ESP32实现DNS劫持与NCSI欺骗的网络安全演示

1. 项目概述：ESP32实现DNS劫持与NCSI欺骗

在公共WiFi安全测试和网络协议研究中，DNS劫持与NCSI欺骗是两项极具实践价值的技术。通过ESP32这类低成本开发板实现这些功能，不仅能够用于安全演示和教育，还能帮助开发者深入理解网络协议的运作机制。

这个项目使用MicroPython开发的microdns库，在ESP32上搭建完整的DNS服务器，并实现两个核心功能：

1. DNS劫持：将特定域名（如baidu.com）解析到本地IP，展示公共WiFi环境下的潜在风险
2. NCSI欺骗：伪造Windows网络连接状态检测响应，使系统误判网络连接正常

2. 核心原理与技术解析

2.1 DNS劫持工作原理

DNS劫持的本质是篡改域名解析结果。当设备连接ESP32创建的WiFi热点时，会将其配置为默认DNS服务器。此时所有DNS查询都会发送到ESP32，服务器根据预设规则返回伪造的IP地址。

典型工作流程：

1. 客户端发送DNS查询请求（如baidu.com）
2. ESP32接收UDP 53端口的查询数据包
3. 检查域名是否在劫持列表中
4. 返回预设的本地IP（如192.168.4.1）
5. 客户端连接伪造的Web服务

2.2 NCSI检测机制剖析

Windows网络连接状态指示器(NCSI)通过两个步骤验证网络连通性：

1. DNS解析测试：查询dns.msftncsi.com应返回131.107.255.255
2. HTTP请求测试：访问http://www.msftconnecttest.com/connecttest.txt应返回"Microsoft Connect Test"

成功欺骗需要：

• 将检测域名解析到本地IP
• Web服务器响应/connecttest.txt请求
• 返回符合预期的文本内容

3. 完整实现步骤

3.1 硬件与软件准备

所需材料：

• ESP32开发板（推荐ESP32-S3）
• MicroPython固件（最新稳定版）
• microdns库文件：
  • microdns.py（DNS核心）
  • web_server.py（Web界面）
  • dns_list.py（域名映射）

开发环境配置：

bash复制# 安装mpremot