNS:0NAD:0QY:
2.
74.
222.
38.in-addr.arpaPTR请注意
38.
222.
74.2是我们的客户端IP也就是说这台机子是完全掌握在我们手中的.我们可以更改它的DNS记录让它返回我们所需要的结果:
38.
222.
74.2-
98.
76.
54.32[Answer]NQY:1NAN:2NNS:2NAD:2QY:
2.
74.
222.
38.in-addr.arpaPTRAN:
2.
74.
222.
38.in-addr.arpaPTRtrusted.host.AN:trusted.host.A
38.
222.
74.2NS:
74.
222.
38.in-addr.arpaNSns.sventech.NS:
74.
222.
38.in-addr.arpaNSns
1.sventech.AD:ns.sventech.A
38.
222.
74.2AD:ns
1.sventech.A
38.
222.
74.10当
98.
76.
54.32的DNS效劳器收到这个应答后会把结果转发给
123.
45.
67.98就是那台有rlogin效劳的unix主机也是我们的目标:并且
98.
76.
54.32这台DNS效劳器会把这次的查询结果缓存起来.这时unix主机就认为IP地址为
38.
222.
74.2的主机名为trusted.host.然后unix主机查询本地的/etc/hosts.equiv文件看这台主机是否被允许使用rlogin效劳很显然我们的欺骗到达了.在unix的环境中有另外一种技术来防止这种欺骗的发生就是查询PTR记录后也查询PTR返回的主机名的A记录然后比拟两个IP地址是否相同:
123.
45.
67.89-
98.
76.
54.32[Query]NQY:1NAN:0NNS:0NAD:0QY:trusted.host.A很不幸在
98.
76.
54.32的DNS效劳器不会去查询这个记录而会直接返回在查询
2.
74.
222.
38.in-addr.arpa时得到的并且存在缓存中的信息:
98.
76.
54.32-
123.
45.
67.89[Query]NQY:1NAN:1NNS:2NAD:2QY:trusted.host.AAN:trusted.host.A
38.
222.
74.2NS:
74.
222.
38.in-addr.arpaNSns.sventech.NS:
74.
222.
38.in-addr.arpaNSns
1.sventech.AD:ns.sventech.A
38.
222.
74.2AD:ns
1.sventech.A
38.
222.
74.10那么现在unix主机就认为
38.
222.
74.2就是真正的trusted.host.了我们的目的到达了!这种IP欺骗的条件是:你必须有一台Inter上的授权的DNS效劳器并且你能控制这台效劳器至少要能修改这台效劳器的DNS记录我们的欺能进行.
2.拒绝效劳攻击Denialofservice还是上面的例子如果我们更改位于
38.
222.
74.2的记录然后对位于
98.
76.
54.32的DNS效劳器发出
2.
74.
222.
38.in-addr.arpa的查询并使得查询结果如下:因为
74.
222.
38.in-addr.arpa完全由我们控制所以我们能很方便的修改这些信息来实现我们的目的.
38.
222.
74.2-
98.
76.
54.32[Answer]NQY:1NAN:2NNS:2NAD:2QY:
2.
74.
222.
38.in-addr.arpaPTRAN:
2.
74.
222.
38.in-addr.arpaPTRtrusted.host.AN:.pany.A
0.
0.
0.1NS:
74.
222.
38.in-addr.arpaNSns.sventech.NS:
74.
222.
38.in-addr.arpaNSns
1.sventech.AD:ns.sventech.A
38.
222.
74.2AD:ns
1.sventech.A
38.
222.
74.10这样一来使用
98.
76.
54.32这台DNS效劳器的用户就不能访问.pany.了因为这个IP根本就不存在!
3.偷取效劳Theftofservices还是上面的例子只是更改的查询结果如下:
38.
222.
74.2-
98.
76.
54.32[Answer]NQY:1NAN:3NNS:2NAD:2QY:
2.
74.
222.
38.in-addr.arpaPTRAN:
2.
74.
222.
38.in-addr.arpaPTRtrusted.host.AN:.pany.AME.petitor.AN:pany.MX0mail.petitor.NS:
74.
222.
38.in-addr.arpaNSns.sventech.NS:
74.
222.
38.in-addr.arpaNSns
1.sventech.AD:ns.sventech.A
38.
222.
74.2AD:ns
1.sventech.A
38.
222.
74.10这样一来一个本想访问.petitor.的用户会被带到另外一个地方甚至是敌对的公司的竹叶想想把华为和北电联起来是什么样的感觉.:.并且发给pany.的邮件会被发送给mail.pertitor..越来越觉得在网络上的日子不踏实!xxbin这样想.
4.限制对这些攻击也有一定的限制.首先攻击者不能替换缓存中已经存在的记录.比方说如果在
98.
76.
54.32这个DNS效劳器上已经有一条.pany.的AME记录那么攻击者试图替换为.petitor.将不会成功.然而一些记录可以累加比方A记录如果在DNS的缓存中已经存在一条.pany.的A记录为
1.
2.
3.4而攻击者却欺骗DNS效劳器说.pany.的A记录为
4.
3.
2.1那么.pany.将会有两个A记录客户端查询时会随机返回其中一个.呵呵这不是loadingbalance么其次DNS效劳器有个缓存刷新时间问题如果.buddy的TTL为7200那么DNS效劳器仅仅会把.buddy的信息缓存7200秒或者说两个小时.如果攻击者放入一条TLL为604800的A记录那么这条记录将会在缓存中保存一周时间过了默认的两天后这个DNS效劳器就会到处分发攻击者假造的记录.下面是常用的几种可以累加和不能累加的记录:AcanaddNScanaddMXcanaddPTRcannotadd模板内容仅供参考 。