网络攻防实战

目标

1.给定一个已知ip地址web网站和一个网页后门webshell

2.通过nmap扫描，获取web网站开放的端口，开启的服务和操作系统信息

3.通过openvas扫描网络漏洞，分析web网站的类型（jsp，asp，php），端口，项目名称等

4.通过web网站上传漏洞（以jsp为例，可尝试up.jsp,upload.jsp,upload_file.jsp等），上传网页后门webshell

5.通过本地入侵检测ossec，利用文件完整性功能来检测webshell，当上传webshell时能在ossec的日志中查看到新增文件的告警

6.通过网络入侵检测suricata，利用规则来检测webshell，访问webshell输入用户密码并点击登陆时，能在suricata的日志中看到WEB-ATTACKS webshell的告警

工具准备

1、honeydrive蜜罐工具

2、kali linux渗透测试工具

3、虚拟机virtualbox或vmware

4、网页后门webshell,名称为kj021320.jsp

环境搭建

1、在自己的pc机上安装虚拟机

2、虚拟机中导入honeydrive蜜罐,以virtualbox为例,打开菜单 管理--->导入虚拟电脑--->选择一个文件夹,如图

3、同样的方法导入kali linux渗透工具

4、虚拟机导入后可以先看看他们的描述信息,honeydrive描述可以看到,操作系统是基于xubuntu的,用户密码都是honeydrive,如图

5、同样的方法查看kali linux渗透工具,如图

6、两个虚拟机默认网络连接为桥模式,并且会自动获取ip地址,如果没有获取可以到后台输入ifconfig eth0 xxx.xxx.xxx.xxx配置ip地址,最终的目标是保证两个虚拟机可以相互通信

7.开启虚拟机honeydrive,如图

8.打开honeydrive的终端,输入sudo ./Desktop/start.sh,密码为honeydrive,如图

9.开启虚拟机kali linux,如图

10.打开kali linux 的终端,如图

11、通过在终端输入ifconfig命令来查看ip地址,如图

12、上图可知honeydrive的ip地址为172.16.20.3,kalilinux的ip地址为172.16.23.31,在kalilinux上ping一下honeydrive的ip地址,如图结果则表示两个虚拟机正常通信

步骤

1、nmap扫描

开放的端口和开启的服务nmap -Pn 172.16.20.3

 操作系统信息nmap -O 172.16.20.3

2、openvas扫描

在kalilinux中启动openvas,如图

打开kalilinux的浏览器,输入https://127.0.0.1:9392弹出登陆框,用户密码都是admin

在首页输入要扫描的ip地址,点击start scan按钮,如图

扫描结果分析,分别点击扫描报告中的Apache Tomcat Version Detection和Directory     scanner,可以分析出web服务类型是tomcat,后缀一般为jsp,项目名称为test,如图

3、webshell上传

在自己的pc机上打开网页访问http://172.16.20.3:8080/test/,如图

上传漏洞利用,尝试输入up.jsp,upload.jsp,upload_file.jsp等,默认我放了一个upload.jsp的上传页面上去,所以输入http://172.16.20.3:8080/test/upload.jsp时,如图

打开webshell文件,复制文本内容并粘贴到上图的”这写马的代码”文本框中,注意”这写马的代码”几个字需要删除,点击up,如图

4、查看入侵结果

查看ossec告警日志sudo tail -f /var/ossec/logs/alerts/alerts.log,发现有有新增文件告警,如图

在页面输入http://120.0.1:8080/test/kj021320.jsp打开webshell,用户名密码都是kj021320,点击登陆,如图

查看suricata告警日志,tail -f /var/log/suricata/fast.log