指導教授：梁明章 老師A0933348 高名勳

說明

當 DNS 伺服器發出查詢封包時，在封包內有一query id ，回覆訊息只有 query id 及 ip 都正確時才能為服務器接受。這個 id 每次會自動加一，所以可以通過第一次向目標 DNS 伺服器發一個查詢封包並監聽該 id 值，隨後再發一查詢，並接著 send 出我們預先做好的回覆封包，封包內的 query id 為預測的query id 值（為提高成功率可以指定一個範圍，比如從 previous_id+1 到 previous_id+100 ）。

接上例，如 ns.haha.com 向 199.6.6.1 要求查詢 www.usa.com 的 ip 位址，此時 199.6.6.2 上的 Cracker 就要欺騙 ns.haha.com ns.haha.com --------> 199.6.6.1 [Query] NQY: 1 NAN: 0 NNS: 0 NAD: 0 QID:6573 QY: www.usa.com A 其中 NQY 、 NAN 是查詢封包的旗標值，當這兩個值為 1 時表示為查詢封

包 此時可以在 199.6.6.2 監聽到這個封包，得到 QID: 6573 。然後我們也向

199.6.6.1 發出查詢，使它忙於應答 11.11.11.11 -----------> 100.100.100.200 [Query] NQY: 1 NAN: 0 NNS: 0 NAD: 0 QY: other.usa.com A

緊接著發帶預測 QID 的應答包： 199.6.6.1 -----------> ns.haha.com [Answer] NQY: 1 NAN: 0 NNS: 0 NAD: 0 QID: 6574 QY: www.usa.com PTR AN: www.usa.com PTR 111.222.333.444

111.222.333.444 就是由我們自己指定的 ip 位址發送這個封包的 QID 為前面聽到的 QID+1

即 6573+1=6574這樣， DNS 欺騙便完成， ns.haha.com 會把

111.222.333.444 當作 www.usa.com 的 ip 位址

•為了防範 DNS欺騙攻擊，我們可以採直接用IP

　訪問重要的服務，這樣至少能避開威脅•網路上的威脅何其多，當我們無法改變現況　時，只好養成良好習慣，小心使用！