实训课Day2

实训3

实训目的

了解网络层各类协议数据包的结构。

了解传输层各类协议数据包的结构。

掌握wireshark工具的使用方法。

能进行FTP/SFTP协议的安全性对比分析。

能进行HTTP/HTTPS协议的安全性对比分析。
 

实训3-4 FTP安全性分析
主机B使用winscp登陆主机A的FTP服务（或直接资源管理器访问），截取登陆界面图（输用户名密码的界面）

主机A使用 wireshark 的过滤器过滤 ftp，截取明文显示的用户名和密码

追踪tcp 流，查看完整的操作

实训3-5 HTTP/HTTPS安全性分析
对登陆http网站的过程抓包，截取抓到的明文用户名密码

对访问https网站的过程抓包，截取三次握手的数据条目

找到Client Hello信号，截取随机数字和支持的加密算法

找到Server Hello信号，截取随机数字和选择的加密算法


截取四次挥手断开链接的数据条目
实训3-1 流量捕获

安装并打开wireshark，选择有流量的网卡捕获流量，截捕获流量图

使用过滤器筛选源地址或目的地址为教师机ip的流量

停止捕获，将流量保存为流量包文件

实训3-2 网络层典型协议数据包的抓取分析
抓取arp数据包并分析（如果抓不到arp数据包可在cmd中执行arp -d命令），截取并分析arp数据包的内容

抓取并过滤icmp协议数据包并分析（如果抓不到icmp数据包可以在cmd中执行ping命令），分别截取并分析echo request和echo reply数据包的内容

ping一个不存在的ip地址，截取并分析echo request数据包的内容

抓取一个http包，截取并分析其中的ip协议内容

实训3-3 传输层典型协议数据包的抓取分析
通过 ping www.baidu.com 获取到百度 ip

浏览器访问百度（通过ip地址），通过 wireshark 的过滤器过滤 ip.dst eq xxx.xx.xx.xx，展示过滤结果

打开一个 tcp 请求报文，截取其内容进行分析

过滤并打开一个UDP报文进行分析


下午是实训4

实训4 网络攻击溯源与流量分析

实训目的

了解拒绝服务攻击Dos和分布式拒绝服务攻击DDos原理。

了解Web入侵的一般步骤。

能进行拒绝服务攻击的流量分析。

能进行Web入侵的溯源分析。

实训4-1 SYN半链接攻击流量分析
 

打开数据包，找到并截取来自 192.168.177.155 的大量 TCP 三次握手中的第一次 SYN 请求

观察数据包，截取服务器ack但客户端不进行响应的数据条目
设置过滤规则，过滤出 192.168.177.145 回复SYN/ACK 的数据包，了解服务器因此开放了哪些端口

实训4-2 SQL注入攻击流量分析一

查看 http 数据包的 get 请求参数处，截取发现的 sql 语句。

截取黑客构造的布尔盲注函数

截取黑客构造的判断数据库名长度的函数

截取黑客成功获知数据库名长度后返回页面的数据包内容

实训4-3 SQL注入攻击流量分析二

实训4-4 Web入侵溯源一

实训4-5 Web入侵溯源二

总结：
 

1. syn半链接攻击的特点和危害？
   Syn Flood攻击是网络攻击的一种手段， 又称为SYN洪水、SYN洪泛，是一种典型的DoS（Denial of Service，拒绝服务）攻击（阻断服务攻击），效果就是服务器TCP连接资源耗尽，停止响应正常的TCP连接请求。
   如果恶意的向某个服务器端口发送大量的SYN包，则可以使服务器打开大量的半开连接，分配TCB，从而消耗大量的服务器资源，同时也使得正常的连接请求无法被响应。而攻击发起方的资源消耗相比较可忽略不计。
2. SQL注入攻击的一般流程是什么？

   判断Web系统使用的脚本语言，发现注入点，并确定是否存在SQL注入漏洞
   判断Web系统的数据库类型
   判断数据库中判断表及相应字段的结构
   构造注入语句，得到表中数据内容
   查找网站后台，并用SQL注入得到的管理员账号和口令登陆
   结合其他漏洞，上传Webshell并持续连接
   进一步提权，得到服务器的系统权限

3. Web入侵的一般流程是什么？

   1、信息收集

   1.1 Whois信息--注册人、电话、邮箱、DNS、地址

   1.2 Googlehack--敏感目录、敏感文件、后台地址

   1.3 服务器IP--Nmap扫描、端口对应的服务、C段

   1.4 旁注--Bing查询、脚本工具

   1.5 如果遇到CDN--Cloudflare（绕过）、从子域入手（mail，postfix）、DNS传送域漏洞

   1.6 服务器、组件（指纹）--操作系统、web server（apache，nginx，iis）、脚本语言，数据库类型

   2、漏洞挖掘

   2.1 探测Web应用指纹--如博客类：Wordpress、Emlog、Typecho、Z-blog，社区类：Discuz、PHPwind、Dedecms，StartBBS、Mybb等等，PHP脚本类型：Dedecms、Discuz!、PHPCMS、PHPwind、齐博CMS、Joomla                                                                                                                                

   2.2 XSS、CSRF、SQLinjection、权限绕过、任意文件读取、文件包含...

   2.3 上传漏洞--截断、修改、解析漏洞

   2.4 有无验证码--进行暴力破解

   3、漏洞利用

   3.1 思考目的性--达到什么样的效果

   3.2 隐藏，破坏性--根据探测到的应用指纹寻找对应的exp攻击载荷或者自己编写

   3.3 开始漏洞攻击，获取相应权限，根据场景不同变化思路拿到webshell

   4、权限提升

   4.1 根据服务器类型选择不同的攻击载荷进行权限提升

   4.2 无法进行权限提升，结合获取的资料开始密码猜解，回溯信息收集

   5、植入后门

   5.1 隐蔽性

   5.2 定期查看并更新，保持周期性

   6、日志清理

   6.1 伪装，隐蔽，避免激警他们通常选择删除指定日志

   6.2 根据时间段，find相应日志文件