一次性付费进群,长期免费索取教程,没有付费教程。
进微信群回复公众号:微信群;QQ群:460500587
教程列表 见微信公众号底部菜单 | 本文底部有推荐书籍微信公众号:计算机与网络安全
ID:Computer-network
当目标主机禁止ping时,就无法通过ICMP请求包进行路由跟踪。这时可以借助TCP协议实施跟踪。可以使用netwox工具提供的相关模块发送TCP包,与目标主机连接,然后通过返回的响应来判断经过的路由信息。
1、构造TCP包进行路由跟踪
通过TCP包进行路由跟踪实际上也是构造一个[SYN]包,向目标主机进行发送,通过控制TTL值,从而获取路由信息。例如,向目标主机发送[SYN]包后,到达经过的路由器时,TTL值已经变为0,但还没有到达目标主机,则该路由器将返回表示超时消息的ICMP数据包。如果到达目标主机,将返回TCP[SYN,ACK]响应包。
在主机192.168.12.106上构造TCP包,对目标主机125.39.52.26进行路由跟踪,判断到达目标主机都经过哪些路由。
1)构造TCP包进行路由跟踪,执行命令如下:
root@kali:~# netwox 59 -i 125.39.52.26
输出信息如下:
1 : 192.168.12.1
2 : 192.168.0.1
3 : 183.185.164.1
4 : 218.26.28.157
5 : 218.26.29.201
6 : 219.158.15.214
8 : 125.39.79.158
14 : 125.39.52.26
以上输出信息显示了经过的所有路由器的IP地址信息。例如,经过的第一个路由器地址为192.168.12.1。
2)为了验证成功构造了TCP包,并得到了每个路由器的响应信息,可以进行捕获数据包来查看,如图1所示。
图1 捕获的数据包
从图1可知:
第4个数据包源IP地址为192.168.12.106,目标IP地址为125.39.52.26,是实施主机向目标主机发送的TCP[SYN]包;
第5个数据包源IP地址为192.168.12.1,目标IP地址为192.168.12.106,该数据包是经过的第1个网关返回的超时消息的ICMP数据包,表示还没有达到目标主机125.39.52.26;
第6个数据包为实施主机192.168.12.106继续向目标主机125.39.52.26发送的TCP[SYN]包;
第7个数据包为经过的第2个网关返回的超时消息的ICMP数据包。
以此类推,第30个数据包为向目标主机125.39.52.26发送的TCP[SYN]包,第31个数据包为目标主机125.39.52.26返回的TCP[SYN,ACK]包。
2、伪造TCP包进行路由跟踪
使用本机进行路由跟踪,很容易被发现。为了避免被发现,可以伪造TCP包进行路由跟踪,如伪造IP地址和MAC地址。
已知目标主机IP地址为125.39.52.26,MAC地址为ec:17:2f:46:70:ba。在主机192.168.12.106上伪造TCP包进行路由跟踪。
1)伪造源IP地址为192.168.12.140,MAC地址为aa:bb:cc:dd:11:22,执行命令如下:
root@kali:~# netwox 60 -i 125.39.52.26 -E aa:bb:cc:dd:11:22 -I 192.168.v12.140 -e ec:17:2f:46:70:ba
输出信息如下:
1 : 192.168.12.1
2 : 192.168.0.1
3 : 183.185.164.1
4 : 218.26.28.157
5 : 218.26.29.201
6 : 219.158.15.214
8 : 125.39.79.166
14 : 125.39.52.26
2)通过抓包,验证成功伪造TCP[SYN]进行路由跟踪数据包,如图2所示。其中,第30个数据包的源IP地址为192.168.12.140(伪造的),目标IP地址为125.39.52.26;在Ethernet II部分中,源MAC地址为aa:bb:cc:dd:11:22(伪造的)。第31个数据包为对应的响应包,目标IP地址为192.168.12.140,说明成功将返回的信息发送给了伪造的地址。
图2 伪造TCP[SYN]
微信公众号:计算机与网络安全
ID:Computer-network
【推荐书籍】