20159318《网络攻防技术与实践》第4周学习总结

教材学习内容总结

本周主要学习了网络嗅探与协议分析技术原理，实现机制，还有相关的软件工具，并选取了wireshar工具学习其使用方法。

一、网络嗅探

1、定义：

即利用计算机的网络接口截获目的地为其他计算机的数据报文，以监听数据流中所包含的用户账户密码或私密信息等。实现网络嗅探技术的工具是网络嗅探器。

2、危害与作用

其具有很强隐蔽性，很难被发现

3、工具：

可分为LAN（tcpdump）和WLAN（kismet）也可分为硬件嗅探器和软件嗅探器

4、原理

利用以太网协议的工作原理
在共享式网络与交换式网络中根据集线器与交换机工作方式漏洞进行嗅探。其中，在纯交换机网络中又可以利用MAC地址泛洪攻击，MAC欺骗，ARP欺骗等进行嗅探。
类UNIX平台的嗅探技术实现：通过内核态的BPF和用户态的libpcap抓包工具实现。
windows平台的嗅探技术实现：利用内核态虚拟设备驱动程序NPF来过滤数据包，利用用户态的标准抓包接口winpcap

5、网络嗅探器软件

类UNIX平台嗅探软件
windows嗅探器软件
tcpdump

6、防范与检测

检测（L0pht）：检查网卡是否运行在混杂模式下，检测网络中其他主机上的的嗅探器等等
防范包括：采用安全网络拓扑、静态ARP和MAC地址映射表替代动态机制等

二、网络协议分析

1、网络协议分析技术原理

（1）嗅探到原始数据

（2）对以太网数据帧进行结构分析

（3）进一步对IP数据包进行分析

（4）根据TCP与UDP目标端口确定具体应用层协议

（5）根据相应应用层协议对数据进行整合恢复

2、在snort中网络协议分析过程：

（1）解析以太网数据帧（预处理、拆包、解析上层协议）

（2）解析IP数据包

（3）解析TCP数据包

三、wireshark数据包分析工具

1、wireshark简介和发展

2、wireshark功能介绍

多平台、多接口、多协议类型、多种文件类型、图形化界面、包过滤功能、重组TCP会话的所有数据包。

3、wireshark使用

监听指定主机为源地址:[src|dst]host< host>

选择长度符合要求的包：less|greater

过滤tcp、udp及端口号[tcp|udp] [src|dst]port< port>

利用and、or、not连接多个条件

使用过滤栏设置可以只查看符合要求的数据包

过滤器对大小写敏感

视频学习中的问题和解决过程

一、OPENVAS使用

1、确定指定IP是否能ping通

2、创建扫描目标

3、创建扫描任务（scan management →newtask）

4、开始任务start

5、查看扫描细节

6、查看扫描结果，包含漏洞详细信息，亦可到处PDF文件

7、导出扫描结果报告

8、为快速扫描亦可使用quick start进行扫描

二、Kali漏洞分析之扫描工具

1、WEB扫描工具
Golismero与Nikto，系统信息扫描收集工具Lynis1与Unix-privesc-check
2、漏洞扫描器Nikto.pl
开源的网页服务器扫描器，它可以对网页服务器进行全面的多种扫描
简单扫描：目标web基本配置信息，服务器，PHP解析器，等版本信息
视频上的扫描指令perl nikto.pl -h 目标IP在这一版本上已经不能用，通过上网查询和帮助指令发现，nikto -H可查询全部帮助，可以看到通过nikto -h 192.168.1.111即可进行扫描目标IP，如下图所示

由上图可以看到目标IP，目标主机名，目标端口，开始时间，Server版本信息，返回的信息等等，经过查询，可以看到更多详细信息如下图所示

可以看到它会将漏洞信息，与漏洞库结合起来

3、Lynis系统信息收集整理工具
主要是对Linux，或类Unix系统进行操作系统的详细配置信息进行枚举收集，生成易懂的报告文件，找到相应漏洞的esp，实际使用中直接使用lynis --check-all -Q来避免进行交互，自动枚举信息。默认枚举当前操作系统的信息。操作系统版本，内核版本等等，如下图所示

此外还有一个unix-privesc-check也是一个信息收集的工具，它有两个模式。使用unix-privesc-check standard指令进行信息收集，如下图所示

我们可以看到本机的主机名，IP地址等等信息

三、WEB爬行

1、apache-users用户枚举脚本
例如使用指令apache-users -h 192.168.1.111 -l /usr/share/wordlists/dirbuster/apache-user-enum-2.0.txt -p 80 -s 0 -e 403 -t 10
2、cutycapt网站截图工具
例如使用指令cutycapt --url=http://www.baidu.com/ --out=localfile.png对百度网站截图，如下图所示