Fiche de révision : TP DNS Spoofing et contre-mesures

📋 Plan du Cours

1. Préparation du laboratoire réseau
2. Mise en place du site pirate
3. Empoisonnement ARP et MITM
4. Déclenchement du DNS Spoofing
5. Contre-mesures de sécurité

📖 1. Préparation du laboratoire réseau

📝 Points essentiels

• La préparation du laboratoire comprend la découverte des hôtes et des services présents sur le réseau local.

📖 2. Mise en place du site pirate

★ À maîtriser

• La machine Kali doit disposer d’un service web Apache2 opérationnel hébergeant une copie pirate du site http://www.local.sio.fr.

• Le fichier /var/www/html/index.html doit contenir « Bienvenue sur le site d’attaque DNS SPOOFING » afin de distinguer le site pirate du site officiel.

Compléments

• Lorsque aucun port n’est ouvert pour un accès distant, SSH se configure dans /etc/ssh/sshd_config avec « PasswordAuthentication yes », puis se démarre avec sudo /etc/init.d/ssh start.

• L’accès au site pirate doit être testé depuis le navigateur du client Debian DebClient 2 en utilisant l’adresse IP du serveur web.

💡 Astuce mémo

SSH → Apache2 → index.html → test client

📖 3. Empoisonnement ARP et MITM

🔑 Notions clés & Définitions

• ARP Spoofing : aussi appelé ARP Poisoning, exploite les failles d’implémentation du protocole ARP pour empoisonner le cache ARP d’une machine

★ À maîtriser

• L’ARP Poisoning permet au pirate de se faire passer pour un autre hôte du réseau auprès de la machine ciblée et de lui faire transiter les trames par la machine pirate.

• La vérification est réussie lorsque l’adresse MAC de la machine Kali est associée à la passerelle 192.168.56.254 sur le client.

Compléments

• Le positionnement MITM avec Ettercap peut être réalisé au moyen de sa version graphique, après l’empoisonnement du cache ARP.

• La commande ip neigh show permet de consulter le cache ARP du client.

💡 Astuce mémo

ARP falsifié → cache empoisonné → trafic détourné

📖 4. Déclenchement du DNS Spoofing

📝 Points essentiels

• Le lancement du plugin « dns_spoof » redirige automatiquement vers le site pirate les requêtes de la victime vers http://www.local.sio.fr.

• Lorsque la victime visite http://www.local.sio.fr depuis le client, le site pirate doit s’afficher et des journaux de redirection doivent apparaître dans Ettercap.

💡 Astuce mémo

Requête vers local.sio.fr → redirection vers le site pirate

📖 5. Contre-mesures de sécurité

★ À maîtriser

📌 Le filtrage des adresses MAC peut limiter les machines autorisées à obtenir une configuration IP auprès du serveur DHCP, mais une adresse MAC peut être facilement usurpée et le recensement des adresses légitimes est contraignant.

• La sécurisation du serveur DNS comprend: les restrictions sur les requêtes des clients avec allow-query, les restrictions sur le transfert de zones avec allow-transfer via des ACL, le masquage de la version de BIND

📌 DNSSEC protège les enregistrements DNS de bout en bout en les signant cryptographiquement.

📌 Le chiffrement des conversations n’empêche pas le positionnement MITM, mais il rend incompréhensibles pour la machine pirate les flux capturés.

Compléments

📌 Les systèmes de prévention d’intrusion IPS peuvent détecter le trafic malveillant.

💡 Astuce mémo

Filtrer, signer, détecter ou chiffrer : chaque mesure limite une étape différente

📊 Tableaux de synthèse

Contre-mesures du DNS Spoofing