20199322 2019-2020-2 《网络攻防实践》第5周作业

一些问题	简单的解答
这个作业属于哪个课程	网络攻防实践
这个作业的要求在哪里	作业要求
参考文献	一些网络资源

知识梳理和总结

ARP缓存欺骗攻击

什么是ARP协议？

ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议

什么是ARP缓存?

ARP缓存是个用来储存IP地址和MAC地址的缓冲区，其本质就是一个IP地址-->MAC地址的对应表，表中每一个条目分别记录了网络上其他主机的IP地址和对应的MAC地址。

什么是ARP缓存欺骗攻击?

ARP欺骗攻击的根源在于ARP协议在设计时认为局域网内部的所有用户都是可信的，是遵循协议设计规范的，但事实上并非如此，局域网内可以存在内部攻击者，或者已渗透进入局域网的外部攻击者或恶意代码。ARP协议在进行IP地址到MAC地址映射查询时存在安全缺陷，一方面采用了广播请求包方式在局域网段中询问映射关系，但没有对响应结果进行真实性验证的技术流程与方法，而另一方面ARP协议为提高效率，设计了ARP缓存机制，以及会将主动的ARP应答视作有效信息进行接受，这使得ARP缓存非常容易被注入伪造的IP地址到MAC地址的映射关系，从而进行欺骗。

ICMP重定向攻击

什么是ICMP协议？

ICMP（Internet Control Message Protocol）Internet控制报文协议。它是TCP/IP协议簇的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

什么是ICMP重定向攻击？

ICMP路由重定向攻击是指攻击者伪装成路由器发送虚假的ICMP路由路径控制报文，使得受害主机选择攻击者指定的路由路径，从而进行嗅探或假冒攻击的一种技术。

SYN Flood攻击

什么是SYN Flood攻击？

SYN Flood 是种典型的DoS (Denial of Service，拒绝服务) 攻击。效果就是服务器TCP连接资源耗尽，停止响应正常的TCP连接请求。

其实更著名的是DDOS攻击，即Distributed denial of service attack，分布式拒绝服务攻击，可以瞬间让大型网站瘫痪。

TCP RST攻击

什么是RST？产生的原因是什么?

有三个条件可以产生RST（Reset the connection）包：

建立连接的SYN到达某端口，但是该端口上没有正在监听的服务
如：IP为192.168.1.33的主机上并没有开启WEB服务（端口号为0x50），这时我们通过IE去访问192.168.1.33，通过Wireshark抓包，可以看到，对此SYN包的回复为RST。说明此服务器（即IP192.168.1.33）是存在的，不过其上并没有运行WEB Server(如apache)的程序

TCP想取消一个已有连接
基于什么样的情况才会取消一个已有的连接？

TCP接收到了一个根本不存在的的连接上的分节
我们知道，TCP在数据传输前，要通过三路握手(three-way handshake)建立连接，即连接建立起后，服务器和客户端都有一个关于此连接的描述，具体形式表现为套接口对，如果收到的某TCP分节，根据源IP，源tcp port number，及目的IP，目的tcp port number在本地（指服务器或客户端）找不到相应的套接口对，TCP则认为在一个不存在的连接上收到了分节，说明此连接已错，要求重新建立连接，于是发出了RST的TCP包！

什么是 TCP RST攻击？

RST攻击这种攻击只能针对TCP，对UDP无效。RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。

TCP会话劫持攻击(bonus)

什么是TCP会话劫持攻击(bonus)?

由于TCP协议并没有对TCP的传输包进行身份验证，所以在我们知道一个TCP连接中的seq 和ack的信息后就可以很容易的伪造传输包，假装任意一方与另一方进行通信，我们将这一过程称为TCP会话劫持（TCP Session Hijacking）

实践说明

请在网络攻防实验环境(以SEED_VM作为攻击机，Linux Metasploitable/windows Metasploitable作为靶机)中完成TCP/IP协议栈重点协议的攻击实验，具体包括

ARP缓存欺骗攻击

ICMP重定向攻击

SYN Flood攻击

TCP RST攻击

TCP会话劫持攻击(bonus)

编号	对应的虚拟机	MAC地址
A	META-LINUX	00:0c:29:d9:78:2d
B	SEED	00:0c:29:fd:06:9d
C	KALI	00:0c:29:d1:c2:59

实践过程

先将kali攻击机改成桥接模式（说白了，就是链接自己电脑的网络），然后看一下ip

安装工具：netwox和netwag，后面会用到

打开自己电脑的wireshark开始抓包，输入命令：netwox 41 -l 192.168.200.181 -m 192.168.0.103
41表示netwox的41号工具，用来伪造ICMP数据包，-l（哎呦，不是一）表示显示与审计相关的模块，192.168.200.x表示伪造的源地址，-m表示与暴力破解相关的模块；192.168.0.103表示目标IP地址

一个众所周知的协议，就是ARP协议，把IP转换到对应的MAC地址，这就是上面wireshark对应的内容。