简单的中间人攻击实验
今天主要是做了一下一个非常非常简单的中间人的攻击人实验。
一、前期环境准备，准备三台主机，为windows2025服务器、windows3、kali攻击机，IP地址如下图所示：
Windows2025服务器的IP地址（10.0.0.15）如图所示：
Windows3的IP地址（10.0.0.10）如图所示：
Kali攻击机的IP地址（10.0.0.11）如图所示：
在windows2025服务器上进行DNS管理配置，使其余两台主机能够通过www.cxy.com访问到10.0.0.1的页面，结果图如下所示：
Windows2025服务器：
Windows3因为浏览器版本问题，图片无法正常显示：
Kali攻击机：
可以看到我们通过访问www.cxy.com可以正常访问。
二、攻击操作：
在kali攻击机中找到etercap-pkexec软件并打开：
打开界面如图所示：
找到host选项，如图所示：
选择扫描：
结果如图所示：
可以扫描到在这个网卡里面的所有主机的IP地址和MAC地址，我们将其两个地址添加到目标选择中如图所示：
先查看kali攻击机上监听的端口,如图所示：
可以看到其中并没有开启80端口的监听，httpd服务并没有启用，我们需要启用httpd服务，如图所示：
可以看到监听的服务端口也开启，服务已经开启，我们先访问一下本地的服务，如图所示：
进入etercap-pkexec的配置文件，针对 www.cxy.com 域名，将其流量引导到攻击者控制的 10.0.0.11 服务器，重启httpd如图所示：
然后找到ARP欺骗的选项如图所示：
找到plugins项：
择manage plugins：
选择dns欺骗：
三、结果
在window3上访问www.cxy.com可以看到，当前页面为kali攻击机的页面，如图所示：
解析出来的DNS如图所示：
知识点与思路总结
1. 实验核心知识点
（1）中间人攻击（Man-in-the-Middle Attack）原理
- 攻击者秘密插入通信双方之间，拦截、窃听或篡改通信数据。
- 本实验通过 ARP 欺骗和 DNS 欺骗实现流量劫持。
（2）ARP 欺骗（ARP Spoofing）
- 利用 ARP 协议无状态、无认证的缺陷，伪造 ARP 响应包。
- 使目标主机将攻击者的 MAC 地址误认为网关或其他主机的 MAC 地址。
- 攻击机（Kali）成为受害者（Windows3）与服务器（Windows2025）之间的“中间人”。
（3）DNS 欺骗（DNS Spoofing）
- 篡改 DNS 解析结果，将合法域名（如 www.cxy.com）指向攻击者控制的 IP 地址。
- 本实验中，攻击者将 www.cxy.com 解析到自己的 IP（10.0.0.11）。
（4）Ettercap 工具使用
- 一款综合性的中间人攻击套件，支持 ARP 欺骗、DNS 欺骗、密码嗅探等。
- 关键步骤：扫描主机 → 选择目标 → 启用 ARP 欺骗 → 加载 DNS 欺骗插件 → 配置欺骗规则。
（5）HTTP 服务配置
- 攻击前需在 Kali 上启动 Apache（httpd）服务，监听 80 端口。
- 准备一个伪造的 Web 页面，用于在受害者访问时展示。
2. 实验操作思路
第一阶段：环境准备
- 网络拓扑搭建：准备三台主机（服务器、客户端、攻击机），确保在同一网段（10.0.0.0/24）且能互相通信。
- DNS 基础配置：在服务器上配置 DNS，使 www.cxy.com 正常解析到 10.0.0.1（或实际服务器 IP），建立正常访问基线。
- 服务验证：分别在服务器和攻击机上部署 Web 服务，确保能通过 IP 直接访问。
第二阶段：攻击实施
- 信息收集：使用 Ettercap 扫描网络，获取目标主机的 IP 和 MAC 地址。
- ARP 欺骗：将攻击机插入服务器与客户端之间，使双方流量都经过攻击机。
- DNS 欺骗准备：在攻击机上配置 DNS 欺骗规则，将目标域名指向攻击机 IP。
- 启动攻击：启用 ARP 欺骗和 DNS 欺骗插件，开始拦截和篡改流量。
第三阶段：效果验证
- 客户端访问验证：在客户端（Windows3）访问 www.cxy.com，观察是否跳转到攻击机页面。
- DNS 解析验证：检查客户端 DNS 缓存或使用 nslookup，确认域名被解析到攻击机 IP。
- 流量监控（可选）：在攻击机上使用 Wireshark 等工具捕获经过的 HTTP 请求，验证中间人角色。
3. 防御思路
- 静态 ARP 绑定：在重要主机上配置静态 ARP 表项，防止 ARP 欺骗。
- 使用 HTTPS：加密通信内容，防止中间人窃听和篡改（但本实验为 HTTP，故可被劫持）。
- DNS 安全扩展（DNSSEC）：验证 DNS 响应真实性，防止 DNS 欺骗。
- 网络监控：部署 IDS/IPS 检测异常的 ARP 或 DNS 流量。
- 安全意识：不随意连接不可信网络，对异常证书警告保持警惕。