（SEED-Lab) Sniffing_Spoofing

（SEED-Lab) Sniffing_Spoofing

欢迎大家访问我的GitHub博客

https://lunan0320.cn

一、实验目标

1、掌握基本嗅探sniff程序的使用方法
2、对spoof过程有较为清晰的认识
3、在sniff_spoof的过程中学会使用python库函数调用
4、可以尝试使用C语言完成sniffing_spoofing过程

二、实验原理

2.1 Sniffing原理

OS内核 为嗅探程序 提供了 一个Raw Socket API ，当数据包到达链路层驱动位置，会进行复制，经过raw socket 交给嗅探程序，若是有多个嗅探程序，会复制多份，分别交付。
Sniffer程序并不须要得到全部的报文，可能只须要得到其中的一小部分报文，好比UDP报文，这里就须要进行过滤，UNIX系统添加了一个BSD 数据包过滤器（BSD packet filter，BPF）
在数据包复制以前进行过滤，以后进行复制的数据包相应大大减小

2.2 Spoofing原理

正常的应用程序仅仅向OS内核提供数据，目的IP地址，目的端口等信息，其余构造数据包的过程都交给OS内核去完成，而不能随意的去构造各个包头。与嗅探同样，这也可用raw socket API，进行数据包的构造，而后交给下层，发送出去。
本次实验就是基于以上原理，在Seed Ubuntu16.04下模拟整个过程。

三、实验器材

1．Seed Ubuntu16.04
2．Wireshark等常用捕包工具。

四、Lab Task Set 1: Using Tools to Sniff and Spoof Packets

4.1 Task1.1 Sniffing Packets

使用Scapy工具Sniff and Spoof packets测试scapy的使用

4.1.1 Task1.1A

在VMA上root权限下，运行嗅探程序
嗅探程序sniffer.py，抓取icmp类型的包，并将相关信息通过pkt.show()打印出来。Snifer.py程序如下

此时，另一台VMB对VMA执行ping IP 的命令，向VMA发送ICMP包。过程如下：
可以看到，共发送了两个ICMP包，并且均得到VMA的回送包。

在VMA上可以看到sniffer.py抓取到的包的详细信息：

其中第一个和第三个ICMP包为request类型即请求包，src地址是VMB的IP地址，发往VMA。第二个和第四个ICMP包类型为reply回复包，src为VMA的IP地址，发往VMB。
在VMA上普通用户seed条件下运行sniffer.py

可以看到没有成功运行，原因是Operation not permitted 操作不被允许，也就是用户的权限不够。

4.1.2 Task1.1B

通过设置filter的不同模式来运行sniffer.py程序。
Capture only the ICMP packet

在Task1.1A钟就是采用的过滤ICMP类型
Capture TCP packet，特定IP，指定端口23
根据端口要求，修改filter限制条件

在VMA中运行sniffer.py程序：

在VMB中使用telnet IP命令连接VMA，并输入VMA登录的用户名seed以及密码dees：

在VMA中可以看到已经成功嗅探到了TCP包:

同时，在这个过程中在VMA使用wireshark工具成功捕获到了一系列的tcp包：

点开其中的某个数据包，追踪TCP流，可以看到在这个过程中VMB中输入的登录用户名和密码：

捕获从特定子网发送的数据包
设置网络IP 202.108.0.0

在VMA上运行sniffer.py程序

在VMA上执行ping 202.108.22.5 ，均得到了回送reply

查看此时的嗅探程序，成功捕获到了来自子网202.108.0.0/16的回送包。说明嗅探程序可以通过改变filter的设置来捕获不同需求的数据包

4.2 Task 1.2: Spoofing ICMP Packets

冒充一个ICMP数据包

略微修改后，得到的VMA中的spoofing.py程序如下:
VMA的IP地址为：10.0.2.4，此时我们spoofing时候需要修改src地址,VMB的IP地址为：10.0.2.5 也就是此时的src地址

此时在VMA中运行spoofing程序，成功send

在VMB中通过wireshark捕获到VMA中发送的spoofing的数据包
显示src的IP地址为：10.0.2.9,而实际src的IP地址为:10.0.2.4,spoofing成功！

4.3 Task 1.3: Traceroute

写python程序自动更新数据包，重发
设置目标dst 的IP地址为202.182.118.135，设置跳数的上限为25。

执行此程序


在VMA中通过wireshark工具观察流量信息：

可以看到，黑色部分均为时间超过，不可达的数据包，直到最后才得到了目的主机的reply信息，说明此时数据包可以route到目的主机上去。

4.4 Task 1.4: Sniffing and-then Spoofing

首先根据例题得到，Sniffing程序


在VMA中启动sniffing3.4

在VMB中使用ping IP 命令，ping值定 IP地址

可以看到，在VMA中的程序运行中，成功sent packets，达到Sniffing and Spoofing的目的
在VMB中即使ping的是一个不存在的ip地址1.2.3.4，但是均得到了reply

查看VMB中wireshark工具中截获的流量信息：


可以看到，此时ping命令reply包的src地址为1.2.3.4，但是这个reply包实际则是VMA伪造的，而VMA的IP地址为10.0.2.4，成功达到了Sniffing and Spoofing的目的。
查看VMA中wireshark工具在伪造发送packets时候的流量信息：

可以看到，此时在VMA中是以1.2.3.4为srcIP地址来发送数据包的，在这个过程中隐瞒了真实的VMA的IP地址10.0.2.4
Ping一个在LAN中不存在的IP地址：10.9.0.99
在VMB中同样可以成功ping通

在VMB中同样可以看到，src地址来源是10.9.0.99

Ping一个在Internet上存在的host IP
在VMB中也是可以成功ping通

VMB中通过wireshark抓包看到reply的源头也是8.8.8.8

三种情况下都可以成功达到Spoofing的目的
此即在一个LAN中能够完成对其他主机的嗅探和欺骗功能

五、Lab Task Set 2: Writing Programs to Sniff and Spoof Packets

5.1 Task 2.1: Writing Packet Sniffing Program

根据提供的sample code，尝试运行sniff程序，学习嗅探过程

在VMB中执行ping命令ping VMA的IP地址，在VMA中执行sniffer程序，可以看到，VMB中发出去的ICMP包都得到了有效的会应，此时VMA中也嗅探到了这些数据包，Got a packet即捕获到了数据包。

5.1.1 Task 2.1A: Understanding How a Sniffer Works

Sniffer程序需要对每个捕获到的数据包将其源IP地址和目的IP地址打印出来。
可知，源地址和目的IP地址是位于IP数据包的头部部分的，在接收到数据包的时候需要将数据帧类型转换为以太网头部，继而去判断以太网头部的类型字段是否是0x800，是的话需要将数据交付IP协议处理。
判断是否需要IP协议处理采用以太网头部的类型字段是因为查阅资料后得知，当数据包采用IP协议时，以太网的头部类型字段是0x800

由此分析以太网头部结构，6字节的dst IP，6字节的src IP，以及2字节的type类型字段组成。

定义以太网头部结构如下：

从数据链路层上交网络层IP协议时，需要创建IP数据包的大小，总大小即为pkt的大小与以太网头部的大小之和。之后打印出IP头部的src_IP与dst_IP即可。

构造IP头部时候，需要考虑头部的组成，查阅资料后得知组成部分分为4bits版本号、4bits头部长度、8bits服务类型、16bits总长度、16bits标识、3bits标识、13bits位偏移、8bitsTTL、8bits协议、16bits头部校验和、32bits源IP和目的IP。总共20bytes构成（不考虑选项字段）

由此，可以构造出如下的IP首部：

起初，IP_head中的src_ip与dst_ip,设置为int类型，但是在程序运行的时候不建议使用int作为ip地址32位的类型，根据提示，修改了ip的类型，改为struct in_addr。

最后的main函数则与sample code类似

在VMA中先运行IP_sniff程序，在VMB中去ping VMA的IP地址，可以在VMA中看到打印出了src以及dst的IP地址。

Question1:描述在sniff程序中的调用序列

1.打开pcap session，设置设备为当前设备enp0s3
2.编译filter
3.抓包：handle_loop以及handle_close

Quesion2: 嗅探过程为什么需要root权限？没有root的话哪里出错？

Sniff的过程是安全级别比较高的，需要有较高的优先级方可使用，并不代表普通用户也可随意sniff过程，使用普通用户时候将会出现如下情况。提示出错而不允许执行sniff过程。
没用root权限则无法执行混杂模式下的操作。

Question3: 打开嗅探程序的混杂模式,打开和关闭这个模式的区别是什么？

混杂模式下可以受到同网段下的其他主机发送出去的数据包，但是关闭混杂模式之后，则只能收到发送给自己的数据包。

5.1.2 Task 2.1B: Writing Filters

ICMP packets：
抓取两台特定主机间的ICMP包，设置过滤器filter条件

此时在VMA中捕获到的数据包只有10.0.2.4发往10.0.2.5的数据包，而10.0.2.5发往10.0.2.4的数据包则被过滤掉。成功嗅探到两台特定主机的数据包。

TCP packets：
先telnet IP的方式 嗅探，此时默认port为23。可以看到，方法可行，嗅探成功

打开VMA的8080端口，在VMB中通过telnet IP 8080 的方式去探测VMA的8080端口

可以看到，此时VMB可以对VMA的8080端口访问到，但是VMA并没有sniff这个过程发送来的数据包。

这是因为我们设置了filter条件 端口的模式为10-100之间的port，8080端口被过滤掉。

5.1.3 Task 2.1C: Sniffing Passwords

此时需要对sniff程序进行修改，使其能够sniff到输入的password。考虑到password是属于传输层TCP协议中的payload中，因此需要构造tcp的首部。
分别为端口号、序号、确认号、偏移、保留、字符、窗口、校验和紧急指针。

TCP包的结构部分参考了网上
SEED-Labs-Packet-Sniffing-and-Spoofing-Lab的实验代码，如下。

读取payload，按字符读取



在VMA中运行sniff pwd的程序

在VMB中telnet 10.0.2.4
在VMA中嗅探到了如下数据包的payload
右图所示即为嗅探到的password

5.2 Task 2.2: Spoofing

5.2.1 Task 2.2A: Write a spoofing program

题目要求 写一个spoofing 程序，能够成功发送IP数据包。
首先需要了解数据包报文的整体结构，需要关注的是IP头部以及TCP还有数据部分。
由于TCP是面向连接的，伪造包采用UDP数据包的格式。
此时需要构造的伪造报文结构有三部分：IP、UDP、Data

而构造数据包必然用到一些头部结构，因此将其定义为了”headers.h”这个头文件。里面包括了Ethernet头部、IP头部、ICMP头部、TCP头部、UDP头部。
其中在本题中需要新定义的是UDP头部结构。

从图中可以看出UDP头部的定义由四部分组成：16bits的源端口号、16bits目的端口号、16bits的长度、16bits的校验和。
据此可以定义UDP的头部结构体。（8bytes的头部）

Send_rawsocket()参考指导手册以及查阅相关资料后学习到
rawsocket的发送过程主要由四部分组成：
1、创建socket
2、设置socket的option选项
3、组织socket结构
4、发送socket包

在此基础上，组织数据包结构并自定义数据部分

设置UDP、IP包结构部分
此处伪造设置了源地址6.6.6.6，目的地址9.9.9.9
源端口6666，目的端口9999

在VMA中运行spoofing程序，查看到可以成功spoofing UDP数据包。

抓包分析

追踪UDP流可以看到数据包中的数据就是之前在代码中自定义好的”HACKED Successfully”,可以看到Src地址和Dst地址也均是之前数据包中设置好的。
成功伪造了6.6.6.6主机给9.9.9.9主机发送的UDP数据包。Src端口：6666，Dst端口9999，捕捉字节也可以看到具体信息。数据包伪造成功！

5.2.2 Task 2.2B: Spoof an ICMP Echo Request

本题中需要伪造一个ICMP的发送包，此时需要攻击机伪装成另一台主机，给其他主机发送ICMP数据请求包，查看其他主机是否会成功reply回显内容。
需要伪造基于ICMP协议的数据包，即数据包结构主要由两部分组成：IP、ICMP。

定义IP、ICMP数据包结构如下。

其中ip数据包的版本号、头部长度、以及IP包长度、源地址和目的地址、使用协议。
IP包的长度主要是包括IP头部和ICMP头部长度。其中icmp数据包类型字段设置为8，表示是回显请求request的数据包。校验和字段也需要另外设置。根据icmp数据包的头部部分，计算其校验和。

校验和计算
查阅资料并参考RFC文档之后，了解到校验和的计算主要分为4个部分：
1、将校验和字段置为0。
2、将每两个字节（16位）相加（二进制求和）直到最后得出结果，若出现最后还剩一个字节继续与前面结果相加。
3、(溢出)将高16位与低16位相加，直到高16位为0为止。
4、将最后的结果（二进制）取反。

在VMA中运行该spoofing程序，因为伪造的数据包目的地址是VMB的IP地址，因此
在VMB中适用wireshark进行抓包，查看是否VMB收到是了回显请求的数据包，并且是否成功回显回复的数据包。

在VMB中wireshark抓包情况：

可以看到，ICMP request成功伪造，VMA10.0.2.4代表了6.6.6.6主机发送了伪造的Echo request数据包，并且成功欺骗了VMB 10.0.2.5主机，发送了Echo reply数据包。说明伪造成功！
Question4. Can you set the IP packet length field to an arbitrary value, regardless of how big the actual packet is?
Answer:不能设置IP数据包的长度为任意数值，因为规定了最大数据单元MTU，限制了IP数据包的长度
Question 5 Using the raw socket programming, do you have to calculate the checksum for the IP header?
Answer：没有，计算校验和字段是对于ICMP的头部计算的，不需要计算IP部分。
Question 6. Why do you need the root privilege to run the programs that use raw sockets? Where does the program fail if executed without the root privilege?
Answer:因为对包的嗅探和伪造是高安全级别的，不允许普通用户有权利执行此操作。在普通用户情况下的运行是会出错的，如图所示。

5.3 Task 2.3: Sniff and then Spoof

根据题目要求，在本题中需要在VMB中运行程序，当VMA去ping任意ip地址时（包括错误地址），VMB的程序可以sniff到echo request请求，并立刻发送spoof的icmp echo reply数据包。
整体过程与之前的任务大同小异，无非就是sniff和spoof的结合技术。
主要过程就是分为：sniff->echo_reply->spoofing。此时需要额外做的就是echo_reply的过程，对数据包如何构造reply包。
构造reply数据包
在构造过程中，将抓到的ip数据包的内容复制进buffer。构造一个回显reply包的过程类似于2.2B中构造ICMP Request的过程，不同的是此时需要对I原P包的源地址和目的地址更换。
除此之外，对构造的ICMP数据包的还需要定义气type字段。需要注意的是，ICMP中类型字段为8表示的是Echo Request，类型字段为0表示Echo Reply数据包。
其余过程即是sniff技术与spoofing技术的结合使用。

在VMB上运行程序。
可以看到，在嗅探阶段，会打开pcap、BPF编译等工作。

VMA上ping 任意IP地址
此处，为了观察方便，设置了发送的icmp包的数量是3
可以看到，在VMA上显示，三个包均收到了回显回复，没有包的丢失。在VMA上看来是1.2.3.4的主机回复来的数据包。实则收到的是VMB伪造的数据包。

VMB上显示收到了数据包，并成功Spoofing，对于收到的三个ICMP数据包，均伪造成功，并回送给了源IP地址。

在VMA上适用wireshark抓包查看，可以看到，确实收到了从1.2.3.4主机发送来的reply数据包（显然，这已经达到了伪造数据包并成功欺骗的目的）