20232822 2023-2024-2 《网络攻防实践》实践4报告

一、实验任务

在网络攻防实验环境中完成TCP/IP协议栈重点协议的攻击实验，包括ARP缓存欺骗攻击、ICMP重定向攻击、SYN Flood攻击、TCP RST攻击、TCP会话劫持攻击。

1、实验内容

（一）ARP缓存欺骗攻击

ARP（地址解析协议）缓存欺骗攻击是一种网络攻击，它利用了ARP协议的弱点来欺骗目标主机，使其将网络流量发送到错误的网络地址。攻击者发送虚假的ARP响应，将目标IP地址映射到攻击者控制的MAC地址上，从而使得目标主机发送的数据包被发送到攻击者而不是正确的目标。这可以用来中间人攻击、数据嗅探、会话劫持等攻击。
ARP缓存欺骗攻击通常涉及以下步骤：
1、监听网络: 攻击者首先通过监听网络流量了解目标主机的IP地址和MAC地址。
2、 发送虚假ARP响应: 攻击者发送虚假的ARP响应包给目标主机，欺骗其认为某个IP地址对应的MAC地址是攻击者控制的MAC地址，而不是真实的MAC地址。
3、目标主机更新ARP缓存: 目标主机接收到虚假的ARP响应后，会更新自己的ARP缓存表，将攻击者控制的MAC地址与目标IP地址相关联。
4、数据重定向: 一旦ARP缓存表被篡改，目标主机发送到目标IP地址的数据包将被发送到攻击者的机器上。攻击者可以选择转发、篡改或者丢弃这些数据包，具体取决于攻击者的目的。

（二）ICMP重定向攻击

ICMP重定向攻击是一种利用Internet控制消息协议（ICMP）的安全漏洞的网络攻击。ICMP重定向攻击的目标是欺骗受害者主机，使其修改其路由表以将网络流量发送到攻击者控制的路由器或网关上，从而将流量重定向到攻击者控制的目标。
攻击者通常利用这种漏洞来实施中间人攻击，截取或修改受害者和目标之间的通信。攻击者通常需要在受害者和目标之间的网络路径上，具有能够发送虚假ICMP重定向消息的位置。
ICMP重定向攻击的主要步骤如下：
1、监听网络流量: 攻击者通过监听网络流量，确定受害者和目标之间的通信路径。
2、发送虚假ICMP重定向消息: 攻击者向受害者发送伪装成网络网关的虚假ICMP重定向消息，告诉受害者将特定目标的流量发送到攻击者控制的路由器或网关上。
3、受害者更新路由表: 受害者接收到虚假的ICMP重定向消息后，会修改其路由表，将特定目标的流量发送到攻击者控制的路由器或网关上。
4、流量重定向: 一旦受害者修改了其路由表，将特定目标的流量发送到攻击者控制的路由器或网关上，攻击者就可以拦截、修改或重定向这些流量，进行中间人攻击。

（三）SYN Flood攻击

SYN Flood攻击是一种常见的网络攻击方式，旨在通过发送大量伪造的TCP连接请求（称为SYN），消耗目标服务器的资源，使其无法正常响应合法的连接请求，从而导致服务不可用。这种攻击利用了TCP协议的三次握手过程中的漏洞，攻击者发送大量的SYN请求但不完成握手过程，导致目标服务器上的半开放连接队列耗尽资源。
SYN Flood攻击的一般步骤如下：
1、发送大量伪造的SYN请求: 攻击者向目标服务器发送大量伪造的TCP连接请求，每个请求都包含一个不同的源IP地址，使得目标服务器无法有效地区分真实请求和伪造请求。
2、目标服务器响应: 目标服务器收到伪造的SYN请求后，会为每个请求尝试建立一个TCP连接，并向发送端发送一个SYN-ACK响应。
3、攻击者不响应: 攻击者不响应服务器的SYN-ACK响应，也不发送ACK确认，从而使得服务器上的半开放连接队列持续增长。
4、资源耗尽: 目标服务器上的半开放连接队列被耗尽，无法处理更多的合法连接请求，导致正常服务不可用。

（四）TCP RST攻击

TCP RST攻击是一种网络攻击，它利用了TCP协议中的RST标志位来终止TCP连接。攻击者发送虚假的TCP RST分组给通信中的一方，使其相信连接已经被重置，从而中断正常的通信。
以下是TCP RST攻击的一般步骤：
1、监听网络流量: 攻击者监听目标网络中的通信，以便识别正在进行的TCP连接。
2、发送虚假的TCP RST分组: 攻击者发送虚假的TCP RST分组，它们伪装成目标通信双方的一方发送的消息。这样，接收到RST分组的一方会认为连接已被重置，并终止通信。
3、中断通信: 攻击者成功发送虚假的TCP RST分组后，通信的一方将收到该分组并中断连接。这导致了服务中断或网络中断，使得正常通信无法进行。
TCP RST攻击通常用于终止现有的TCP连接，从而导致服务不可用或网络中断。攻击者可能利用这种攻击来破坏网络通信、中断服务、拒绝服务（DoS）或进行中间人攻击。

（五）TCP会话劫持攻击

TCP会话劫持攻击是一种网络攻击，旨在窃取或篡改正在进行的TCP会话。攻击者通过各种手段获取会话的相关信息（例如会话标识、序列号等），然后利用这些信息冒充合法用户或服务器，并对会话进行操纵或监视。
以下是TCP会话劫持攻击的一般步骤：
1、监听网络流量: 攻击者通过各种手段（例如使用网络嗅探器）监听网络中的TCP流量，以便捕获目标会话的相关信息。
2、获取会话信息: 攻击者获取目标会话的相关信息，包括会话标识、序列号等。这可以通过捕获并分析TCP数据包来实现。
3、篡改或劫持会话: 攻击者使用获取到的会话信息来冒充合法用户或服务器，并篡改或劫持正在进行的会话。这可能包括发送伪造的数据包、修改数据内容、或者中断和重放数据包。
4、执行攻击目标: 攻击者可以利用劫持的会话进行各种恶意活动，例如窃取敏感信息、篡改数据、欺骗用户或服务器等。
TCP会话劫持攻击通常利用各种漏洞或弱点来实现，例如未加密的通信、弱密码、未经身份验证的连接等。攻击者可能使用这些漏洞来获取会话信息，并利用其进行劫持。

2、实验工具

Netwox：Netwox是一个功能强大的网络工具包，它提供了超过300个网络工具和攻击模块，涵盖了各种网络攻击和测试场景。使用Netwox，您可以执行各种类型的攻击，如端口扫描、DoS攻击、中间人攻击等。可以通过sudo apt-get install netwox命令开进行安装。

Ettercap：Ettercap是一个流行的中间人攻击工具，它可以用于拦截、记录和分析网络流量，并可以进行ARP欺骗、SSL中间人攻击等。

二、实验流程

分别查询使用到的虚拟机的IP、MAC地址：

1、ARP缓存欺骗攻击

使用MetaSploitable ping Win2kServer，能够连通，使用arp -n命令查看MetaSploitable的arp表为：

在seedubuntu攻击机中执行sudo netwox 80 -e 00:0c:29:1e:65:71 -i 192.168.200.124进行ARP攻击

此时再次使用Metasploitable ping Win2kServer，并通过arp -a命令获得Win2kServer此时被攻击时的MAC地址，如下图所示：

可以看到MetaSploitable的IP地址对应的MAC地址变成了攻击机seedubuntu的

此时Win2kServer主机也检测到了错误：

2、ICMP重定向攻击

首先使用kali ping baidu.com,然后使用route -n查看ping包的数据流向，发现网关是192.168.200.1，如下图所示：

然后在攻击机seedubuntu上使用工具 netwox 伪造重定向数据包，命令为 netwox 86 -f “host 192.168.200.4” -g 192.168.200.4 -i 192.168.200.1 ，嗅探链路中所有来自主机192.168.200.4的TCP数据包，并且以网关192.168.200.1的名义向主机192.168.200.4发送ICMP重定向包，如下图所示：

此时再次使用kali ping baidu.com 发现重定向数据包如下，ping之前先在kali上打开wireshark进行嗅探：

在wireshark中嗅探到：

3、SYN Flood攻击

首先在kali上使用TELNET服务登录靶机Metasploitable，登录成功：

其次在攻击机seedubuntu上使用工具 netwox 对靶机Metasploitable发动SYN FLOOD攻击，命令为 netwox 76 -i 192.168.200.5 -p 23 意思是对IP地址为192.168.200.5主机的23号端口服务实施攻击，这里23号对应的服务是TELNET服务，如下图所示：

wireshark抓包时候发现大量SYN数据包被发送往目标主机。

4、TCP RST攻击

在攻击前，在kali中执行telnet 192.168.200.5，向MetaSploitable发起telnet登陆，并输入用户名密码，可见可以正常执行

在seedubuntu上利用netwox的78号工具对靶机进行TCP RST攻击netwox 78 -i 192.168.200.5，并提前打开Wireshark 进行监听,再次在kali中执行telnet 192.168.200.5，可发现显示连接已被外部主机中断。

在wireshark中可以发现大量的RST包，因为大量RST标志的TCP数据包，kali向MetaSploitable发起的telnet连接被拒绝了

5、 TCP会话劫持攻击

本次攻击使用了ettercap，在kali中使用sudo ettercap -G命令打开图形化界面进行操作，点击右上角对号开始扫描

在扫描结束后，点击左上角的Host List，将seedubuntu和MetaSploitable设置为target1和target2

点击MITM Menu选择ARP poisoning，出现弹窗后点击OK，出现目标确认消息即成功

点击Ettercap Menu选择View中的Connections查看连接

使用seedubuntu向MetaSploitable发起登陆telnet 192.168.200.111进行telnet连接

可以在ettercap中看到seedubuntu与MetaSploitable的Telnet连接，甚至可以具体看到输入过程中的密码删改

三、学习中遇到的问题及解决

问题1：kali中安装netwox不成功
问题1解决方法：将seedubuntu作为攻击机在seedubuntu上安装netwox并进行实验

四、学习感想和体会

本次实验学习并实践了很多网络攻击方式，学习使用了网络安全工具netwox和ettercap，通过学习和实践这些工具和攻击方式，我更好地了解了网络攻击的原理和技术，这不仅帮助我加深了知识的理解和技能的提升，还让我明白了网络安全的潜在风险和重要性。