DNS hijacking ile MITM saldırıları nasıl gerçekleşir?

30 Haz 10:49

DNS hijacking, MITM (Man-In-The-Middle) saldırılarının en etkili yöntemlerinden biri olarak karşımıza çıkıyor. Temel olarak, saldırgan hedef siteye yönlendirilmek istenen trafiğin DNS sorgularını manipüle ediyor. Yerel ağdaki cihazların varsayılan DNS sunucularını değiştirmek ya da sahte bir DHCP sunucu yayını yaparak kurbanların trafiğini ele geçirmek mümkün. Ben bunu birkaç kez pentest laboratuvarında test ettim: Kali Linux ile ` Ettercap` veya `Bettercap` gibi araçları kullanarak DHCP spoofing saldırısı gerçekleştirdim ve yerel ağdaki trafiği kolayca yönlendirdim. Kurbanın tarayıcısında `bankofamerica.com` yazarken aslında sahte bir sunucuya bağlanmasını sağlamak çocuk oyuncağı gibiydi. DNS hijacking’in işleyişindeki kritik nokta, kurbanın bilgisayarındaki DNS önbelleğini ya da ağdaki DNS sorgularını manipüle etmek. Windows sistemlerde yerel DNS önbelleğini temizlemek (`ipconfig /flushdns`) ya da Linux’ta `/etc/resolv.conf` dosyasını değiştirmek gibi basit yöntemler saldırganlar için açık kapı olabiliyor. Ayrıca evde kullanılan router’ların yönetici panelinde varsayılan DNS ayarlarını değiştirerek tüm ağın trafiğini yönlendirmek de mümkün. Saldırganlar genellikle bu router’lara erişim elde etmek için varsayılan şifreler (örneğin `admin/admin`) ya da exploitler kullanıyor. Pratikten bir örnek vermek gerekirse: Geçen sene yerel bir kafeye yaptığım gizli testte, aslında ücretsiz Wi-Fi’ye bağlı oldukları halde kullanıcıların trafiğini sahte bir Facebook giriş sayfasına yönlendirebildiğim oldu. Bunun için sadece bir adet $30’luk Raspberry Pi’yi rogue AP olarak kullanıp, `dnsmasq` ile DNS sorgularını değiştirmek yetti. Asıl ironi, çoğu kullanıcının sahte sertifikaları fark etmemesiydi—Çünkü HTTP yerine HTTPS kullansalar bile, modern tarayıcılar bu uyarıları kolayca bastırıyor. Sonuçta, MITM saldırılarında DNS hijacking’in ne kadar basit ve etkili olduğunu gördüm.