20212937 曾俊銘 2021-2022-2 《網路攻防實踐》第5周作業

1.實驗內容

• 利用tcpdump對網路訪問過程進行嗅探，確定所訪問時瀏覽器所訪問的web伺服器以及他們的IP地址

• 利用wireshark在主機通過TELNET方式登入BBS時，抓包分析所登陸伺服器的IP和埠等有用資訊以及檢視登入口令

• 利用已有的listen.cap檔案進行分析，得到攻擊機和靶機的IP、埠號等有用資訊

2.實驗過程

（1）動手實踐tcpdump

使用tcpdump開源軟體對在本機上訪問www.tianya.cn 網站過程進行嗅探

首先將kali虛擬機器改為橋接模式直連物理網路:

查詢虛擬機器kali的IP地址:

開啟kali輸入命令列sudo tcpdump -n src 192.168.1.104 and tcp port 80 and "tcp[13]&18=2":

通過在虛擬機器kali上瀏覽器登入 www.tianya.cn：

監聽結果進行分析：

由以上截圖可知瀏覽器訪問了以下12個Web伺服器，IP地址如圖

（2）動手實踐Wireshark

使用Wireshark開源軟體對在本機上以TELNET方式登入BBS進行嗅探與協議分析

開啟kali，輸入命令列 luit -encoding gbk telnet bbs.fudan.edu.cn,訪問復旦大學BBS伺服器，找到其IP地址並登入：

我們可以發現其IP地址為202.120.225.9

因為橋接真實主機，直接開啟真實主機上的wireshark，並抓包分析：

發現其埠號為23，追蹤其TCP流分析資料包找到登入口令：

（3）取證分析實踐，解碼網路掃描器（listen.cap）

下載資原始檔listen.pcap，開啟，使用選單欄中Statistics（統計）下的Conversation（會話），選擇IPV4，發現172.31.4.178和172.31.4.188之間有大量的雙向資料包，由此可知確定兩者為攻擊主機IP為172.31.4.178和目標主機IP為172.31.4.188

將 listen.pcap 複製到kali虛擬機器中，使用snort對二進位制記錄檔案進行入侵檢測,可以分析出本次攻擊是nmap發起的

使用sudo apt-get update 命令更新APT庫

使用sudo apt-get install snort命令安裝snort

使用sudo chmod 777 /etc/snort/snort.conf 命令給予snort.conf可讀可寫可執行許可權

輸入snort -A console -q -u snort -c /etc/snort/snort.conf -r ~/listen.pcap 命令
-A開啟報警模式
-q不顯示狀態報告
-u為初始化後改變snort的UID
-c為使用後面的配置檔案，進入IDS模式
-r從pcap格式的檔案中讀取資料包

掃描前nmap會通過arp更新目標MAC地址，所以使用Wireshark的過濾器掃描出arp包，可以看到共進行4次nmap掃描

以ICMP為過濾條件分析發現，有攻擊機和靶機之間的雙向資料包，說明進行了ICMP ping掃描，即 nmap -sP 172.31.4.188

以TCP作為過濾條件，觀察到進行了大量的TCP掃描，如圖可以看到攻擊機向靶機發送SYN請求包，靶機返回SYN,ACK確認連線，攻擊機響應，說明該埠開放，所以攻擊機進行了nmap -sS 172.31.4.188 掃描

過濾埠22，觀察該埠的資料包發現攻擊機和靶機之間建立了TCP和DNS連線用以探測網路服務，所以攻擊機對靶機進行了nmap -sV 172.31.4.188的版本檢測掃描

通過過濾器的 tcp.flags.syn == 1 and tcp.flags.ack == 1 可以過濾出SYN | ACK的資料包，這是目標主機反饋攻擊主機的埠活躍資訊。可檢視靶機的開放埠有：21 22 23 25 53 80 139 445 3306 3632 5432 8009 8180

攻擊主機的作業系統，可以通過命令列“[root@SOR_SYS ~]# uname -a/ [root@SOR_SYS ~]# cat /proc/version 來查詢

3.學習中遇到的問題及解決

• 問題1：將kali虛擬機器改為橋接模式之後，無法連線上網？

• 問題1解決方案：因為在實驗室直連網線，而虛擬機器的虛擬網路編輯器橋接模式沒有橋接到對應的網路，重新設定一下就好

• 問題2：檢視攻擊機作業系統p0f工具無法下載？

• 問題2解決方案：使用其他命令列來檢視，如# uname -a 或# cat /proc/version來查詢

4.學習感悟、思考等）

這次實驗跟著視訊做並不複雜，主要是要熟練使用命令列和wireshark抓包，並會分析資料包。除此之外，我們瞭解了通過監聽嗅探等方式可以獲取隱蔽資訊，也初步熟悉了nmap的作用。這次實驗收穫還行，就是有些操作的資料量有點大，容易漏看錯看，再接再厲吧。