实验预计耗时：45分钟

1. 课程背景

ARP欺骗（英语：ARP spoofing），又称ARP毒化（ARP poisoning，网上上多译为ARP病毒）或ARP攻击，是针对以太网地址解析协议（ARP）的一种攻击技术，通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。

DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为。 攻击者可以冒充域名服务器，然后把查询的IP地址设为攻击者的IP地址，这样的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这就是DNS欺骗的基本原理。

2. 实验环境

2.1 实验操作环境

• 一台运行Windows Server 2016 Datacenter的服务器
• 一台运行Windows 7的计算机作为靶机
• 一台运行Kali2.0的攻击机

可以使用以下三种方式创建3台虚拟机（需在同一网段）：

1. Windows个人电脑，建议使用VMware
2. Mac个人电脑，建议使用Virtual box
3. 腾讯云CVM

2.2 下载链接

相关镜像及软件可使用以下链接进行下载：

ed2k://|file|cn_windows_server_2016_x64_dvd_9718765.iso|6176450560|CF1B73D220F1160DE850D9E1979DBD50|/

Kali官网：https://www.kali.org/downloads/

Win7镜像：可自行搜索安装

FTPserver：可自行搜索安装

2.3 前提条件

本实验要求：

• 了解Kali操作系统背景及发展历史
• 熟悉Windows操作系统基本操作
• 熟悉Kali操作系统基本操作

2.4 实验要求

1.靶机和服务器的防火墙需要关闭。

在搜索框搜索firewall，点击“检查防火墙状态”。

点击“打开或关闭Windows防火墙“。

关闭防火墙设置，点击确定。

服务器的防火墙也可采用类似的方法关闭。

2.服务器的FTP端口需要打开。

在高级安全Windows防火墙页面，点击“入站规则“。

步骤一：规则类型。选择”端口“。

步骤二：协议和端口。选择”TCP“，”特定本地端口“填写21。

步骤三：操作。选择”允许链接“。

步骤四：配置文件。全部选择。

步骤五：名称。定义规则名，完成配置。

同样参考上述流程，在出站规则中开放21端口。

3. 实验流程

完成本实验后，您将能够：

• 掌握ettercap攻击工具的配置方法
• 掌握ARP欺骗攻击的方法与操作流程
• 掌握DNS欺骗攻击方法及钓鱼攻击的操作步骤

4. 实验步骤

4.1 任务1 利用ARP欺骗截获FTP账号密码

【任务目标】

利用Kali主机里面的ettercap攻击工具实现ARP协议欺骗攻击。

【任务步骤】

1.查询靶机、服务器和攻击机的IP

打开靶机的cmd命令行，输入ipconfig查询靶机IP。

打开服务器的cmd命令行，输入ipconfig查询靶机IP。

打开kali的命令行，输入ifconfig查询IP。

2.配置Ettercap工具

打开kali主机，在桌面空白处，右键鼠标，选择打开”新的终端“，在kali终端输入：ettercap -G，进入工具。

ettercap -G

在工具左上角，点击“Sniff“，选择”Unified sniffing"。

选择网卡。

点击菜单栏上的“Hosts“，点击”Scan for hosts“，扫描局域网内网主机。

点击菜单栏上的“Hosts“，点击”Hosts list"，列出当前主机列表。

在主机列表中找到靶机的IP，点击"Add to Target 1"，添加靶机IP到Target。

点击菜单栏上的“Mitm“，选择"ARP poisoning“。

在弹出框选中”Sniff remote connections"，点击确定。

3.配置FTP服务器

在服务器中，双击运行FTPserver.exe，并配置对应账号student，密码123456

在靶机打开IE浏览器，在URL输入：ftp://服务器IP地址

4.回到kali攻击主机，查看攻击结果。可以看到我们截获了FTP的账号密码。

4.2 任务2 DNS欺骗攻击

【任务目标】

利用Kali主机里面的ettercap攻击工具实现DNS协议欺骗攻击。

【任务步骤】

1.参考任务1，查询靶机、攻击机的IP

2.进入ettercap安装目录，编辑etter.dns解析文件。文件位于/etc/ettercap文件夹。

在下图所示位置添加以下记录，保存退出。

* A <攻击机IP>
* PTR <攻击机IP>

3.进入/var/www/html目录，编辑index.html网页文件内容

删除index.html里面的所有内容。

输入任意内容作为攻击页面，保存退出。

输入如下命令，重启apache服务，现在kali攻击机就相当于一个网页服务器。

/etc/init.d/apache2 restart

4.配置IP转发并使用ettercap配置攻击

查看IP转发：

cat /proc/sys/net/ipv4/ip_forward

如果ipv4转发没有开启，值为0。默认情况下IP转发功能未开启。

开启IP转发，将该文件的值改为1即可。

echo "1" > /proc/sys/net/ipv4/ip_forward

打开ettercap攻击工具：

ettercap -G

5.配置欺骗攻击

在工具左上角，点击“Sniff“，选择”Unified sniffing"。

选择网卡。

点击菜单栏上的“Hosts“，点击”Scan for hosts“，扫描局域网内网主机。

点击菜单栏上的“Hosts“，点击”Hosts list"，列出当前主机列表。

找到靶机IP，点击"Add to Target 1"。

找到网关IP，点击"Add to Target 2"。

点击菜单栏上的“Mitm“，选择"ARP poisoning"。

在弹出窗口选中“Sniff remote connections“，点击确定。

点击菜单栏上的"Plugins"，选择“Manage the plugins“，打开插件管理。

双击选择dns_spoof。

点击菜单栏上的“Start“，选择"Start sniffing"开始攻击。

6.在靶机打开IE浏览器，输入网址测试结果http://www.qq.com。可以看到打开的是我们的攻击页面。

5. FAQ

1、利用ARP欺骗截获FTP账号密码时，ettercap获取不到账号密码。

解决方法：检查ettercap的target目标设置情况

6. 注意事项

如实验资源无需保留，请在实验结束后及时销毁，以免产生额外费用。