20231909 2023-2024-2《网络攻防实践》第3次作业

20231909 2023-2024-2 《网络攻防实践》第3次作业

1.实验内容

（1）TCPDump
TCPDump可以将网络中传送的数据包完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

（2）网络嗅探
实现网络嗅探技术的工具称为网络嗅探器。嗅探器捕获的数据报文是经过封包处理之后的二进制数据，因此通常会结合网络协议分析技术来解析嗅探到的网络数据，这样才能恢复出TCP/IP协议栈上各层网络协议的内容，以及事件发送的应用层信息。

（3）网络监听

• 广播模式：该模式下的网卡能够接收网络中的广播数据。
• 组播模式：该模式下的网卡能够接收组播数据。
• 直接模式：只有匹配目的MAC地址的。网卡才能接收该数据。
• 混杂模式：无论其目的MAC地址是什么，网卡都能够接收一切监听到的数据。

（4）Wireshark
Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

2.实验过程

（1）动手实践tcpdump

• 使用命令ifconfig查看本机IP地址，，可以查到ip地址为192.168.200.4
• 使用tcpdump对本机向外的通信进行抓包，然后再浏览器中访问https://blog.csdn.net/

sudo tcpdump -n src 192.168.200.4 and tcp port 80 and "tcp[13]&18=2"

• 可以看到访问https://blog.csdn.net/的过程中访问了多个服务器。
  （2）动手实践Wireshark
• 输入命令访问fozztex的BBS服务器

sudo luit -encoding GBK telnet bbs.fozztex.com

• 输入New注册一个账户，用户名为new，密码是123456，然后开启wireshark抓包，重新访问BBS服务器
• 从ip报头中的得知BBS服务器的ip为50.79.157.209，从tcp报头中得知服务的端口是23。
• 
  (3) 取证分析实践，解码网络扫描器
• 将 listen.pcap 复制到kali虚拟机中，使用snort对二进制记录文件进行入侵检测。

sudo apt-get update 
sudo apt-get install snort 
cp listen.pcap /etc/snort/
snort -A console -q -u snort -c /etc/snort/snort.conf -r ~/listen.pcap 

• 可以看出靶机地址为172.31.4.188

• 找arp请求包，寻找目标IP地址为172.31.4.188的主机的MAC地址
  - 找icmp请求包,可以看到一共访问了4次，两组ICMP request包和ICMP replay包，说明使用了主机扫描，并且确定了目标主机是活跃的

• 输入sudo p0f -r listen.pcap，可以看到攻击机的操作系统是linux 2.6.X
  

3.学习中遇到的问题及解决

• 问题1：ifconfig查询ip地址时无inet显示
• 问题1解决方案：将桥接模式改为Vmnet8
• 问题2：tcpdump抓取记录太慢无反应
• 问题2解决方案：直接在kali虚拟机中打开网页
• 问题3：无法找到snort.conf文件
• 问题3解决方案：根据同学们提供的方案找到该文件
• 问题4：无法访问复旦bbs机
• 问题4 解决方案：更换访问对象，可以访问上。

4.学习感悟、思考等）

中间遇到了许多问题，很多都是细节，实践过程以后得注意细节，很可能一个没注意到的就会影响后续运行。

参考资料

• [na]tcp&udp扫描原理(nmap常用10条命令)