20232917白胤廷 2022-2023-2 《网络攻防实践》实践五报告

20232917白胤廷 2022-2023-2 《网络攻防实践》实践五报告

1.实践内容

（1）防火墙配置（IP地址仅供参考，以实际为准）
任务要求:配置Linux操作系统平台上的iptables,或者Windows操作系统平台上的个人防火墙，完成如下功能，并进行测试:
(1)过滤ICMP数据包，使得主机不接收Ping包;
(2)只允许特定IP地址(如局域网中的Linux攻击机192.168.200.3)，访问主机的某一网络服务(如FTP、HTTP、SMB)，而其他的IP地址(如Windows攻击机192. 168.200.4)无法访问

（2）动手实践：Snort
使用Snort对给定pcap文件（第4章中的解码网络扫描任一个pcap文件，之前的实践已经提供了，请在学习通中下载）进行入侵检测，并对检测出的攻击进行说明。在BT4 Linux攻击机或Windows Attacker攻击机上使用Snort，对给定的pcap文件进行入侵检测，获得报警日志。

Snort运行命令提示如下：
①从离线的pcap文件读取网络日志数据源
②在snort.conf中配置明文输出报警日志文件
③指定报警日志log目录（或缺省log目录=/var/log/snort）

（3）分析配置规则
分析虚拟网络攻防环境中蜜网网关的防火墙和IDS/IPS配置规则，说明蜜网网关是如何利用防火墙和入侵检测技术完成其攻击数据捕获和控制需求的。

2.实践过程

（1）防火墙配置

首先打开kali虚拟机，输入iptables -L查看规则，可以看到当前没有任何规则

打开seedubuntu虚拟机，使用ping命令检查与kali虚拟机的连通性

在kali虚拟机中输入sudo iptables -A INPUT -p icmp -j DROP配置防火墙，过滤icmp包，并通过iptables -L查看规则


如图所示，可以看到kali已经设置好了过滤icmp包的规则。此时使用seed对kali执行ping命令，发现无法连通

输入sudo iptables -D INPUT -p icmp -j DROP将这条规则删除

此时重新执行ping命令，发现又能够ping通

查看seed和metasploitable的ip地址，分别为192.168.200.7和192.168.200.123。此时，kali和seed两台虚拟机都能用telnet命令访问metasploitable


metasploitable中输入iptables -P INPUT DROP来禁止所有输入数据包，此时两台虚拟机都无法访问metasploitable。此时输入iptables -A INPUT -p tcp -s 192.168.200.8 -j ACCEPT来允许kali虚拟机的数据包输入

此时kali虚拟机能够使用telnet命令进行访问，而seed虚拟机无法访问

（2）动手实践：Snort

打开kali，运行sudo snort -c /etc/snort/snort.conf -r listen.pcap，如下所示，可以看到绝大多数的数据包都是tcp包

输入vim /var/log/snort查看报警文件，发现主要是主机172.31.4.178对主机172.31.4.188的主机进行的nmap扫描

（3）分析配置规则

打开蜜网网关虚拟机，使用命令vim /etc/init.d/rc.firewall，可以看到黑名单、白名单和防护名单三个链（对于黑名单的主机：丢弃所有包，对于白名单的主机：接受并不记录，对于防护名单的主机：禁止其访问某些不希望被访问到的主机）

使用命令iptables -t filter -L | more来查看规则列表

使用命令vim /etc/init.d/snortd打开Snort脚本文件

使用命令chkconfig --list | grep iptables和chkconfig --list | grep snort可以看到查询的服务是否开启，可以看到防火墙和NIPS是跟随系统启动的，NIDS不自动启动

使用命令vim /etc/honeywall.conf打开honeywall配置文件

3.学习中遇到的问题及解决

• 问题1：使用蜜网网关进行实验时无法执行需要root权限的指令
• 问题1解决方案：首先输入sudo -进入root权限，输入chmod 777 /etc/sudoers并输入vim /etc/sudoers修改权限管理文件，在下图所示位置添加support ALL=(ALL) ALL解决问题

4.实践总结

本次实践主要运用了iptables进行防火墙配置、snort工具进行入侵检测以及通过分析脚本文件大致明白了蜜网网关是如何利用防火墙和入侵检测技术完成其攻击数据捕获和控制需求的。相对来说本次实践难度适中，实践过程中发现对命令的各个参数的使用还是容易混淆，还需要多加实践才能更好的掌握。