【文章內(nèi)容簡介】 62端 ip 數(shù)據(jù)流是通過 nat 進(jìn)行傳輸。 （ 4）在 3660 上擴(kuò)展 ping， source destination ，通過。查看 show cry ip sa，可以發(fā)現(xiàn)數(shù)據(jù)通過加密進(jìn)行傳輸。在 1720 上打開 deb ip icmp，可以看到 echo reply信息的 dst 地址為 （ vpn client 從 vpn server 獲取的 ip 地址）。 （ 5）在 3660 上擴(kuò)展 ping， source destination ，不通。 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 14 實驗二：網(wǎng)絡(luò) 攻擊 和應(yīng)對 一．實驗學(xué)時： 4學(xué)時 二． 實驗?zāi)康模? 攻擊和防御是目前業(yè)內(nèi)被討論的最為熱烈的安全實驗室內(nèi)容，通過本實驗，學(xué)生可以了解到各種流行的網(wǎng)絡(luò)攻擊行為以及如何去進(jìn)行這些安全事件的防御。 三．實驗內(nèi)容： 1． DHCP 攻擊及應(yīng)對 實驗 2． MAC 地址的攻擊及應(yīng)對實驗 3． ARP 欺騙的攻擊及應(yīng)對實驗 4． SYN FLOOD 攻擊及應(yīng)對實驗 四． 實驗參考拓?fù)鋱D 五．實驗步驟 DHCP 攻擊 （ 1）木馬被安裝在被感染的機(jī)器上，并在局域網(wǎng)中運行 DHCP 服務(wù)。當(dāng)其他機(jī)器請求一個新的 IP 地址時，該服務(wù)偽造 DHCP 數(shù)據(jù)包應(yīng)答。如果幸運的話，木馬搶在真正的 DHCP服務(wù)器之前發(fā)出 DHCP 數(shù)據(jù)包，那它將修改其他計算機(jī)的網(wǎng)絡(luò)配置。 （ 2）下圖是一個網(wǎng)絡(luò)嗅探工具詳細(xì)的顯示了一臺被 感染的機(jī)器（地址 ）到底對所在的網(wǎng)絡(luò)有何影響。當(dāng)一臺正常的機(jī)器（地址 ）在更新它的 IP 地址（例如在 Windows 系統(tǒng)中使用 ipconfig /release 和 ipconfig /renew）時，它發(fā)送一個 DHCP 釋放數(shù)據(jù)包然后嘗試尋找 DHCP 服務(wù)器以便獲得新的網(wǎng)絡(luò)配置。請求得到的配置將包括所有重要的信息，任何設(shè)備（ PC, Mac, Smartphone 等）都需要這些配置來接 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 15 入 Inter，這些信息中尤為重要的是 DNS 服務(wù)器的地址。 在一個正常的網(wǎng)絡(luò)中我們應(yīng)該看到只有合法的 DHCP 服務(wù) 器（ ）向請求端發(fā)送 DHCP OFFER 包。然而感染木馬的機(jī)器搶先發(fā)出另一個 DHCP OFFER 數(shù)據(jù)包。 感染木馬的機(jī)器發(fā)出的數(shù)據(jù)包首先到達(dá) DHCP 客戶端；因此，它取代了真實的 DHCP服務(wù)器并且最終分配給客戶端如下所示的 IP 配置信息： 很明顯，受感染機(jī)器已經(jīng)分配給這個正常的機(jī)器 （正常并且沒有受到任何威脅被感染） IP 配置，現(xiàn)在配置中包含著一些熟知的流氓 DNS 服務(wù)器地址： 和 。 按照這些 DNS 服務(wù)器的 解析進(jìn)行的 Inter 訪問只能出現(xiàn)非常糟糕的結(jié)果，這樣的結(jié)果大部分都與 DNS ―changer Trojans‖ 相關(guān)，它包括了 Zlob 和 Mac OS X。一旦 DNS 服務(wù)器被修改，攻擊者可以把你的計算機(jī)重定向到任何的惡意網(wǎng)站或者釣魚網(wǎng)站（例如，你輸入 而你的計算機(jī)卻訪問 ―‖這個主機(jī)）。 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 16 ARP 欺騙與應(yīng)對 在虛擬機(jī) 2 上安裝 ―網(wǎng)絡(luò)執(zhí)法官 ‖軟件，破壞虛擬機(jī) 1 和真實機(jī)之間的正常通信，實驗步驟如下 ： （ 1） 正確配置各計算機(jī)的 IP 地址。虛擬機(jī) 1 的網(wǎng)卡類型 Bridged， IP 地址是，掩碼 ，網(wǎng)關(guān) ， DNS 是 。虛擬機(jī) 2 的網(wǎng)卡類型 Bridged， IP 地址是 ，掩碼 ，網(wǎng)關(guān) ， DNS 是。真實機(jī)的 IP 地址是 ，掩碼 ，網(wǎng)關(guān) ， DNS是 。 （ 2） 在虛擬機(jī) 2 上安裝 WinPcap。解壓縮 ―網(wǎng)絡(luò)執(zhí)法官 .rar‖文件，雙 擊 ―‖文件，開始安裝 WinPcap。在虛擬機(jī) 2 上安裝網(wǎng)絡(luò)執(zhí)法官軟件。雙擊 ―網(wǎng)絡(luò)執(zhí)法官 破解版 .exe‖文件開始安裝網(wǎng)絡(luò)執(zhí)法官。 （ 3） 運行網(wǎng)絡(luò)執(zhí)法官。第一次運行執(zhí)法官，打開對話框，提示進(jìn)行監(jiān)控參數(shù)選擇。因為只有一塊網(wǎng)塊，選中最上面的網(wǎng)卡復(fù)選框，單擊 ―確定 ‖按鈕。打開監(jiān)控范圍選擇對話框，在指定監(jiān)控范圍中列出網(wǎng)卡所在子網(wǎng)的所有可用 IP 地址，單擊 ―添加 /修改 ‖，把范圍加入后，單擊 ―確定 ‖按鈕。 （ 4） 攻擊前測試。在虛擬機(jī) 1 上，打開 DOS 窗口，輸入 ping –t，持續(xù)的ping 真實機(jī)的 IP 地址，可以發(fā)現(xiàn)是通的。不要關(guān)閉該窗口。 （ 5） 開始攻擊。網(wǎng)絡(luò)執(zhí)法官軟件可以監(jiān)測到同一個子網(wǎng)中所有在線的主機(jī)，在網(wǎng)絡(luò)執(zhí)法官的管理界面中，右鍵單擊真實機(jī)，從快捷菜單中選擇 ―手工管理 ‖。 選中第三個選項 ―禁止與所有其他主機(jī) …‖ ，單擊 ―開始 ‖，此時可以發(fā)現(xiàn)虛擬機(jī) 1 和真實機(jī)之間的 ping 測試開始提示 ―Request timed out‖，通信中斷了。實際環(huán)境中，還可以只選中 ―禁止與關(guān)鍵主機(jī)連接 …‖ ，然后單擊 ―關(guān)鍵主機(jī) ‖，加入網(wǎng)關(guān)的地址，這樣被攻擊計算機(jī)只會中斷與網(wǎng)關(guān)的連接，和局域網(wǎng)內(nèi)計 算機(jī)之間的通信不會中斷。 防范和解決 ARP 攻擊 方法 1：經(jīng)過判斷已經(jīng)發(fā)現(xiàn)存在 ARP 攻擊，如果攻擊持續(xù)存在，在受害的計算機(jī)上執(zhí)行 ―arp –d‖后，再執(zhí)行 ―arp –a‖， –a 的作用是顯示該計算機(jī)上的所有 ARP 緩存。從中我們可能會發(fā)現(xiàn)有幾條記錄，其中一個記錄是網(wǎng)關(guān)或要訪問的目標(biāo)主機(jī)，還有一條其他記錄，也可能有幾條。多執(zhí)行幾次 ―arp –d‖、 ―arp –a‖，總結(jié)一下，出現(xiàn)最多的那條記錄基本上就是 ARP攻擊者的真實 IP 地址。 方法 2：在目標(biāo)設(shè)備和受害計算機(jī)上分別進(jìn)行 IP 地址和 MAC 地址的靜態(tài)綁定。 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 17 例如 ，在計算機(jī)上執(zhí)行： ―arp –s 00aa0062c609‖， 在路由或交換設(shè)備上執(zhí)行： ―Cisco6509(config) arp ARPA‖ 把要保護(hù)的目標(biāo)設(shè)備的 IP 地址和 MAC 地址進(jìn)行綁定，使非法的 ARP 攻擊無孔可入。并不是每一個用戶都有權(quán)在網(wǎng)關(guān)設(shè)備上把自己使用的 IP 地址和 MAC 地址進(jìn)行綁定，但用戶至少可以做到的是在自己的計算機(jī)上把網(wǎng)關(guān)的 IP 地址和 MAC 地址進(jìn)行綁定，最好做成一個批處理文件，每次計算機(jī)啟動時都執(zhí) 行該文件，使用這種方法可以有效的避免上述的第二種泄密攻擊。 方法 3：采用動態(tài) ARP 檢察技術(shù)，結(jié)合 DHCP 的功能，實現(xiàn) IP 和 MAC 的自動綁定。該方法和方法 2 類似，但綁定是自動完成的，可以在接入層交換機(jī)上部署，非法的 ARP 包將被交換機(jī)丟棄。 SYN FLOOD 攻擊與應(yīng)對 攻擊： （ 1）在 局域網(wǎng)環(huán)境，有一臺攻擊機(jī)（ PIII667/128/mandrake），被攻擊的是一臺 Solaris (spark)的主機(jī)，網(wǎng)絡(luò)設(shè)備是 Cisco 的百兆交換機(jī)。在攻擊并未進(jìn)行之前，目標(biāo)主機(jī)上接到的基本上都是一些普通的網(wǎng)絡(luò) 包。 （ 2） 攻擊機(jī)開始發(fā)包， DDoS 開始了， sun 主機(jī)上的 snoop 窗口開始飛速地翻屏，顯示出接到數(shù)量巨大的 Syn 請求。這時收不到剛才那些正常的網(wǎng)絡(luò)包，只有 DDoS 包。 這時候被攻擊機(jī)已經(jīng)不能響應(yīng)新的服務(wù)請求了，系統(tǒng)運行非常慢，也無法 ping 通。 用 iptables 對付 synflood 攻擊 ： 在局域網(wǎng)內(nèi)進(jìn)行了一系列攻擊實驗 ,其中兩臺攻擊計算機(jī) (Win 2020) ,一臺檢測計算機(jī)(RedHatL inux) 。檢測計算機(jī)內(nèi)已有 iptables 規(guī)則腳本 ,主要測試文件到 iptables 的數(shù)據(jù)傳遞 ,故默認(rèn)入 侵檢測系統(tǒng)發(fā)現(xiàn)攻擊 ip 地址并寫入文件列表。在發(fā)生攻擊時 ,必定有大量的網(wǎng)絡(luò)會話處在 SYN_RECV 狀態(tài) ,采用以下命令查看處于半連接狀態(tài)的 TCP 會話 : stat nat | grep SYN_RECVtcp 0 0 10. 10. 138. 121: 1763 10. 10. 138. 52: 631 SYN_RECVtcp 0 0 10. 10. 138. 121: 859 10. 10. 138. 52: 631 SYN_RECVtcp 0 0 10. 10. 138. 121: 5278 10. 10. 138. 52: 631 SYN_RECVtcp 0 0 10. 10. 138. 121: 1425 10. 10. 138. 52: 631 SYN_RECVtcp 0 0 10. 10. 138. 121: 1698 10. 10. 138. 52: 631 SYN_RECVtcp 0 0 10. 10. 138. 121: 8653 10. 10. 138. 52: 631 SYN_RECV????????? 啟動腳本后 ,再次輸入以上命令 :stat nat |grep SYN_RECV。此時 ,查找不到在網(wǎng)絡(luò)連 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 18 接中處于 SYN_RECV 狀態(tài)的會話 （ 在 WINDOWS 系統(tǒng)中是 SYN_RECEIVED 狀態(tài) ） ,顯示處于半連接狀態(tài)的數(shù)據(jù)報都已經(jīng)過濾 ,也就是系統(tǒng)成功地抵抗了 SYNFlood 攻擊。在實際測試中 ,采用多臺計算機(jī)同時對主機(jī)進(jìn)行攻擊來模擬大流量、高強度 SYN Flood 攻擊的復(fù)雜環(huán)境 ,同樣取得了比較理想的結(jié)果。 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 19 實驗三：網(wǎng)絡(luò) 入侵 檢測 一．實驗學(xué)時： 4學(xué)時 二． 實驗?zāi)康模? 通過網(wǎng)絡(luò)入侵檢測實驗，學(xué)生可以學(xué)習(xí)到如何識別各種安全事件，以及各 種安全事件的特性，能夠較為熟練的應(yīng)用一些典型的 IDS 系統(tǒng)及工具。 三．實驗內(nèi)容： 了解協(xié)議分析的方法，掌握 Sniffer 軟件的使用。學(xué)習(xí)網(wǎng)絡(luò)數(shù)據(jù)捕獲、分析及處理的方法與技術(shù)。 四． Sniffer簡介： Sniffer（嗅探器）是一種常用的收集有用數(shù)據(jù)方法，這些數(shù)據(jù)可以是用戶的帳號和密碼，可以是一些商用機(jī)密數(shù)據(jù)等等。 Snifffer 可以作為能夠捕獲網(wǎng)絡(luò)報文的設(shè)備 ,ISS 為 Sniffer 這樣定義： Sniffer 是利用計算機(jī)的網(wǎng)絡(luò)接口截獲目的地為其他計算機(jī)的數(shù)據(jù)報文的一種工具。 Sniffer 的正當(dāng)用處主要是分析 網(wǎng)絡(luò)的流量 ,以便找出所關(guān)心的網(wǎng)絡(luò)中潛在的問題。例如 ,假設(shè)網(wǎng)絡(luò)的某一段運行得不是很好 ,報文的發(fā)送比較慢 ,而我們又不知道問題出在什么地方 ,此時就可以用嗅探器來作出精確的問題判斷。 在合理的網(wǎng)絡(luò)中， sniffer 的存在對系統(tǒng)管理員是致關(guān)重要的，系統(tǒng)管理員通過 sniffer 可以診斷出大量的不可見模糊問題，這些問題涉及兩臺乃至多臺計算機(jī)之間的異常通訊有些甚至牽涉到各種的協(xié)議，借助于 sniffer， 系統(tǒng)管理員可以方便的確定出多少的通訊量屬于哪個網(wǎng)絡(luò)協(xié)議、占主要通訊協(xié)議的主機(jī)是哪一臺、大多數(shù)通訊目的地是哪臺主機(jī)、報文發(fā)送 占用多少時間、或著相互主機(jī)的報文傳送間隔時間等等，這些信息為管理員判斷網(wǎng)絡(luò)問題、管理網(wǎng)絡(luò)區(qū)域提供了非常寶貴的信息。 嗅探器與一般的鍵盤捕獲程序不同。鍵盤捕獲程序捕獲在終端上輸入的鍵值，而嗅探器則捕獲真實的網(wǎng)絡(luò)報文。為了對 sniffer 的工作原理有一個深入的了解，我們先簡單介紹一下 HUB 與網(wǎng)卡的原理。 1． HUB 工作原理 由于以太網(wǎng)等很多網(wǎng)絡(luò)（常見共享 HUB 連接的內(nèi)部網(wǎng)）是基于總線方式，物理上是廣播的，當(dāng)一個機(jī)器發(fā)給另一個機(jī)器的數(shù)據(jù) 時 ，共享 HUB 先收到然后把它接收到的數(shù)據(jù)再發(fā)給其他的（ 源 口不發(fā) 送 ）每一個口，所 以在共享 HUB 下面同一網(wǎng)段的所有機(jī)器的網(wǎng)卡都能接收到 該 數(shù)據(jù)。 網(wǎng)絡(luò)安全工程實驗指導(dǎo)書 20 交換式 HUB 的內(nèi)部單片程序能記住每個口的 MAC 地址， 根據(jù) MAC 地址把數(shù)據(jù)發(fā)往對應(yīng)目的機(jī)器端口 ，而不是像共享 HUB 那樣發(fā)給所有的口，所以交換 HUB 下只有 應(yīng) 該接收數(shù)據(jù)的機(jī)器的網(wǎng)卡 才 能接收到數(shù)據(jù)，當(dāng)然廣播包還是發(fā)往所有口。顯然共享 HUB 的工作模式使得兩個機(jī)器傳輸數(shù)據(jù)時 ， 其他機(jī)器別的口也 被 占用了，所以共享 HUB 決定了同一網(wǎng)段同一時間只能有兩個機(jī)器進(jìn)行數(shù)據(jù)通信，而交換 HUB 兩個機(jī)器傳輸數(shù)據(jù)的時候別的口沒有占用，所以別的口之間也可以同時傳輸。這就是共享 HUB 與交換 HUB 不同的兩個地方，共享 HUB 是同一時間只能一個機(jī)器發(fā)數(shù)據(jù)并且所有機(jī)器都可以接收，只要不是廣播數(shù)據(jù)交換 HUB 同一時間可以有對機(jī)器進(jìn)行數(shù)據(jù)傳輸并且數(shù)據(jù)是私有的。 2． 網(wǎng)卡工作原理 再講講網(wǎng)卡的工作原理。網(wǎng)卡收到傳輸來的數(shù)據(jù)，網(wǎng)卡內(nèi)的單片程序先接收數(shù)據(jù)頭的目的 MAC 地址，根據(jù)計算機(jī)上的網(wǎng)卡驅(qū)動程序設(shè)置的接收模式判斷該不該接收，認(rèn)為該接收就在接收后產(chǎn)生中斷信號通知 CPU，認(rèn)為不該接收就丟棄不管，所以不該接收的數(shù)據(jù)網(wǎng)卡就截斷了，計算機(jī)根本就不知道。 CPU 得到中斷信號產(chǎn)生中斷，操作系統(tǒng)就根據(jù)網(wǎng)卡驅(qū)動程序中設(shè)置 的網(wǎng)卡中斷程序地址調(diào)用驅(qū)動程序接收數(shù)據(jù)，驅(qū)動程序接收數(shù)據(jù)后放入信號堆棧讓操作系統(tǒng)處理。 3． 局域網(wǎng)如何工作 數(shù)據(jù)在網(wǎng)絡(luò)上是以很小的稱為幀 (Frame)的單位傳輸?shù)?。 幀由好幾部分組成，不同的部分執(zhí)行不同的功能。例如，以太網(wǎng)的前 12 個字節(jié)存放的是源和目的的 MAC 地址，這些 內(nèi)容 告訴網(wǎng)絡(luò)：數(shù)據(jù)的來源和去處。以太網(wǎng)幀的其他部分存放實際的用戶數(shù)據(jù)、 TCP/IP 的報文頭或 IPX