标签：
这是一个DNS欺骗实验，使用kali的ettercap。有受害者、攻击者（虚拟机）、Web服务器三台机器。
受害者的事124.16.70.105
虚拟机的是124.16.71.48
web服务器是124.16.70.235，并且是80端口
子网掩码是255255.254.0
经过分析数据包，发现访问IP 235的时候受害者用的是正常的网关，访问别的网址使用的是攻击者即虚拟机的网关。看1748和1749两个包就很明显。
为何访问235的时候使用正确的网关了呢？
我感觉是因为IP 235是内网，受害者进行了广播形式的ARP请求（包1737），所以正常的网关返回了正常的mac（1746），所以建立TCP连接的时候使用了正常网关的MAC。
所以，测试环境尽量仿真……以免遇见奇葩的事情。
（博客园不能在博文中上传附件吗？）
by ascii0x03, 2015.8.20
标签：
原文地址：http://www.cnblogs.com/ascii0x03/p/4745970.html
