1.实验内容
1.1 本周学习内容
-
本周学习了有关Web安全的相关知识，复习了一些有关于Web的基础知识，比如：前、后端的定义，以及在前后端各自使用的语言，如：html、css、JS（前端）；C/C++、Python、Java、Go、Php（后端）等。
-
学习了有关于数据库攻击的一些基本操作，如：SQL注入。
1.2 实验要求及内容
本实践的目标理解常用网络欺诈背后的原理，以提高防范意识，并提出具体防范方法。具体实践有
（1）简单应用SET工具建立冒名网站
（2）ettercap DNS spoof
（3）结合应用两种技术，用DNS spoof引导特定访问到冒名网站。
2.实验过程
2.1 简单应用SET工具建立冒名网站
- 实验环境
kali的IP： 192.168.125.130
主机的IP：192.168.56.1
- 开启Apache服务
systemctl start apache2 # 开启Apache服务
- 使用set工具setoolkit克隆网站
首先使用命令进入setoolkit，依次选择“Social-Engineering Attacks”→“Website Attack Vectors”→“Credential Harvester Attack Method”→“Site Cloner”，并输入主机的IP地址、要克隆的网站的网址我选择克隆超星登录平台。
setoolkit # 进入setoolkit
- 实施钓鱼攻击
在主机上访问192.168.125.130的网页，可以看到我们所访问的页面与被克隆的网站一模一样。
在主机上输入登录信息(用户名以及密码)，在kali上可以看到明文的用户的输入信息。
2.2 ettercap DNS spoof
- 实验环境
攻击机kali的IP地址：192.168.125.130
主机的IP地址： 192.168.125.1
靶机WinXp的IP地址：192.168.125.145
可以看到所有的网关均为192.168.125.2
- 更改网卡为混杂模式和更改DNS缓存表
sudo ifconfig eth0 promisc # 设置网卡eth0为混杂模式
vi /etc/ettercap/etter.dns # 进入DNS缓存表
www.baidu.com A 192.168.125.130# 在DNS缓存表中添加记录
*.baidu.com A 192.168.125.130# 在DNS缓存表中添加记录
- 实施DNS spoof
（1）进入ettercap并监听eth0网
ettercap -G # 开启ettercap，调出图形化界面（2）扫描子网并添加target
点击左上角Scan for hosts扫描子网，再点击Hosts list查看存活主机。
根据扫描结果，共扫描到4台主机，在主机列表中可看到主机和winxp的IP地址以及网关。
（3）ARP欺骗
点击“地区”图标，设置ARP欺骗，选择“ok”。
（4）DNS欺骗
点击“三个竖点”图片，设置plugins插件，双击dns_spoof，启用DNS欺骗。
可以看到此处我们ping的域名是www.baidu.com，但系统ping的是www.a.shifen.com,我们将ping的IP地址复制下来，用浏览器访问，可以发现：
根据实验五的经验，可以估计出www.a.shifen.com是百度的另一个域名。
也能在kali中捕捉到访问记录。
2.3 结合应用两种技术，用DNS spoof引导特定访问到冒名网站
- 实验环境
攻击机kali的IP地址：192.168.125.130
主机的IP地址：192.168.125.1
- 建立冒名网站
重复实验步骤2.1，这里便不再赘述。针对超星登录平台建立冒名网站。
- 实施DNS spoof
重复实验步骤2.2，这里便不再赘述。注意一下，此时的DNS缓存表更改为如下：
v8.chaoxing.com A 192.168.125.130*.v8.chaoxing.com A 192.168.125.130- 实验效果
靶机打开浏览器，通过https://v8.chaoxing.com访问网页，将进入冒名网站。冒名网站能够成功获取到用户输入的登录信息（用户名、密码和验证码）。
2.4 具体防范方法
-
尽量使用HTTPS协议。访问网站时，尽量使用HTTPS协议而不是HTTP，因为HTTPS提供了更高的安全性，可以防止数据在传输过程中被窃取或篡改。
-
使用可以信任的DNS服务器，避免使用易受到攻击的公共DNS。
-
使用安全软件检测、阻止恶意攻击。定期更新防火墙的安全策略以及使用第三方可信任的防病毒软件，检测相关恶意攻击。
-
提高防范意识，用户应不轻易点击来自不可信来源的链接，特别是要求输入敏感信息的链接。
-
识别钓鱼网站，看清自己访问的网页网址是否准确，判别与正常网址有无异同，或者可以通过看网页的内容或者整体框架来判断是否时钓鱼网站。
3.问题及解决方案
-
问题1：输入
ettercap -G指令时提示没有权限。 -
问题1解决方案：打开另一个终端，输入
xhost +，如果这条指令报错，建议所有人重新打开kali！！！ -
问题2：双击dns_spoof后，DNS欺骗不成功。
-
问题2解决方案：没有先进行ARP欺骗。
-
问题3：进行dns_spoof后，发现捕捉不到访问记录。
-
问题3解决方案：这里我也不知道什么情况，因为这一步是访问的域名不是baidu.com，又可能kali中只能捕捉这个域名的记录。
4.学习感悟、思考等
通过本次实验，我通过使用SET工具成功建立了一个简易的冒名网站并成功实现DNS Spoof。在日常生活中，要警惕未知链接、不明网站，因为攻击者的技术肯定比我们跟高级、跟难以分辨，所以此时我就要多学习相关知识，保护自己的信息安全，保护他人的数据不被窃取。
参考资料
- Linux 终端启动图形化程序界面时报错：No protocol specified
