DNS Cache Poisoning

A definição de SDNS de nome de domínio, de acordo com a Wikipédia é: Um servidor de sistema de nome de domínio traduz um nome de domínio legível para humanos (como example.com) em um endereço IP numérico que é usado para encaminhar comunicações entre nós. Normalmente, se o servidor não conhece uma tradução solicitada, perguntará a outro servidor e o processo continuará de forma recursiva. Para aumentar o desempenho, um servidor normalmente lembrará (esconder) essas traduções por um certo período de tempo, de modo que, se receber outra solicitação para a mesma tradução, ela pode responder sem ter que pedir novamente ao outro servidor. "

Cenário de ataque de envenenamento de cache de DNS

Aqui está o cenário de ataque que um atacante seguirá ao realizar o ataque pharming:

Um invasor invadiu o servidor DNS (um ataque de envenenamento de cache).

O atacante altera o endereço IP para www.targetsite.com para o IP de www.faketargetsite.com.

A vítima entra em www.targetsite.com na barra de endereços e o computador solicita ao servidor DNS o endereço IP de www.targetsite.com.

Como o servidor DNS já foi envenenado pelo invasor, ele retorna o endereço IP de www.faketargetsite.com.

A vítima vai acreditar que é o site original, mas é o falso.

Modificação de arquivo Hosts

A definição do arquivo hosts, de acordo com a Wikipedia, é: O arquivo hosts é um arquivo de computador usado por um sistema operacional para mapear nomes de host para endereços IP. O arquivo hosts é um arquivo de texto simples e é convencionalmente chamado hosts. "

O arquivo hosts é um arquivo de texto simples que contém linhas de texto consistindo de um endereço IP seguido por um ou mais nomes de host onde cada campo é separado por espaço em branco.

Um endereço IP pode se referir a vários nomes de host (veja o exemplo a seguir) e um nome de host pode ser mapeado para endereços IPv4 e IPv6 IP (veja o exemplo a seguir).

A propósito, você pode deixar comentários no arquivo hosts usando o caractere hash (#), o que indica que esta linha é um comentário. Aqui está um exemplo de conteúdo do arquivo de host:

1

2

3

# Este é um exemplo do arquivo hosts

127.0.0.1 loopback do localhost

:: 1 localhost

A localização do arquivo hosts difere de um sistema operacional para outro; por exemplo, no sistema operacional Linux, está localizado em / etc / hosts "e no sistema operacional Windows está localizado em"% SystemRoot% \ system32 \ drivers \ etc \ hosts ".

Arquivo de hospedagem Ciclo de ataque de modificação

Há muitas maneiras de substituir o arquivo de hosts da vítima pelo arquivo de host do invasor (modificado). O invasor pode fazer isso usando um arquivo SFX ou usando um arquivo em lotes.

A definição SFX, de acordo com a Wikipedia, é: Um arquivo de auto extração (SFX) é uma aplicação de computador que contém um arquivo de arquivos, além de programação para extrair essa informação. Esses arquivos de arquivos não requerem um segundo arquivo executável ou programa para extrair do arquivo, como arquivos de arquivo geralmente exigem. Os arquivos em um arquivo podem, portanto, ser extraídos por qualquer um, se eles possuem o programa de descompressão apropriado ou não, desde que o programa possa ser executado em sua plataforma de computador ".

A definição do arquivo em lotes, de acordo com a Wikipédia, é: um arquivo em lote é o nome dado a um tipo de arquivo de script, um arquivo de texto contendo uma série de comandos a serem executados pelo intérprete de comando em sistemas operacionais Windows ".

Neste tutorial, usaremos o segundo caminho, que está criando um arquivo em lote.

Aqui está o conteúdo do arquivo em lote que usaremos para modificar o arquivo de host da vítima que redirecionará o www.facebook.com para o site falso (site do invasor):

1

2

3

@echo off

echo X.X.X.X www.facebook.com >> C: \ windows \ system32 \ drivers \ etc \ hosts

Saída

Substitua "X.X.X.X" pelo endereço IP do site do invasor e, finalmente, guarde-o como Something.bat. Para que pareça mais um arquivo legítimo, podemos usar qualquer software de fichário, o que nos ajudará a esconder o arquivo malicioso em outro arquivo com qualquer extensão.

Agora, enviaremos o arquivo para a nossa vítima por e-mail ou carregaremos o arquivo e pediremos que a nossa vítima seja baixada e executada, uma vez executada, o arquivo de hosts será modificado.

Agora, quando a vítima tenta acessar o facebook.com, ele acessará o site falso e o URL não mudará.

Conclusão

Um ataque pharming ajudará os atacantes a executar seus cenários de ataque de phishing de uma forma mais sofisticada para tornar mais confiável e mais difícil descobrir que você está sob ataque.