20212937 曾俊铭 《网络嗅探与协议分析》
20212937 曾俊铭 2021-2022-2 《网络攻防实践》第5周作业
1.实验内容
-
利用tcpdump对网络访问过程进行嗅探，确定所访问时浏览器所访问的web服务器以及他们的IP地址
-
利用wireshark在主机通过TELNET方式登录BBS时，抓包分析所登陆服务器的IP和端口等有用信息以及查看登录口令
-
利用已有的listen.cap文件进行分析，得到攻击机和靶机的IP、端口号等有用信息
2.实验过程
（1）动手实践tcpdump
使用tcpdump开源软件对在本机上访问www.tianya.cn 网站过程进行嗅探
首先将kali虚拟机改为桥接模式直连物理网络:
查询虚拟机kali的IP地址:
打开kali输入命令行sudo tcpdump -n src 192.168.1.104 and tcp port 80 and "tcp[13]&18=2":
通过在虚拟机kali上浏览器登录 www.tianya.cn：
监听结果进行分析：
由以上截图可知浏览器访问了以下12个Web服务器，IP地址如图
（2）动手实践Wireshark
使用Wireshark开源软件对在本机上以TELNET方式登录BBS进行嗅探与协议分析
打开kali，输入命令行 luit -encoding gbk telnet bbs.fudan.edu.cn,访问复旦大学BBS服务器，找到其IP地址并登录：
我们可以发现其IP地址为202.120.225.9
因为桥接真实主机，直接打开真实主机上的wireshark，并抓包分析（此处IP不同因做了好几次）：
发现其端口号为23，追踪其TCP流分析数据包找到登录口令：
（3）取证分析实践，解码网络扫描器（listen.cap）
下载资源文件listen.pcap，打开，使用菜单栏中Statistics（统计）下的Conversation（会话），选择IPV4，发现172.31.4.178和172.31.4.188之间有大量的双向数据包，由此可知确定两者为攻击主机IP为172.31.4.178和目标主机IP为172.31.4.188
将 listen.pcap 复制到kali虚拟机中，使用snort对二进制记录文件进行入侵检测,可以分析出本次攻击是nmap发起的
使用sudo apt-get update 命令更新APT库
使用sudo apt-get install snort命令安装snort
使用sudo chmod 777 /etc/snort/snort.conf 命令给予snort.conf可读可写可执行权限
输入snort -A console -q -u snort -c /etc/snort/snort.conf -r ~/listen.pcap 命令
-A开启报警模式
-q不显示状态报告
-u为初始化后改变snort的UID
-c为使用后面的配置文件，进入IDS模式
-r从pcap格式的文件中读取数据包
扫描前nmap会通过arp更新目标MAC地址，所以使用Wireshark的过滤器扫描出arp包，可以看到共进行4次nmap扫描
以ICMP为过滤条件分析发现，有攻击机和靶机之间的双向数据包，说明进行了ICMP ping扫描，即 nmap -sP 172.31.4.188
以TCP作为过滤条件，观察到进行了大量的TCP扫描，如图可以看到攻击机向靶机发送SYN请求包，靶机返回SYN,ACK确认连接，攻击机响应，说明该端口开放，所以攻击机进行了nmap -sS 172.31.4.188 扫描
过滤端口22，观察该端口的数据包发现攻击机和靶机之间建立了TCP和DNS连接用以探测网络服务，所以攻击机对靶机进行了nmap -sV 172.31.4.188的版本检测扫描
通过过滤器的 tcp.flags.syn == 1 and tcp.flags.ack == 1 可以过滤出SYN | ACK的数据包，这是目标主机反馈攻击主机的端口活跃信息。可查看靶机的开放端口有：21 22 23 25 53 80 139 445 3306 3632 5432 8009 8180
攻击主机的操作系统，可以通过命令行“[root@SOR_SYS ~]# uname -a/ [root@SOR_SYS ~]# cat /proc/version 来查询 
3.学习中遇到的问题及解决
- 问题1：将kali虚拟机改为桥接模式之后，无法连接上网？
-
问题1解决方案：因为在实验室直连网线，而虚拟机的虚拟网络编辑器桥接模式没有桥接到对应的网络，重新设置一下就好
-
问题2：查看攻击机操作系统p0f工具无法下载？
-
问题2解决方案：使用其他命令行来查看，如# uname -a 或# cat /proc/version来查询
4.学习感悟、思考等）
这次实验跟着视频做并不复杂，主要是要熟练使用命令行和wireshark抓包，并会分析数据包。除此之外，我们了解了通过监听嗅探等方式可以获取隐蔽信息，也初步熟悉了nmap的作用。这次实验收获还行，就是有些操作的数据量有点大，容易漏看错看，再接再厉吧。
