20241911 2024-2024-2 《网络攻防实践》实验三

在蜜罐主机上哪些端口被发现是开放的？

攻击主机的操作系统是什么？

### 2.实验过程


#### 2.1动手实践tcpdump


使用tcpdump开源软件对在本机上访问https://www.besti.edu.cn/  
 回答问题：你在访问 https://www.besti.edu.cn/ 网站首页时，浏览器将访问多少个Web服务器？他们的IP地址都是什么？  
 在网络适配器设置中，将kali虚拟机的网络连接模式改为桥接模式，打开Kali-Linux虚拟机。


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/7e283e1f66dc4d62b80dbc9da9905123.png#pic_center)


通过ifconfig指令，查询虚拟机kali的IP地址信息（本次实验中为192.168.43.246）  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/6304e0b80426411eb1bba0ec7fa19739.png#pic_center)


终端输入命令sudo tcpdump -n src 192.168.43.246 and tcp port 80 and “tcp[13]&18=2”  
 打开电科院官网，可以看到访问 https://www.besti.edu.cn 过程中访问问4个Web服务器，ip分别为152.195.38.76，34.107.221.82，203.208.50.98以及最后一个电科院的ip123.121.151.1。  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/b7133472aabc4cf1b73c2135466bf461.png#pic_center)


#### 2.2动手实践Wireshark


键入命令 telnet bbscloud.com访问BBS云论坛。


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/8e27f7fc0ad14742950b9cce3c2915cb.png#pic_center)


发现其IP地址为39.98.128.52。  
 打开虚拟机自带的wireshark，然后查看端口，发现其端口号为23


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/9d7115cce2dc46c585d03a1d98ae5788.png#pic_center)通过Wireshark抓包，观察TELNET是通过明文的方式一个个字符传输数据的，我们能够发现在向服务器传输用户名及登录口令时，是一个字符一个字符传递的。


#### 2.3 取证分析实践，解码网络扫描器


将listen.pcap拷贝到kali虚拟机中，使用wireshark打开listen.pcap  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/d03cd0829ef940259a93f09f3f577149.png#pic_center)通过数据包IP地址等信息分析可发现 ，攻击机IP地址为172.31.4.178，靶机IP地址为172.31.4.188  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/25967a346f4a4aafb2c1a96e767a1056.png#pic_center)运行命令sudo apt install snort，安装入侵检测工具snort。  
 安装snort时，屏幕中会出现一个配置菜单，输入Y表示“确定”，按回车即可  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/b75d92ade32843e7b371b42a02568220.png#pic_center)![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/114201a8863448fc9850e8f8d5ceebed.png#pic_center)然后执行sudo snort -A console -q -u snort -c /etc/snort/snort.conf -r listen.pcap，得到如下结果：  
 从“SCAN nmap XMAS”中可看出，攻击者使用nmap工具进行端口扫描。  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/f0c938b00fbe4be7be81f658b8353f9d.png#pic_center)


通过指令tcp.flags.syn == 1 and tcp.flags.ack == 1 and ip.src==172.31.4.188，筛选数据交互过程中的数据包，查看靶机开放了哪些端口  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/ecd66d7322f046fdac656dbb15d65152.png#pic_center)![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/961a4e1417a543e496b592749d160b6f.png#pic_center)![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/6922ca26d3964b56a23845e7d63ae99d.png#pic_center)通过分析，发现开放的端口有3306，80，25，22，53，21等等。


在输入框中输入筛选条件arp or nbns，回车，可以得到：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/f3dc67963f604b51ab43d289b8599215.png#pic_center)可以看到，NBNS协议和ARP协议包分为多段，通过ARP协议和NBNS协议，攻击者可以得到目标主机的IP地址，进而对其发起攻击。  
 通过进一步分析，我们可以得出攻击者的方式为：活跃主机检测、扫描操作系统、扫描开放端口、扫描开放服务


攻击者发出了很多广播信息，详细信息均有“Who has 172.31.4.188?”，因此说明这一段中，攻击者通过ARP广播的方式进行了活跃主机检测。


从下图我们可以看到，TCP的SYN包与ACK包有时候是一个SYN一个ACK，有时候是一堆SYN一堆ACK，还出现了如下图所示的特殊标记。有理由推测，攻击者在这一段扫描了目标主机的操作系统。因为不同的操作系统有不同的端口和服务，攻击者通过这种方式，探测目标主机存在哪些服务来基本确定目标主机操作系统的范围。  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/1be9156307f44406bc70609c2794ec5b.png#pic_center)在所示的SYN包和ACK包，我们可以推测，攻击者在这一次攻击中使用了全端口扫描的指令。  
 还有处TCP之外的一些其他协议，这说明攻击者通过与检测出的端口进行上层的交流，检测到了一些网络服务，可以得出，攻击者在这一次攻击中扫描了服务。


最后使用p0f工具帮助查看攻击机的操作系统  
 在Kali Linux虚拟机终端中输入sudo apt-get install p0f安装p0f工具：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/d2b221f0acc44da1baaf69da2f28a60a.png#pic_center)  
 输入sudo p0f -r listen.pcap可以看到攻击机的操作系统为Linux 2.6.x  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/c2a675d5fdd04b3ab9efd27ba0656141.png#pic_center)


### 3.学习中遇到的问题及解决


* 问题：在第一个实验问题中打开虚拟机拟机无法联网
* 问题解决方案：将虚拟机改为桥接模式后，配置相应的网关即可


### 4.学习感悟、思考等）


本次实验我感觉需要自己动手动脑的地方更多了，要多分析一些网络数据，也学习了tcp dump的一些命令，还有wireshark的过滤等功能。


### 参考资料


https://bbs.csdn.net/topics/614080187


* …