第四周网络作业

20159319 《网络攻防实践》第四周学习

教材第四章学习内容总结

网络嗅探技术是一种窃听技术，与传统的电话窃听在电话线路上对特定号码的通话内容进行监听类似，网络嗅探利用计算机的网络接口截获目的地为其他计算机的数据报文，以监听数据流中所包含的用户账号或私密信息等。实现网络嗅探技术的工具成为网络嗅探器，嗅探器不活的数据报文是经过封包处理之后的二进制数据，因此通常会结合网络协议分析技术来解析嗅探到的网络数据，这样才能恢复出TCP/IP协议栈上各层网络协议的内容，以及实际发送的应用层信息。
网络嗅探器也可以按照实现形式分为软件嗅探器和硬件嗅探器，其中硬件嗅探器是通过专用硬件对网络数据进行捕获和分析的，通常也成为协议分析仪，其速度快但是价格昂贵；软件嗅探器则一般实现为不同类型操作系统上的应用软件，通过对网卡编程实现，易于实现，但是速度慢。
几种嗅探的方式：

1. MAC地址洪泛攻击
   是指向交换机发送大量含有虚构MAC地址和ＩＰ地址的数据包，致使交换机‘’ＭＡＣ地址－端口映射表“溢出无法处理，使得交换机进入所谓的”打开失效“模式。
2. MAC欺骗
   ＭＡＣ欺骗的目的是假冒所要监听的主机网卡，攻击者通过将源ＭＡＣ地址伪造成目标地址的源MAC地址，并将这样的数据包通过交换机发送出去，使得交换机相信攻击者主机的MAC地址就是目标主机的MAC地址。
3. ARP欺骗
   ARP欺骗是利用ＩＰ地址与ＭＡＣ地址之间进行转换时的协议漏洞，达到ＭＡＣ地址欺骗，这是目前交换式网络中最常用的嗅探技术手段。
   网络嗅探的防范措施：
4. 采用安全的网络拓扑，尽量将共享式网络升级为交换式网络，在交换机上设置vlan等技术手段。
5. 用静态ＡＲＰ或者ＭＡＣ－端口映射表代替动态机制。
6. 重视网络数据传输的集中位置点的安全防范，如，网关，路由器和交换机等。
7. 避免使用明文传输口令或敏感信息的网络协议。而使用加密及安全增强的网络协议代替。
   在对网络协议进行分析时，要解析数据包，从下往上先是要解析以太网的数据帧，然后再解析ＩＰ数据包，最后再解析ＴＣＰ报文。最常见的网络协议分析工具就是ｗｉｒｅｓｈａｒｋ．ｗｉｒｅｓｈａｒｋ的使用在ｋａｌｉ中会讲到。

视频学习内容总结

1. 漏洞分析工具openVAS的使用
   可以对另一个虚拟机进行扫描，首先先看一下目标主机的地址，然后再Ｐｉｎｇ一下，如果能ｐｉｎｇ通，则就可以对他进行扫描了。打开ｏｐｅｎＶＡＳ的扫描界面，可以使用两种方式一种方式比较慢，就是先建立目标再建立任务，另一种方式就是使用快速扫描的方式进行扫描。在出现的结果中，会出现高危漏洞，中危的，和低微的，还有一些日志，并且能查看扫描报告和导出报告。通过高危漏洞能获得一些权限。除了综合漏洞扫描工具ｏｐｅｎＶＡＳ，还有其他一众漏铜分析扫描工具，包括ＷＥＢ漏洞扫描器Ｇｏｌｉｓｍｅｒｏ与Ｎｉｋｔｏ以及系统信息扫描工具Ｌｙｎｉｓ与ｕｎｉｘ－ｐｒｉｖｅｓｃ－ｃｈｅｃｋ。
2. Ｇｏｌｉｓｍｅｒｏ是一款开源的ｗｅｂ扫描器，它不但自带不少的安全测试工具，而且还可导入分析市面流行的扫描工具，如：ｏｐｅｎｖａｓ，ｗｆｕｚｚ，ＳＱＬＭａｐ，ＤＮＳ　ｒｅｃｏｎ等，并自动分析，ＧＯｌｉｓｍｅｒｏ采用插件形式的框架结构，由纯ｐｙｔｈｏｎ编写，并集成了许多的开源的安全工具，可以运行在多种系统上。ＧＯｌｉｓｍｅｒｏ采用了插件式的框架结构，提供了一系列的接口，用户只要继承并且实现这些接口就可以自定义自己的插件，根据插件的功能，可分为四类，每个类别的插件的接口都不同，所以在编写自定义插件的时候，注意选择好相应的插件类型。
   ａ．ＩｍｐｏｒｔＰｌｕｇｉｎ（导入插件）导入插件主要是用来加载其他安全工具的扫描结果
   ｂ．ＴｅｓｔｉｎｇＰｉｕｇｉｎ（测试插件）测试插件主要是用来测试或者
   渗透入侵的插件
   ｃ．ＲｅｐｏｒｔＰｌｕｇｉｎ（报表插件）
   ｄ．ＵＩＰｌｕｇｉｎ（界面插件）
   界面插件只要是用于和用户交互的，显示当前系统的运行情况，但是此扫描器过于杂乱，对扫描报告的生成也不够规范与友好。
3. 使用ｎｉｋｔｏ．ｐｌ进行扫描，结果比较整齐，可以对多个端口进行扫描。其命令为：　nikto.pl -h　192．168.0.1　-p　80,88,443
4. ｌｙｎｉｓ是一个信息收集工具，但是只是在ｌｉｎｕｘ或者ｕｎｉｘ，其命令为：lynis –check-al可以显示系统信 ｕｎｉｘ－ｐｒｉｖｅｓｃ－ｃｈｅｃｋ信息收集工具。
   ｗｅｂ扫描工具的使用
   针对ｗｅｂ网站的扫描，往往需要对网站路径，页面以及账户进行枚举，这涉及到ｗｅｂ安全中的爬行工具。此外，ｋａｌｉ将所有字典（包括目录字典等）均存放在此目录中，便于调用，ｋａｌｉ将其目录放在了主文件系统中的ｕｓｒ／ｓｈａｒｅ／ｗｏｒｄｌｉｓｔｓ下
   首先介绍的一个ｗｅｂ扫描工具就是ａｐａｃｈ－ｕｓｅｒｓ就是枚举存在的ａｐａｃｈ账号。使用的命令行就是apach-users –h [目标IP地址] –l/usr/share/wordlists/dirbuster/，然后就显示一些字典信息，再从这些字典信息中可以选择apach-users –h [目标主机IP地址] -l/usr/enum-2.0 txt –p 80 –s 0 –e 403 –t 10然后就可以进行枚举的过程了。另一个ｗｅｂ扫描工具就是ｃｕｔｃａｐｔ：网站截图工具。例如cutycapt –url=http://www.baidu.com/ --out=baidu.png。
   ｄｉｒｂ：强大的目录扫描工具。直接使用ｄｉｒｂ再加上目标ＩＰ地址就可以对目标目录进行扫描了，也可以选择目录进行扫描
   ｄｉｒｂｕｓｔｅｒ：ｋａｌｉ下的图形化目录扫描器，拥有直观的扫描结果
   ｋａｌｉ下的ｗｅｂ扫描工具
   ｃａｄａｖｅｒ是一个用来浏览和修改ｗｅｂＤＡＶ共享的ｕｎｉｘ命令行程序，使用ｃａｄａｖｅｒ就像使用命令行的ＦＴＰ程序，因此它很适合基本的ｗｅｂＤＡＶ调试，它可以以压缩方式上传和下载文件，也会检验属性、拷贝、移动、锁定和解锁文件。
   ＤＡＶｔｅｓｔ：　测试对支持ｗｅｂＤＡＶ的服务器上传文件等。
   命令行为davtest –url http://172.16.215.143/dav/显示的是创建了哪些目录，上传了哪些文件，可以作为ｗｅｂｓｈｅｌｌ使用
   Ｆｉｎａｐ：文件包含漏洞利用工具。可以使用命令行fimap –u http://172.16.2215.143/lfi.php?=index.php –force-run然后再选择即可。
   Ｇｒａｂｂｅｒ是一个ＷＥＢ应用漏铜扫描器，可以指定扫描漏洞类型结合爬虫对网站进行安全扫描，例如命令行：grabber –spider 2 –sql –url http://172.16.2215.143/，这是扫描和爬虫相结合的，其中２是目录深度。ｓｑｌ是要检查的项目。
   ＳｋｉｐＦｉｓｈ是由ｇｏｏｇｌｅ出品的一款自动化的网络安全扫描工具，尽管Ｓｋｉｐｆｉｓｈ和Ｎｅｓｓｕｓ等其他开源扫描工具有相似的功能，但是ｓｋｉｐｆｉｓｈ还具备一些独特的优点。ｓｋｉｐｆｉｓｈ通过ＨＴＴＰ协议处理且占用较低的ＣＰＵ资源，因此它的运行速度比较快。每秒钟可以轻松处理２０００个请求。扫描方式skipfish –o ~/report123 http://www.163.com/
   并生成了漏洞报告存在了ｒｅｐｏｒｔ１２３中，可以查看此报告。
   ｕｎｉｓｃａｎ－ｑｕｉ是一种图形化的扫描器，可以勾选选项，并查看扫描结果，简单实用。
   ｗ３ａｆ是一个ＷＥＢ应用程序攻击和检查框架，该项目已超过１３０个插件，其中包括检查网站爬虫，ＳＱＬ注入（ＳＱＬ　Ｉｎｊｅｃｔｉｏｎ），跨站（ＸＳＳ），本地文件包含（ＬＦＩ），，远程文件包含（ＲＦＩ）等。该项目的目标是要建立一个框架，以寻找和开发ｗｅｂ应用安全漏洞，所以很容易使用和扩展。打开方式可以是:w3af -gui
   ｗａｐｉｔｉ：其工作方式与ｎｉｋｔｏ类似，也采用黑盒的方式主动的对被测ｗｅｂ应用进行扫描，寻找其中潜在的安全缺陷，是由ｐｙｔｈｏｎ语言开发的。功能和特点：文件处理错误（本地和远程打开文件，ｒｅａｄｆｉｌｅ．．．．）；数据库注入（ＰＨＰ／ＪＳＰ／ＡＳＰ，ＳＱＬ和ＸＰＡｔｈ注入）；ＸＳＳ（跨站点脚本）注入；ＬＡＤＰ注入；命令执行检测（ｅｖａｌ（），ｓｙｓｔｅｍ（），ｐａｓｓｔｒｕ．．．）；还提供一些详细地漏洞信息以及生成一些报告。
   ｗｅｂｓｐｌｏｉｔ是一个开源项目，主要用于远程扫描和分析系统漏洞，使用它可以非常容易和快速发现系统中存在的问题，并用于深入分析。