徐国天

（中国刑警学院 辽宁 沈阳 110035）

基于DNS协议和ICMP重定向的数据监听方法研究

徐国天

（中国刑警学院 辽宁 沈阳 110035）

对基于DNS协议和ICMP重定向的数据监听方法进行了详细的论述，对监听的三个主要环节：ICMP重定向、截获并转发DNS数据报、监听通信数据并提取敏感信息进行了详细的研究，深入分析了监听各个环节截获数据报的基本格式以及转发过程中对报文的修改，得出利用DNS协议和ICMP重定向技术可对局域网内的特定主机实施数据监听的结论。

DNSICMP重定向 监听

数据监听是指捕获、分析网络中其他主机传输的数据包，从中提取出敏感信息。在交换式网络内，通常使用ARP欺骗实施数据监听。但随着360防火墙、ARP静态绑定、交换机端口绑定等措施的采用，这种方法受到有效限制。近年来，基于ICMP重定向的数据监听方法成为研究的热点，这种方法不受ARP欺骗防护措施的限制，可在交换式网络内实施数据监听。

攻击者通过发送ICMP重定向报文可以在受害者主机路由表中添加一条到达特定主机的路由信息，使得受害者发往特定主机的数据包被发往攻击者主机，进而攻击者可以从中提取出敏感信息，如聊天记录、账户数据。下图为在受害者主机上查看到的路由信息，第一条为正常的默认路由，它的优先级最低，当其他路由信息都不匹配时，主机会使用这条路由将数据包转发给网关（192.168.111.4）。第二条是攻击者添加的到达10.1.1.1这台特定主机的路由信息，它的优先级高于默认路由。……