基于Web的DNS欺骗技术研究

第３３卷第３期　大连大学掌报　、，ｏｌ－３３　Ｎｏ．３　２０１２年６月　Ｊ０ＵＲＮＡＬ　０Ｆ　ＤＡＬＩＡＮ　ＵＮＩＶＥＲＳＩＴＹ　Ｊｕｎ．２Ｏ１２　基于Ｗｅｂ的ＤＮＳ欺骗技术研究　张尚韬　（福建信息职业技术学院，福建福州３５０００３）　摘要：本丈根据ＤＮＳ解析的过程，结合ＤＮＳ协议本身的缺陷，总结分析了ＤＮＳ欺骗的原理，利用ＤＮＳ　信息劫持进行ＤＮＳ欺骗。当客户端发送域名解析请求时，先于ＤＮＳ服务器给客户端发送欺骗应答数据包，　由于客户端处理ＤＮＳ应答报文都是简单地信任先到达的数据包，只要ＤＮＳ应答数据包的序列号标识与请求　数据包的序列号标识匹配就可以把客户端的请求重定向到某个预先设定的网页。并基于此设计开发了局域网　的ＤＮＳ欺骗系统。　关键词：ＤＮＳ欺骗；重定向；系统　中图分类号：ＴＰ３９３　文献标识码：Ａ　文章编号：１００８—２３９５（２０１２）０３．００２４．０６　收稿日期：２０１２—０２．２７　作者简介：张尚韬（１９８０．），讲师，硕士，研究方向：计算机网络技术。　Ｉｎｔｅｍｅｔ在当今社会展示了巨大的魅力，越来　错误的Ｉｎｔｅｒｎｅｔ站点等。　越多的用户通过网络获取信息，而Ｗｅｂ攻击者千　本文主要利用ＤＮＳ信息劫持进行ＤＮＳ欺骗。　方百计通过这些信息引诱用户去访问并点击他　ＤＮＳ欺骗的具体攻击过程如图１所示。　设定的Ｗｅｂ陷阱，研究ＴＣＰ／ＩＰ协议【ｌ　Ｊ的安全缺　陷和ＤＮＳ［ｚＪ网络欺骗攻击的技术原理，对了解网　ＤＮ鲫势　络协议，增强安全防范意识，对安全缺陷采取积　极的防御措施，以及下一代网络及无线网络的发　奁泛成餐饶遥１　展在可靠性、优良性和抗攻击性上有重要价值。　昕　１　ＤＮＳ欺骗概述　ＤＮＳ（ＤｏｍａｉｎＮａｍｅ　Ｓｙｓｔｅｍ，域名系统）是　因特网的一项核心服务，是一个用于管理主机名　图１　ＤＮＳ欺骗攻击示意图　字和地址映射的分布式数据库，它将便于记忆和　以福州大学网站ｗｗｗ．ｆｚｕ．ｅｄｕ．ｃｎ为例，假设　理解的名称同枯燥的ＩＰ地址联系起来，能够使人　伪造的ＩＰ为１．２．３．４，则具体的欺骗过程如下：　更方便的访问Ｉｎｔｅｍｅｔ，而不用去记住能够被机器　（１）ＤＮＳ客户端向首选ＤＮＳ服务器发送对于　直接读取的ＩＰ数串。　ｗｗｗ．ｆｚｕ．ｅｄｕ．ｃｎ的递归解析请求数据包①。　ＤＮＳ欺骗即域名信息欺骗是最常见的ＤＮＳ　ｆ２）攻击者监听到请求，并根据请求ＩＤ构造　安全问题。所谓ＤＮＳ欺骗，就是伪装ＤＮＳ服务　发送欺骗应答包②，通知与ｗ、ｖｗ．ｆｚｕ．ｅｄｕ．ｃｎ对应　器提前向客户端发送响应数据包，使客户端ＤＮＳ　的ＩＰ地址为１．２－３．４。　缓存中域名所对应的ＩＰ就是攻击者自定义的ＩＰ　（３）本地ＤＮＳ服务器返回正确应答（合法应答　了，同时客户端也进入攻击者指定的网站。当一　数据包③），如果晚于攻击者的应答，则此应答数　个ＤＮＳ服务器掉入陷阱，使用了来自一个恶意　据包被丢弃；如果早于攻击者的应答，则攻击者　ＤＮＳ服务器的错误信息，那么该ＤＮＳ服务器就　的应答数据包被丢弃。　被欺骗了。ＤＮＳ欺骗会使那些易受攻击的ＤＮＳ　（４）如果（３）中判断的为攻击者的ＤＮＳ应答数　服务器产生许多安全问题，例如：将用户引导到　据包先到达，则欺骗成功，客户端对ｗｗｗ．ｆｚｕ．ｅｄｕ　第３期　张尚韬：基于Ｗｅｂ的ＤＮＳ欺骗技术研究　２５　ｃｎ的访问被重定向到１．２．３．４。　让客户端以ＩＰ的形式重新与他访问的网站进行　连接，如果中间过程时间很短，就可以达到欺骗　２　ＤＮＳ欺骗系统的设计及实现　客户端的目的而不被发现。ＤＮＳ欺骗系统包括软　件模块和模块间的控制关系和模块组成关系，在　２．１　ＤＮＳ欺骗系统设计　设计阶段，模块指功能模块，即按设计原理，划　设计一个ＤＮＳ欺骗系统，基于ＤＮＳ欺骗的　分独立功能而设计的模块。软件结构用模块结构　原理，当客户端访问指定的域名（一般为门户网　图表示。模块结构图的方框表示模块，分支表示　站或百度等搜索引擎）时，构造ＤＮＳ欺骗数据　调用关系或组成关系，即上层模块调用下层模块，　包，重定向【。　客户端的访问。欺骗的方法是：把　或上层模块由下层模块组成。ＤＮＳ欺骗系统模块　预先设定的网页作为中间过程，在其脚本语言中　设计如图２。　图２　ＤＮＳ欺骗系统模块设计图　ＤＮＳ欺骗系统模块功能如下：　（１）循环捕获数据模块　（４）比较匹配模块　循环捕获数据模块模块的主要功能为循环　比较匹配模块主要功能是比较ＤＮＳ查询的　捕捉数据，具体的说就是时刻监听网络中的ＤＮＳ　域名是否与配置文件信息中需要攻击的域名相　查询数据包，一旦捕获ＤＮＳ请求数据就转入下　匹配，匹配则调用欺骗应答模块构造ＤＮＳ欺骗　个模块进行处理，没有捕获则循环进行监听。　应答数据包，重定向客户端的访问。　（２）ＤＮＳ数据分析模块　（５）ＤＮＳ欺骗应答模块　ＤＮＳ数据分析模块的目标就是把ＤＮＳ查询　ＤＮＳ欺骗应答模块的功能就是快速构造与　数据包输入到模块之后，解析ＤＮＳ数据包的各　ＤＮＳ查询数据包序列号匹配的欺骗应答数据包，　个主要字段。具体的说分为两个方面：一是为　若在合法ＤＮＳ服务器返回响应数据包之前到达　ＤＮＳ域名提取模块提供ＤＮＳ域名查询的数据，　客户端，则合法响应报文被丢弃，客户端查询的　二是当客户端查询的域名与非法域名数据库中　域名就被解析为自定义的ＩＰ。　的域名相匹配时，为欺骗应答模块提供ＤＮＳ应　答数据包所需的各项置换和替换的数据，其中包　２．２　ＤＮＳ欺骗系统实现　括ＤＮＳ查询序列号标识、查询问题及ＩＰ和端口　２．２．１　ＤＮＳ欺骗系统实现流程　等数据，为快速应答处理做好数据准备。　（３）ＤＮＳ域名提取模块　ＤＮＳ欺骗系统在监控主机（攻击主机）上运　ＤＮＳ域名提取模块的主要功能为提取ＤＮＳ　行，是基于Ｌｉｎｕｘ系统开发的系统，需要安装　查询数据包中的域名字段。但是ＤＮＳ查询数据　Ｌｉｂｐｃａｐ库和搭建ＨＴＴＰ服务器。系统的网络环　包中的域名字段长度是不固定的，可以通过ＤＮＳ　境为：共享式以太网，攻击主机处于旁路监听模　查询数据包的长度计算出ＤＮＳ查询域名的长度，　式Ｌ４Ｊ。共享式以太网，即局域网的出入口为具有　然后进行提取。　镜像端口的交换机，而运行ＤＮＳ欺骗系统的主　机接入到交换机的镜像端口上，从而捕获该局域　网的所有数据包。ＤＮＳ欺骗系统实现流程如图３　２６　大连大学掌报　第３３卷　图３　ＤＮＳ欺骗系统实现流程　ＤＮＳ欺骗系统是基于Ｌｉｎｕｘ系统设计的，它　访问就被重定向到预先设定的网站。　利用Ｌｉｂｐｃａｐ库　】捕获和过滤数据，在捕获处理　提取域名字段内容、域名攻击判断、构造数　数据之前需要从配置文件中读取数据，配置的参　据包、发送重定向数据包等功能都是由ＤＮＳ欺　数有目标主机ＩＰ、攻击的域名地址和重定向欺骗　骗系统来实现的。ＤＮＳ欺骗系统的详细功能实现　的ＩＰ地址（即ＨＴＴＰ服务器的ＩＰ地址）等。利　如图４中的虚线框所示。　用Ｌｉｂｐｃａｐ库函数捕获网络中的数据包，把网卡　设置为混杂模式，先根据以太网首部中的帧类型　ＤＮＳ数据分析模块　字段判断协议类型（０ｘ０８００为ＩＰ数据包），再　ＵＤＰ目的端ｕ５３　根据ＩＰ首部中的８位协议字段判断传输层的协议。　因为ＤＮＳ数据包是基于ＵＤＰ的数据包，所以只　ＤＮＳ查询数据包　需要处理ＵＤＰ数据包，其它类型的直接丢弃。　数据的置换和　替换处理　再从ＵＤＰ数据包中分离出ＤＮＳ查询报文，即目　的端口为５３的ＵＤＰ数据包，将其送入ＤＮＳ欺　发送ＤＮＳ　欺骗　答　骗模块进行处理，继续处理下一个数据包。　２．２．２　ＤＮＳ欺骗系统主要模块实现思路　颤　＼匹配　ｌ、　　的域名？／／　Ｉ、ｒ　ＤＮＳ欺骗系统的实现思路是：利用旁路接入　Ｉ　●　。　模式监听局域网中的数据包，当发现有客户端发　不处理　Ｉ　：Ｉ　１重定向网页　“　送ＤＮＳ查询数据包（ＵＤＰ：目的端口５３），则　提取其域名字段内容，与配置文件信息中的攻击　…一１＂１　………　。。……ｒ¨……　１＿　域名地址进行比较，如果匹配，则根据ＤＮＳ查　◆　◆　询数据包的序列号标识构造ＤＮＳ欺骗应答数据　包，如果先于合法应答数据包到达客户端，则其　图４　ＤＮＳ欺骗系统详细功能实现图　第３期　张尚韬：基于Ｗｅｂ的ＤＮＳ欺骗技术研究　２７　３　ＤＮＳ欺骗系统的测试与结果分析　某次测试的流程如下：首先运行监控机（攻　击主机）上的欺骗系统，导入配置文件信息（包　实验环境利用了福建信息职业技术学院网　括目标主机ＩＰ、监控主机ＩＰ和欺骗的域名信息），　络设备实验室的局域网环境，局域网内的计算机　选择监控机的真实网络适配器ｅｔｈ０捕获数据包，　通过非智能交换机相连，这时候需要人为的进行　设置过滤规则为仅捕获１９２．１６８－３．７０：５３（ＵＤＰ）　旁路设置，一般情况下，利用一台Ｈｕｂ来实现。　数据包，欺骗系统运行后处于监听状态，如图６　将网关设备、内网交换机、监控机（攻击主机）　为ＤＮＳ欺骗系统的初始运行状态。　和目标主机都接在这台Ｈｕｂ上，因为Ｈｕｂ是介质　共享的，所以监控机也能得到全部被监控主机的　ｕｄ。ｐ　ａ毗篙。　ｎｄ　ｈ　０ｓｔ　．１９２　ｈ．　１６ｔｍ１８　３．］．．＃．　７　・／０　　ｎａ　ｄ　ｄｓｔ　ｐｏｒｔ　５５　３ＤｅｖＳｃＣｅ：ｅｅ　ｅｔ　ｈＯＬ’Ｓｔｅｍｎａ　ｏｎ．．．　通信数据，网络拓扑如图５所示。这种情况下也　可以把Ｈｕｂ换成可以做镜像端口的交换机。　图６　ＤＮＳ欺骗系统初始运行状态　当监控主机捕获到数据包时，就会调用ＤＮＳ　数据分析模块分析数据包是否为ｒｄ　１　ａ　ａ　ＤＮＳ查询数据　ａ　ａ　ａ　ａ　包，若是，与配置文件信息中需要欺骗的域名比　１　晓＿ｎ　ｎ　ｒ　ｏ　ｔ　ａ　ｅ　Ｕ　Ｓ　ＵＳ　Ｓ　Ｕ　Ｓ　Ｕ　Ｓ　Ｕ　Ｓ　Ｕ　Ｓ　０　ｐｔＳ　ｅ　ｑｔ　ＮＤ　ｔ　Ｎ　Ｎｔ　Ｎｔ　Ｎｔ　Ｎ　ｔ　Ｎ　ｅ　ｑｒ　０　ｐＤ　ｒ　ｅ　ｑｒ　ｒ　ｅ　ｑＤ　ｅ　ｑ　ｅ　ｑ　ｒ　Ｄ　ｒ　Ｄ　较，匹配的话，发送ＤＮＳ欺骗数据包，重定向　Ｃ　ｏ　９ｔ　ｅ　ｒ　ｅ　Ｓｔ　ｅｔ　ｅｔ　ｅ　ｔ　ｅ　ｎ　Ｕ　Ｕ　ｅ　Ｕ　Ｕ　Ｕ　Ｕ　客户端的访问。在欺骗系统启动后，目标主机　ｈｔ　０　．ｎ　ｄ［ｄ　Ｓｄ［ｄ［ｄ［ｄ［　茹　ｎ　ｗ　１９２．１６８．３．７Ｏ分别访问了不同的网页。图７显示　的是ＤＮＳ欺骗系统捕获到目标主机访问　ｄ　／Ｏ　】．１８　ｋ　ｈ．静３　ｔ１ｔ¨６ｔ．ｔｌ　ａ　ｏ　０ｄ　ｐ　Ｓｄ　Ｓ　ｎ　．７　６　Ｃ　Ｓ　ｎ　ａ　．＿．　ｅ　ｐ．ｐ．　ｆ　ｆｌ】　ｍ　ｍｔ　ｒｏ　ｏｒ　ｒ】　ｎ　ｍ．ｃ　ａｅ　．ｇ暑ｄｌ　Ｄｋ。ｏ　ｇ　ｂ９　．　Ｃ．Ｃ　１．ａ　　１　ｍ　ｆ　．ｌ　ａ　３　．８．２　１　　Ｃ】　ｑ　ｏ．．ｅ　Ｋ　Ｃ　ａｆ　ｐｇｐＣ．ｆ　ｍ】ｑ－．Ｃ＿．ｅ　ｒｋ　ｏ　　　ｍｔ．ｔ　ｅ　Ｃ．Ｃ．（１　ａ　ｏｒｑｅ　２　ｅ　ｍ　．　ｏ　ｑ　　Ｃ　ｑ　　．　ｅ　ａ　ａ　Ｐ】ＰＣｆ　∞ｋＩ．ｎ】　Ｃｑ　ｅｑ　Ｃｏｔ。Ｃ　１ｋ．Ｕ　ａｋ　　．　ｎｅｆ　１　Ｗ、ｖｗ．ｂａｉｄｕ．ｃｏｒｎ，并发送ＤＮＳ欺骗数据包的过程。　ｆ　ｔ　ｏ　１　１　。１　３　５　Ｄ　ｔ　ｒ　ｏ　ｐ　Ｃ　Ｖ　ｅ　Ｏ　７　３　８　６　１　２　９　．。　０　７　７３８６　６１　１Ｚ９　９１　。　．８　．２　０　．　１　２　９　７　３　８　６　．　．　２　０　７　３　８　６　１　。．。　１　８　６　ｌ　２　９　ｍ　Ｄ　ｒ．　】　ｆ　１　２　９　１　ｍ　ｏ　ｒ　．　图５测试网络拓扑　当客户端访问指定的域名（一般为门户网站　或百度等搜索引擎）时，构造ＤＮＳ欺骗数据包，　ｅ　：　０　３　．　６　８　ｅ　［　０　３　．　把客户端的访问重定向到预先设定的恶意网页　ｈ　７　０　０　作为中问过程，当完成该网页的请求时，客户端　图７　ＤＮＳ欺骗系统的运行状态　会以ＩＰ的形式跳转到客户端访问的网站，达到欺　骗的目的。　其中目标主机访问谷歌和腾讯的网站，不是　某次测试参数设置：目标主机ＩＰ为　欺骗系统需要欺骗的域名，没有对此ＤＮＳ查询　１９２．１６８＿３．７０（或者是某一网段的ＩＰ），监控主机　数据包处理；当目标主机访问百度时，ＤＮＳ欺骗　ＩＰ为１９２．１６８－３．１　１１，ＤＮＳ欺骗的域名为　系统对客户端进行了重定向欺骗，目标主机先访　、）ｌ，、＾　，．ｂａｉｄｕ．ｔｏｍ，ＤＮＳ域名欺骗后指向ＩＰ设置为　问攻击主机（１９２．１６８－３．１１１）设定的中间网页，　为１９２．１６８．３．１　１　１。启动“科来”网络分析系统监听　之后以ＩＰ的形式访问百度（２２０．１８１．３７．５５为百度　数据包，分析ＤＮＳ欺骗Ｌ６Ｊ的过程。　的一个服务器的ＩＰ地址）。如图８显示的是对目　标主机欺骗跳转后的结果。　堑Ｊ舅嘲页　巴塑监蛭　堕　图８　ＤＮＳ域名欺骗的结果　第３期　张尚韬：基于Ｗｅｂ的ＤＮＳ欺骗技术研究　２９　生的网络安全事件中，７０％的攻击是来自内部，　因此网络安全不仅仅是对外的，内部网络的欺骗　攻击行为成为内部网络安全研究的重点。通过研　究ＤＮＳ欺骗技术，将来可以为拥有中小型网络　的企事业单位提供全方位的内部网络非法网站　访问监控服务。　［２　２］ＤＥＣＣＩＯ，ＣＡＳＥＹＳＥＤＡＹＡＯ．　Ｑｕａｎｔｉｆｙｉｎｇ　ＤＮＳ　ｎａｍｅｓｐａｃｅ　ｉｎｆｌｕｅｎｃｅ［Ｊ］．Ｃｏｍｐｕｔｅｒ　Ｎｅｔｗｏｒｋｓ，２０１２，５６（２）：　７８０．７９４．　［３】杨青．基于蜜罐的网络动态取证系统研究［Ｊ】＿山东科　学．２０１０（５）：５９．６５．　［４］宋广军．基于校园网的防火墙和入侵检测联动技术研　究［Ｊ］．科技资讯，２０１１（３４）：２５．　［５】张毅．基于Ｌｉｂｎｅｔ和Ｌｉｂｐｃａｐ的网络丢包率测试平台　设计［Ｊ］．广东通信技术，２０１０（１）：２３．２７．　参考文献：　［１］Ｗ　ＲＩＣＨＡＲＤ　ＳＴＥＶＥＮＳ．ＴＣＰ／ＩＰ详解卷１：协议［Ｍ］　［６孔政，姜秀柱．ＤＮＳ欺骗原理及其防御方案［６］Ｊ］，计算　机工程，２０１０，３６（０３）：１２５—１２７．　北京：机械工业出版社，２００５：１０１—１１０．　Ａ　Ｓｔｕｄｙ　ｏｆ　ＤＮＳ　Ｓｐｏｏｆｉｎｇ　Ｔｅｃｈｎｏｌｏｇｙ　Ｂａｓｅｄ　ｏｎ　Ｗｅｂ　ＺＨＡＮＧ　Ｓｈａｎｇ—ｔａｏ　（Ｆｕｊｉａｎ　Ｐｏｌｙｔｅｃｈｎｉｃ　ｏｆＩｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ，Ｆｕｚｈｏｕ　３５０００３，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ａｃｃｏｒｄｉｎｇ　ｔｏ　ｔｈｅ　ＤＮＳ　ｒｅｓｏｌｕｔｉｏｎ　ｐｒｏｃｅｓｓ　ａｎｄ　ｔｈｅ　ｄｒａｗｂａｃｋ　ｏｆ　ＤＮＳ　ｉｔｓｅｌｆ，ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｓｅｓ　ｔｈｅ　ｐｒｉｎｃｉｐｌｅ　ｏｆ　ＤＮＳ　ｓｐｏｏｆｉｎｇ　ａｎｄ　ＤＮＳ　ｉｎｆｏｒｍａｔｉｏｎ　ｈｉｊａｃｋ．Ｗｈｅｎ　ｔｈｅ　ｃｌｉｅｎｔ　ｓｅｎｄｓ　ａ　ｄｏｍａｉｎ　ｒｅｓｏｌｕｔｉｏｎ　ｑｕｅｒｙ，ｉｔ　ｗｉｌｌ　ｓｅｎｄ　ｔｈｅ　ｓｐｏｏｆｉｎｇ　ｒｅｓｐｏｎｓｅ　ｐａｃｋｅｔ　ｔｏ　ｔｈｅ　ｃｌｉｅｎｔ　ａｈｅａｄ　ｏｆ　ｔｈｅ　ＤＮＳ　ｓｅｒｖｅｒ．Ｓｉｎｃｅ　ｔｈｅ　ｗａｙ　ｏｆ　ｔｈｅ　ｃｌｉｅｎｔ　ｐｒｏｃｅｓｓｉｎｇ　ＤＮＳ　ｒｅｓｐｏｎｓｅ　ｉｓ　ｔｏ　ｔｒｕｓｔ　ｔｈｅ　ｆｉｒｓｔ　ａｒｒｉｖａｌ　ｄａｔａ　ｓｉｍｐｌｙ，ｔｈｅ　ｃｌｉｅｎｔ　ｑｕｅｒｙ　ｃａｎ　ｂｅ　ｒｅｄｉｒｅｃｔｅｄ　ｔｏ　ｍａｌｉｃｉｏｕｓ既ｂ　ｓｉｔｅ　ｏｎｌｙ　ｂｙ　ｍａｔｃｈｉｎｇ　ｔｈｅ　ＩＤ　ｏｆ　ｔｈｅ　ｒｅｓｐｏｎｓｅ　ｗｉｔｈ　ｔｈｅ　ＩＤ　ｏｆ　ｔｈｅ　ｑｕｅｒｙ．Ｔｈｉｓ　ｐａｐｅｒ　ｄｅｓｉｇｎｓ　ａｎｄ　ｄｅｖｅｌｏｐｓ　ＤＮＳ　ｓｐｏｏｆｉｎｇ　ｓｙｓｔｅｍ　ｂａｓｅｄ　ｏｎ　ＬＡＮ．　Ｋｅｙ　ｗｏｒｄｓ：ＤＮＳ　ｓｐｏｏｆｉｎｇ；ｒｅｄｉｒｅｃｔｉｏｎ；ｓｙｓｔｅｍ