20231909 2023-2024-2 《网络攻防实践》第3次作业
1.实验内容
(1)TCPDump
TCPDump可以将网络中传送的数据包完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
(2)网络嗅探
实现网络嗅探技术的工具称为网络嗅探器。嗅探器捕获的数据报文是经过封包处理之后的二进制数据,因此通常会结合网络协议分析技术来解析嗅探到的网络数据,这样才能恢复出TCP/IP协议栈上各层网络协议的内容,以及事件发送的应用层信息。
(3)网络监听
- 广播模式:该模式下的网卡能够接收网络中的广播数据。
- 组播模式:该模式下的网卡能够接收组播数据。
- 直接模式:只有匹配目的MAC地址的。网卡才能接收该数据。
- 混杂模式:无论其目的MAC地址是什么,网卡都能够接收一切监听到的数据。
(4)Wireshark
Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。
2.实验过程
(1)动手实践tcpdump
- 使用命令ifconfig查看本机IP地址,,可以查到ip地址为192.168.200.4
- 使用tcpdump对本机向外的通信进行抓包,然后再浏览器中访问https://blog.csdn.net/
sudo tcpdump -n src 192.168.200.4 and tcp port 80 and "tcp[13]&18=2"
- 可以看到访问https://blog.csdn.net/的过程中访问了多个服务器。
(2)动手实践Wireshark
- 输入命令访问fozztex的BBS服务器
sudo luit -encoding GBK telnet bbs.fozztex.com
- 输入New注册一个账户,用户名为new,密码是123456,然后开启wireshark抓包,重新访问BBS服务器
- 从ip报头中的得知BBS服务器的ip为50.79.157.209,从tcp报头中得知服务的端口是23。
(3) 取证分析实践,解码网络扫描器
- 将 listen.pcap 复制到kali虚拟机中,使用snort对二进制记录文件进行入侵检测。
sudo apt-get update
sudo apt-get install snort
cp listen.pcap /etc/snort/
snort -A console -q -u snort -c /etc/snort/snort.conf -r ~/listen.pcap
-
可以看出靶机地址为172.31.4.188
-
找arp请求包,寻找目标IP地址为172.31.4.188的主机的MAC地址
- 找icmp请求包,可以看到一共访问了4次,两组ICMP request包和ICMP replay包,说明使用了主机扫描,并且确定了目标主机是活跃的
-
输入sudo p0f -r listen.pcap,可以看到攻击机的操作系统是linux 2.6.X
3.学习中遇到的问题及解决
- 问题1:ifconfig查询ip地址时无inet显示
- 问题1解决方案:将桥接模式改为Vmnet8
- 问题2:tcpdump抓取记录太慢无反应
- 问题2解决方案:直接在kali虚拟机中打开网页
- 问题3:无法找到snort.conf文件
- 问题3解决方案:根据同学们提供的方案找到该文件
- 问题4:无法访问复旦bbs机
- 问题4 解决方案:更换访问对象,可以访问上。
4.学习感悟、思考等)
中间遇到了许多问题,很多都是细节,实践过程以后得注意细节,很可能一个没注意到的就会影响后续运行。