TCP_IP攻击实验_实验报告
中南大学
TCP/IP攻击实验
实验报告
学生
学院信息科学与工程学院
专业班级
完成时间 2015年11月29日
目录
1.实验描述 (3)
2.实验步骤 (3)
2.1 环境搭建 (3)
2.2 实验1：ARP缓存中毒 (4)
2.3 实验2：ICMP重定向攻击 (6)
2.4 实验3：SYN洪流攻击 (7)
2.5 实验4：在telnet和ssh连接上的
TCP RST攻击 (10)
2.6 实验5：对视频流应用程序的TCP RST
攻击 (12)
2.7 实验6：ICMP盲目连接重置和源端关
闭攻击 (12)
2.8 实验7：TCP报文劫持 (13)
3.总结 (14)
TCP/IP攻击实验
1.实验描述
【实验背景】
由于TCP/IP协议是Internet的基础协议，所以对TCP/IP协议的完善和改进是非常必要的。TCP/IP协议从开始设计时候并没有考虑到现在网络上如此多的威胁,由此导致了许多形形色色的攻击方法，一般如果是针对协议原理的攻击(尤其DDOS)，我们将无能为力。
TCP/IP攻击的常用原理有：
(1)源地址欺骗(Source Address Spoofing)、IP欺骗(IP Spoofing)和DNS欺骗(DNS Spoofing)；
(2) 路由选择信息协议攻击(RIP Attacks)；
(3) 源路由选择欺骗(Source Routing Spoofing) ；
(4) TCP序列号欺骗和攻击(TCP Sequence Number Spoofing and Attack)。
【实验目的】
基于TCP/IP协议进行攻击实验,了解TCP/IP协议的具体机制。
2.实验步骤
2.1 环境搭建
这里我使用三台虚拟机做实验，其中一个用于攻击；另一个用于被攻击；第三个作为观察者使用；把三台主机放在同一个LAN中，其配置信息参照如下所示（实际在实验过程中有所改动）：
这里我使用的是SEED实验室已经搭建好，并且已经安装好相关的netwox工具箱和Wireshark工具箱的Ubuntu系统，与此同时三台虚拟机都需要打开FTP和Telnet服务：使用如下命令来完成上述任务
Start the ftp server
# servicevsftpd start
Start the telnet server
# serviceopenbsd-inetd start
2.2 实验1：ARP缓存中毒
【实验背景】
ARP缓存是ARP协议的重要的一部分。作为一个ARP协议执行结果，一旦一个在MAC 地址和IP地址之间的映射被决定，这个映射就被缓存。因此，如果影射已经存在在缓存中，就没有必要再重复ARP协议。然而，因为ARP协议是无状态的，缓存可以被轻易的通过恶意的ARP信息修改。这样的一种攻击叫做ARP欺骗。
在这样一个攻击中，攻击者使用欺骗ARP信息来哄骗受害者接受一个无效的MAC-IP 映射，并且在缓存中保存这个映射。取决于攻击者的目的不同，这里可能出现各种类型的后果。例如，攻击者将一个不存在的MAC地址关联受害者的默认网关的IP地址，通过此来启动一个Dos攻击。
【实验容】
当发送方B需要向接收方C发送一个数据时，B会从自己的ARP表过C的IP地址来查找相应的C的MAC地址。如果C的MAC地址不在B的ARP表中，B就向全网发广播包，要求C主机返回它的MAC地址。当B接收到C返回的MAC地址时，B就将更新它的ARP表。同时，C主机也将B主机和它对应的MAC地址记录到C的ARP表中。ARP表的更新采用牛奶原则，也就是说，ARP表将无条件接受最后一次收到的ARP包作为ARP更新的数据。鉴于此，攻击者A可以利用一些工具伪造一个ARP包，将C的IP对应的MAC 地址修改为自己的MAC地址，并将这个数据包发送给B。B在更新了ARP表之后，新的发往C的数据包就会被发送到B。
查询netwox说明后得知，33号工具用于伪造ARP包。使用命令查看该工具的详细使用方法。
netwox 33--help2
在进行攻击之前，先在三台主机上互相ping。
然后使用arp –a命令查看ARP表
之后，在三台主机全部开启的情况下，攻击机A发动攻击Netwox 80 -e “mac地址” -i “ip地址”
之后，使用同样的方法，给C主机发送ARP欺骗包。
2.3 实验2：ICMP重定向攻击
【实验背景】
ICMP重定向被路由器用来向更新主机的路由信息，最开始只有最少的路由信息。当一台主机接收到一个ICMP重定向信息，他将会根据接收到的信息来修改路由表。因为缺少确认，如果攻击者希望受害者设置它的路由信息为一个特别形式，他们可以发送欺骗ICMP重定向信息给受害者，并且欺骗受害者修改它的路由表。
【实验容】
ICMP重定向信息是路由器向主机提供实时的路由信息，当一个主机收到ICMP重定向信息时，它就会根据这个信息来更新自己的路由表。由于缺乏必要的合法性检查，如果一个黑客想要被攻击的主机修改它的路由表，黑客就会发送ICMP重定向信息给被攻击的主机，让该主机按照黑客的要求来修改路由表。
在三台机器上搭建的路由指令
A的路由配置指令
sudo ifconfig eth0*.*.220.128netmask 225.225.225.0
sudo ifconfig eth1 *.*.205.129netmask 255.255.255.0
sudo route add -net *.*.220.0/24gw *.*.220.128
sudo route add -net *.*.205.0/24gw *.*.205.129
sudo sysctl -w net.ipv4,ip_forward=1
B的路由配置指令
su do ifconfig eth0 *.*.205.128netmask 255.255.255.0
sudo route add default gw *.*.220.128
sudo sysctl -w net.ipv4.ip_forward=1
C的路由配置指令
su do ifconfig eth0 *.*.205.128netmask 255.255.255.0
sudo route add default gw *.*.205.129
sudo sysctl -w net.ipv4.ip_forward=1
使用netwox86号工具可以完成这个攻击。攻击机A指令
sudo netwox 86-f "host *.*.220.129"-g *.*.220.130-c 1-i *.*.220.131
-f “host 被攻击机的IP” –g 希望对方网关修改后的IP –c 类型–i 源IP
网络攻击与防御 第一次实验
网络工程专业 实验报告 课程：网络攻击与防御题目：远程FTP密码破解学生姓名：张爽 学号：2008122083 班级：信息安全083班 实验时间：2011-6-12 地点：6302 评分：_____________
第一部分：嗅探 一、实验目的 ●掌握远程破解ftp帐号口令破解技术的基本原理、常用方法及相关工具 ●掌握如何有效防范类似攻击的方法和措施 二、实验内容 1．安装工具Cain V2.5。 2．点击进入，选择sniffer下的hosts页。 3．根据嗅探得到的FTP账号和密码，用FTP客户端登录，找到一个ip.txt 文件，获得靶机P2的IP地址。 三、实验仪器（涉及到的服务器及其配置、设计软件名称、版本等） 测试服务器P1的配置为：操作系统Windows2000 Professional SP4或者windows XP sp2，安装了ftp客户端CuteFTP；靶机上的虚拟机P3的配置为：Windows2000 server SP4，安装了serv-u，提供ftp服务；靶机服务器P2的配置为：windows xp sp2。 注意： a. 选择安装路径，在此直接默认安装到C:\Program Files\Cain目录； b. 继续安装winpcap，单击Install按钮； c. 直接默认安装即可。安装完成后会要求重启系统。
四、实验步骤（实验关键操作步骤，关键指令注释等） 1．安装工具Cain V2.5。 进入安装界面： 2．点击进入，选择sniffer下的hosts页，如下图所示： 然后点击上方的“sniffer”和“add to list”按钮，列出当前交换环境中的所
漏洞扫描实验
综合扫描与安全评估 系统环境：windows系统 系统环境 Windows 网络环境 交换网络结构 实验工具 FTPScan X-Scan 网络协议分析器 一．漏洞扫描简介 漏洞扫描是一种网络安全扫描技术，它基于局域网或Internet远程检测目标网络或主机安全性。通过漏洞扫描，系统管理员能够发现所维护的Web服务器的各种TCP/IP端口的分配、开放的服务、Web服务软件版本和这些服务及软件呈现在Internet上的安全漏洞。漏洞扫描技术采用积极的、非破坏性的办法来检验系统是否含有安全漏洞。网络安全扫描技术与防火墙、安全监控系统互相配合使用，能够为网络提供很高的安全性。 漏洞扫描分为利用漏洞库的漏洞扫描和利用模拟攻击的漏洞扫描。 利用漏洞库的漏洞扫描包括：CGI漏洞扫描、POP3漏洞扫描、FTP漏洞扫描、SSH漏洞扫描和HTTP漏洞扫描等。
利用模拟攻击的漏洞扫描包括：Unicode遍历目录漏洞探测、FTP弱口令探测、OPENRelay邮件转发漏洞探测等。 二．漏洞扫描的实现方法 （1）漏洞库匹配法 基于漏洞库的漏洞扫描，通过采用漏洞规则匹配技术完成扫描。漏洞库是通过以下途径获取的：安全专家对网络系统的测试、黑客攻击案例的分析以及系统管理员对网络系统安全配置的实际经验。漏洞库信息的完整性和有效性决定了漏洞扫描系统的功能，漏洞库应定期修订和更新。 （2）插件技术（功能模块技术） 插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测系统中存在的漏洞。插件编写规范化后，用户可以自定义新插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单。 三．弱口令 通常帐户包含用户名及对应的口令。当口令使用简单的数字和字母组合时，非常容易被破解，我们称这种口令为弱口令。X-Scan工具中涵盖了很多种弱口令扫描方法，包括FTP、SMTP、SSH、POP3、IMAP、TELNET、WWW等。 为消除弱口令产生的安全隐患，我们需要设置复杂的密码，并养成定期更换密码的良好习惯。复杂的密码包含数字，字母（大写或小写），特殊字符等。例如：123$%^jlcss2008或123$%^JLCSS2008。 四．Microsoft-ds漏洞 Windows系统存在一个拒绝服务漏洞，因为Windows默认开启的microsoft-ds端口（TCP 445）允许远程用户连接。当远程用户发送一个非法的数据包到microsoft-ds端口（TCP 445）时，核心资源被LANMAN服务占用，导致拒绝服务攻击，造成蓝屏。如一个攻击者发送一个连续的10k大小的NULL字串数据流给TCP端口445时，引起的最常见的症状是LANMAN 服务将占用大量的核心内存，计算机发出的“嘀嘀嘀…”的告警声将被声卡驱动无法装载的错误状态所替代，IIS不能为asp的页面服务，作为管理员去重启服务器时，系统将会显示你没有权限关闭或重启计算机。严重的话，以后计算机只要一打开，就会自动消耗100%的CPU资源，根本无法进行正常的工作，而且很难恢复过来 实验步骤 本练习主机A、B为一组，C、D为一组，E、F为一组。 首先使用“快照X”恢复Windows系统环境。 一．开放服务扫描 （1）设置扫描范围 本机进入实验平台，单击工具栏“X-Scan”按钮，启动X-Scan。依次选择菜单栏“设置”｜“扫描参数”菜单项，打开扫描参数对话框。在“检测范围”参数中指定扫描IP的范围，在“指定IP范围”输入要检测同组主机域名或IP，也可以对多个IP进行检测，例如“202.0.0.68-202.0.0.160”，这样就对这个网段
实验4：拒绝式服务攻击与防范
实验4：拒绝式服务攻击与防范 【实验目的】 熟悉SYNflood的攻击原理与过程，及IPv4所存在的固有缺陷。 【实验准备】 准备xdos.exe拒绝服务工具。 【注意事项】 实验后将DoS黑客软件从机器彻底删除，避免恶意应用影响网络运行。 【实验步骤】 一、拒绝式服务攻击 拒绝服务攻击的英文意思是Denial of Service，简称DoS。这种攻击行动使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷直至瘫痪而停止提供正常的网络服务。 SYN-Flood是当前最常见的一种Dos攻击方式，它利用了TCP协议的缺陷进行攻击
用黑客软件xdos.exe对目标计算机进行拒绝服务攻击并运行测试。（1）计算机a登录到windows 2000，打开sniffer pro,在sniffer pro中配置好捕捉从任意 主机发送给本机的ip数据包，并启动捕捉进程。
（2）在计算机B上登录Windows 2000,打开命令提示窗口，运行xdos.exe,命令的格式：‖xdos<目标主机IP>端口号–t 线程数[-s <插入随机IP>’]‖(也可以用―xdos?‖命令查看使用方法)。输入命令：xdos 192.168.19.42 80 –t 200 –s* 确定即可进行攻击，192.168.19.42 是计 算机A的地址。
（3）在A端可以看到电脑的处理速度明显下降，甚至瘫痪死机，在Sniffer Pro的Traffic Map 中看到最大伪造IP的主机请求与A的电脑建立连接。 （4）B停止攻击后，A的电脑恢复快速响应。打开捕捉的数据包，可以看到有大量伪造IP地址的主机请求与A的电脑连接的数据包，且都是只请求不应答。以至于A的电脑保持有大量的半开连接。运行速度下降直至瘫痪死机，拒绝为合法的请求服务。 二、拒绝式服务防范 几乎所有的主机平台都有抵御DoS的设置，常见的有以下几种。(1)关闭不必要的服务。 Windows XP系统步骤如下：
网络攻击与防御实验报告全解
西安电子科技大学 本科生实验报告 姓名:王东林 学院:计算机科学院 专业:信息安全 班级:13级本科班 实验课程名称:网络攻击与防御 实验日期:2015年10月15日 指导教师及职称:金涛 实验成绩: 开课时间： 2016-2017 学年第一学期
实验题目网络攻击与防御小组合作否 姓名王东林班级13级信息安全本科班学号201383030115 一、实验目的 1.了解网络连通测试的方法和工作原理。 2.掌握ping命令的用法。 3.了解网络扫描技术的基本原理。 4.掌握xscan工具的使用方法和各项功能。 5.通过使用xscan工具，对网络中的主机安全漏洞信息等进行探测。 6.掌握针对网络扫描技术的防御方法。 7.了解路由的概念和工作原理。 8.掌握探测路由的工具的使用方法和各项功能，如tracert等。 9.通过使用tracert工具，对网络中的路由信息等进行探测，学会排查网络故 障。 10.了解网络扫描技术的基本原理。 11.掌握nmap工具的使用方法和各项功能。 12.通过使用nmap工具，对网络中的主机信息等进行探测。 13.掌握针对网络扫描技术的防御方法。 14．掌握Linux帐号口令破解技术的基本原理、常用方法及相关工具 15．掌握如何有效防范类似攻击的方法和措施 16.掌握帐号口令破解技术的基本原理、常用方法及相关工具 17.掌握如何有效防范类似攻击的方法和措施 18.掌握帐号口令破解技术的基本原理、常用方法及相关工具 19.掌握如何有效防范类似攻击的方法和措施
二．实验环境 1、实验环境 1)本实验需要用到靶机服务器，实验网络环境如图1所示。 靶机服务器配置为Windows2000 Server,安装了IIS服务组件，并允许FTP匿名登录。由于未打任何补丁，存在各种网络安全漏洞。在靶机服务器上安装有虚拟机。该虚拟机同样是Windows2000 Professional系统，但进行了主机加固。做好了安全防范措施，因此几乎不存在安全漏洞。 2）学生首先在实验主机上利用Xscan扫描靶机服务器P3上的漏洞，扫描结束发现大量漏洞之后用相同方法扫描靶机服务器上的虚拟机P4。由于该靶机服务器上的虚拟机是安装了各种补丁和进行了主机加固的，因此几乎没有漏洞。在对比明显的实验结果中可见，做好安全防护措施的靶机服务器虚拟机上的漏洞比未做任何安全措施的靶机服务器少了很多，从而加强学生的网络安全意识。实验网络拓扑如图1。 三. 实验内容与步棸 Ping命令是一种TCP/IP实用工具，在DOS和UNIX系统下都有此命令。它将您的计算机与目标服务器间传输一个数据包，再要求对方返回一个同样大小的数据包来确定两台网络机器是否连接相通。 1．在命令提示符窗口中输入：ping。了解该命令的详细参数说明。
网络攻击常用命令综述
网络攻击常用命令综述 工欲善其事，必先利其器”——当然不是让你再满世界去找新的黑客软件啦(其实我不反对使用这些软件，相反我很喜欢用它们，但是必须是在知其所以然的情况下使用，才有可能对自身的电脑水平有所帮助)，要进行入侵工作的话，至少(我认为)得装上NT操作系统，以它作为入侵平台，因为NT本身对网络的支持可以说比WIN9X来得更强大得多……当然，如果想对UNIX系统动点小手术(网络中的UNIX可始终还是主流呀)而又没钱装UNIX的话，LINUX也极佳 的选择(特别是现在国内至少有七八种中文LINUX版本——想当年要给REDHAT 配上中文支持是何等麻烦……)，至少你可以借此了解UNIX系统的基本操作以及文件存放位置、系统配置、编译器、各种动作之后的记录等等…… 然后还得再学点编程语言，至少C与UNIX下的SHELL编程得会一点，能看懂人家写的利用各种漏洞的程序，能对它进行修改，偶尔还能写几个小程序放到网上让大伙儿乐乐，这样玩起来才可能有成就感(其实我自己还不太行，但这多少是个目标) 好了，废话少说，先讲讲一些MS系统里自带的相关网络程序的使用吧。 在MS的操作系统中，与网络安全较有关系的几个命令/程序 是:ping\winipcfg\tracert\net\at\netstat,且待我慢慢道来: 1. ping:这是TCP/IP协议中最有用的命令之一 它给另一个系统发送一系列的数据包，该系统本身又发回一个响应，这条实用程序对查找远程主机很有用，它返回的结果表示是否能到达主机，宿主机发送一个返回数据包需要多长时间。 Usage: ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS] [-r count] [-s count] [[-j host-list] | [-k host-list]] [-w timeout] destination-list Options: -t Ping the specifed host until interrupted.(除非人为中止，否则一直ping下去) -a Resolve addresses to hostnames.(把IP转为主机名) -n count Number of echo requests to send.(响应请求的数量) -l size Send buffer size.(封包的大小)
网络攻击与防范实验报告
网络攻击与防范实验报告 姓名：_ ___ 学号：__ 所在班级： 实验名称：缓冲区溢出实验实验日期：2014 年11 月9 日指导老师：张玉清实验评分： 验收评语： 实验目的： 1、掌握缓冲区溢出的原理 2、掌握常用的缓冲区溢出方法 3、理解缓冲区溢出的危害性 4、掌握防范和避免缓冲区溢出攻击的方法 实验环境： 主机系统：Windows8 x64位 虚拟机系统：Windows XP(SP3)（IP：192.168.137.128） 溢出对象：war-ftpd 1.65 调试工具：CDB(Debugging Tools for Windows)； 开发环境：Visual Studio 2013 开发语言：C语言 缓冲区溢出原理： 在metasploit中搜索war-ftp可以发现war-ftpd1.65在windows下有以下漏洞username overflow，也就是在用户使用user username这个指令时，如果username 过长就会发生缓冲区溢出。 计算机在调用函数function（arg1,…,argm）时，函数栈的布局如图1所示，首先将函数的实参从右往左依次压栈，即argm,…,arg1。然后将函数返回地址RET压栈。这时EBP 指向当前函数的基地址，ESP指向栈顶，将此时的EBP压栈，然后ESP的值赋给EBP，这样EBP就指向新的函数栈的基地址。调用函数后，再将局部变量依次压栈，这时ESP始终指向栈顶。 另外还有一个EIP寄存器，EIP中存放的是下一个要执行的指令的地址，程序崩溃时EIP的值就是RET。通过构造特殊的字符串，即两两都不相同的字符串，我们可以根据EIP 的值定位RET的位置。 知道了RET的位置以后，我们只要在RET这个位置放上我们想要执行的跳转指令就可以实现跳转。为了方便我们找一个系统中现成的指令jmp esp来实现跳转。jmp esp指令在内存中的通用地址是0x7ffa4512，可以通过CDB的U 7ffa4512来确定该地址中存放的是否为jmp esp。 jmp esp将EIP指向了esp指向的位置，我们用定位RET的办法同样定位ESP指向的位置，然后用shellcode替换这块字符串，这样计算机就会执行shellcode，从而实现攻击。 当然，我们还可以用其他的指令，如jmp esi，同样得到jmp esi指令在系统内存中的地址，以及esi指向的内存，我们就可以执行shellcode。也可以使用多次跳转。
常见网络攻击方法及原理
1.1 TCP SYN拒绝服务攻击 一般情况下，一个TCP连接的建立需要经过三次握手的过程，即： 1、建立发起者向目标计算机发送一个TCP SYN报文； 2、目标计算机收到这个SYN报文后，在内存中创建TCP连接控制块（TCB），然后向发起者回送一个TCP ACK报文，等待发起者的回应； 3、发起者收到TCP ACK报文后，再回应一个ACK报文，这样TCP连接就建立起来了。 利用这个过程，一些恶意的攻击者可以进行所谓的TCP SYN拒绝服务攻击： 1、攻击者向目标计算机发送一个TCP SYN报文； 2、目标计算机收到这个报文后，建立TCP连接控制结构（TCB），并回应一个ACK，等待发起者的回应； 3、而发起者则不向目标计算机回应ACK报文，这样导致目标计算机一致处于等待状态。 可以看出，目标计算机如果接收到大量的TCP SYN报文，而没有收到发起者的第三次ACK回应，会一直等待，处于这样尴尬状态的半连接如果很多，则会把目标计算机的资源（TCB 控制结构，TCB，一般情况下是有限的）耗尽，而不能响应正常的TCP连接请求。 1.2 ICMP洪水 正常情况下，为了对网络进行诊断，一些诊断程序，比如PING等，会发出ICMP响应请求报文（ICMP ECHO），接收计算机接收到ICMP ECHO后，会回应一个ICMP ECHO Reply报文。而这个过程是需要CPU处理的，有的情况下还可能消耗掉大量的资源，比如处理分片的时候。这样如果攻击者向目标计算机发送大量的ICMP ECHO报文（产生ICMP洪水），则目标计算机会忙于处理这些ECHO报文，而无法继续处理其它的网络数据报文，这也是一种拒绝服务攻击（DOS）。
网络攻击与防范实验报告
网络攻击与防御技术实验报告 姓名：____刘冰__ ___ 学号：__ 所在班级： 实验名称：网络数据包的捕获与分析实验日期：_2007_年_10 _月_15 _日指导老师：实验评分： 验收评语： 参与人员： 实验目的： 本实验通过研究Winpcap中常用的库函数的使用方式来实现了一个小型的网络数据包抓包器，并通过对原始包文的分析来展示当前网络的运行状况。 实验内容： 1.实现对网络基本数据包的捕获 2.分析捕获到的数据包的详细信息 实验环境： 1.WpdPack_4_0_1支持库 2.VC++6.0开发环境 3.Windows操作系统 实验设计： 系统在设计过程中按照MVC的设计模式，整体分为三层。第一层为Control层即控制层，这里为简化设计，将Control层分为两个部分，一部分为网络报文输入，另一部分为用户输入；第二层是Model层即模型层；第三层为View层即显示层。 系统的整体运行过程为：从Control层得到数据，交到Model层进行处理，将处理完的结果交View层进行显示。Control层主要用于网络数据包的捕获以及获得用户的输入；Model层主要用于分析数据包，处理用户的输入；View层主要用于对处理后的结果进行显示。
详细过程： 程序在执行过程中有两个核心的工作，一是调用Winpcap函数库实现下层抓包。二是对抓到的包文进行分析。下面分别列出两个核心过程的基本算法与相关的实现代码。 抓包算法： 第一：初始化Winpcap开发库 第二：获得当前的网卡列表，同时要求用户指定要操作的网卡 第三：获得当前的过滤规则，可为空 第四：调用库函数，pcap_loop（），同时并指定其回调函数，其中其回调函数为数据包分析过程。 对应的相应核心代码为： I f((pCap=pcap_open_live(getDevice()->name,65536,1,1000,strErrorBuf))==NULL) { return -1; } If(pcap_compile(pCap, &fcode, filter, 1, NetMask) < 0) { return -1; } if(pcap_setfilter(pCap, &fcode)<0) { return -1; } do{ pcap_loop(pCap,1,pcap_handle,NULL); }while(nFlag); 分析算法： 第一：得到数据包，先将其转存到内存里，以备以后再用。 第二：分析当前的数据包，分析过程如下： 1.数据包的前14个字节（Byte）代表数据链路层的报文头，其报文格式是前6Byte 为目的MAC地址，随后的6个Byte为源Mac地址，最后的2Byte代表上层 协议类型这个数据很重要，是我们分析上层协议的依据。 2.根据1所分析到的协议类型进行类似1的迭代分析。这样就可以得到各层中 的报文头信息和数据信息。 第三：结束本次分析。 分析算法部分实现代码： m_pktHeaders.Add(pHeader); m_pktDatas.Add(pData); CFramePacket *pFramePacket = new CFramePacket(pData,14); if(pFramePacket->GetType() == 0x0800) { CIPPacket ipPacket(pData+14,pHeader->len-14); if(ipPacket.GetProtocol() == "UDP") { CUDPPacket*pUDPPacket = new CUDPPacket(ipPacket.GetTData(),ipPacket.GetDataLength()); } else if(ipPacket.GetProtocol() == "TCP") { CTCPPacket *pTCPPacket = new
实验四：DoSDDoS攻击与防范
实验四：DoS/DDoS攻击与防范 一、实验目的 通过本实验对DoS/DDoS攻击的深入介绍和实验操作，了解DoS/DDoS攻击的原理和危害，并且具体掌握利用TCP、UDP、ICMP等协议的DoS/DDoS攻击原理。了解针对DoS/DDoS攻击的防范措施和手段。 实验具体目的如下: 1.了解SYN-FLOOD攻击的原理、特点 2.了解UDP-FLOOD攻击的原理、特点 3.了解DDoS攻击的原理、特点 4.了解针对DoS/DDoS攻击的防御手段 二、实验准备 1.要求实验室内网络是连通的，组内每台计算机均可以访问另外一台计算机。 2.下载相关工具和软件包 3.在计算机中安装相应的软件。 三、实验涉及到的相关软件下载： a.wireshark：这是一款网络封包分析软件，撷取网络封包，并尽可能显示出最为详细的网络封包资料。 b.SuperDDoS：这是一款简单的SYN攻击器,能对设定好的目标发送大量非法的SYN数据包。 c.UDPFLOOD：这是一款功能较为完善的UDP攻击器，可以设置攻击时间、攻击速度等，攻击方式是向目标机发送大量UDP数据包。 d.独裁者DDoS：这是一款功能齐全的DDoS攻击器，除了能够联合肉鸡发动攻击，还具有控制攻击时间，启动信使服务等众多功能，并且有四种攻击方式可供选择。 e.Tomcat：这是一款功能较为常用的服务器 f.java_jdk：这是java运行环境,运行tomcat服务器必须安装jdk。 四、实验原理 1、DoS攻击： DoS是Denial of Service的简称，即拒绝服务，目的是使计算机或网络无法提供正常的服务。其攻击方式众多，常见的有SYN-FLOOD，UDP-FLOOD。 2、A.SYN-FLOOD攻击:
lab5-网络攻防基本步骤
网络攻击实例 实验目的：通过本实例熟悉一个完整的网络攻击的基本步骤 实验环境：局域网中xp系统的pc机两台（被攻击的系统ie为6.0 sp1/sp2，并关闭杀毒软件）和metasploit软件、木马软件、日志清除软件（实验已提供） 实验步骤： Ⅰ、实验简介：通过对实验目标主机（本例中A机为目标机）攻击前后的各个步骤实践，从而熟悉一次完整的网络攻击的基本步骤。 实验拓扑： Ⅱ、下面以网络攻击“五部曲”进行各个步骤介绍。 1、隐藏IP 这一步必须做，因为如果自己的入侵的痕迹被发现了，当网警找上门的时候就一切都晚了。 通常有两种方法实现自己IP的隐藏： 第一种方法是首先入侵互联网上的一台电脑（俗称“肉鸡”），利用这台电脑进行攻击，这样即使被发现了，也是“肉鸡”的IP地址。（本例为了节省时间已经将本机主机B假设成了一台肉鸡，若要抓取肉鸡可以利用实验三的知识） 第二种方法是利用代理。 2、踩点扫描 踩点就是通过各种途径对所要攻击的目标进行多方面的了解（包括任何可得到的蛛丝马迹，但要确保信息的准确），确定攻击的时间和地点。 扫描的目的是利用各种工具在攻击目标的IP地址或地址段的主机上寻找漏洞。扫描分成两种策略：被动式策略和主动式策略。 常见的踩点方法包括： 在域名及其注册机构的查询 目标性质的了解 对主页进行分析 邮件地址的搜集 目标IP地址范围查询。 本例实验环境特殊，直接就是在同一个局域网里所以直接通过简单的扫描就可以踩点到目标机A的信息。下面假设我们已经踩点到目标机A的ip为“192.168.1.233”，浏览器为ie6.0 sp2 所以我们可以利用本地主机B对目标机A是可信的（他们同处一个局域网，假设他们是可信的），对目标机A进行URL诱骗攻击。 3、获得系统或管理员权限 得到管理员权限的目的是连接到远程计算机，对其进行控制，达到自己攻击目的。获得系统及管理员权限的方法有： 通过系统漏洞获得系统权限 通过管理漏洞获得管理员权限 通过软件漏洞得到系统权限 通过监听获得敏感信息进一步获得相应权限
网络攻击技术及攻击实例介绍全解
网络攻击技术及攻击实例介绍 摘要：随着计算机网络的广泛使用，网络攻击技术也迅猛发展。研究网络攻击带来的各种威胁，有针对性的对这些威胁进行有效防范，是加固安全防御体系的重要途径。研究计算机网络攻击技术，模拟黑客行为，以敌手推演为模型、以攻防对抗为实践方式来验证网络整体安全防护效能，是加强网络安全防护的一种重要手段。本文介绍了WEB脚本入侵攻击、缓沖区滋出攻击、木马后门攻击、网络设备攻击、内网渗透攻击、拒绝服务攻击、网电空间对抗六种典型网络攻击技术及伊朗核设施遭震网技术的网络攻击案例。 一、网络攻击技术分类 计算机网络攻击是网络攻击者利用网络通信协议自身存在的缺陷、用户使用的操作系统内在缺陷或用户使用的程序语言本身所具有的安全隐患，通过使网络命令或者专门的软件非法进人本地或远程用户主机系统，获得、修改、删除用户系统的信息以及在用户系统上插入有害信息，降低、破坏网络使用效能等一系列活动的总称。 从技术角度看，计算机网络的安全隐患，一方面是由于它面向所有用户，所有资源通过网络共享，另一方面是因为其技术是开放和标准化的。层出不穷的网络攻击事件可视为这些不安全因素最直接的证据。其后果就是导致信息的机密性、完整性、可用性、真实性、可控性等安全属性遭到破坏，进而威胁到系统和网络的安全性。 从法律定义上，网络攻击是入侵行为完全完成且入侵者已在目标网络内。但是更激进的观点是(尤其是对网络安全管理员来说)，可能使一个网络受到破坏的所有行为都应称为网络攻击，即从一个入侵者开始对目标机上展开工作的那个时刻起，攻击就开始了。通常网络攻击过程具有明显的阶段性，可以粗略的划分为三个阶段: 准备阶段、实施阶段、善后阶段。
关于网络攻击与防御技术实验教程
关于网络攻击与防御技术实验教程 最近有网友想了解下《网络攻击与防御技术实验教程》张玉清写的这本书,所以小编就整理了相关资料分享给大家,具体内容如下.希望大家参考参考!!! 《网络攻击与防御技术实验教程》 《网络攻击与防御技术实验教程》内容简介 网络攻击与防御技术是网络安全的核心和焦点，也是确保网络安全实际动手能力的综合体现。全书共分11章，第1章介绍如何进行系统安全配置并搭建一个用于网络攻防实验的虚拟机，在接下来的各章中，在回顾理论知识的同时，结合动手实验介绍网络典型攻防技术，这些网络典型攻防技术包括扫描技术、网络监听及防御技术、口令攻击、欺骗攻击及防御、拒绝服务攻击与防范、缓冲区溢出攻击及防御、Web攻击及防范、木马攻击及防御、病毒与蠕虫攻击及防御和典型网络攻击防御技术。通过这种理论与实践相结合的网络攻防技术的学习，读者会对网络攻击与防御技术有更直观和深刻的理解。 书中各章内容安排方式为：理论知识回顾、基本实验指导
和巩固提高型实验。 本书可以作为信息安全、计算机、通信等相关专业研究生、本科生的教材，也可供从事网络安全研发的工程技术人员和热衷网络攻防技术的读者参考。 《网络攻击与防御技术实验教程》前言/序言 “知彼知己，百战不殆。" --孙子兵法网络安全已成为人们在信息空间中生存与发展的重要保证条件，与国家的政治安全、经济安全、军事安全、社会稳定以及人们的日常生活密切相关。由于兴趣爱好和经济利益的驱使，黑客攻击事件层出不穷。公司和国家只有积极防御，才能在攻击环境下生存。 攻击与防御是一对相互制约和相互发展的网络安全技术。 本实验教程的目标是帮助安全人员理解黑客的攻击方法和步骤，事实一次又一次地证明，理解敌人的策略、技巧和工具对保护自己是多么的重要。同时，本教程还让安全人员了解能采取哪些策略来防范各类攻击。
实验一常用的系统攻击方法
上海电视大学 开放教育学院（阜新）分校《学生实验报告》记录表 姓名：学号：088000 实验日期：2009 年10 月日 实验一常用的系统攻击方法 【实验目的】 1、通过练习使用网络探测、扫描器工具，可以了解目标主机的信息：IP 地址、开放的端口和服务程序等，从而获得系统有用的信息，发现网络系统的漏洞。 2、通过密码破解工具的使用，了解帐号的安全性，掌握安全口令的设置原则，以保护帐号 3、通过使用Wireshark 软件掌握Sniffer(嗅探器)工具的使用方法，实现捕捉ftp、http 等协议的数据包，以理解tcp/ip 协议中多种协议的数据结构、会话连接建立和终止的过程、tcp 序列号、应答序号的变化规律，防止ftp、http 等协议由于传输明文密码造成的泄密。掌握协议分析软件的应用。 4、通过对木马配置的实验，理解与掌握木马传播与运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 5、通过练习使用DoS/DDoS 攻击工具对目标主机进行攻击；理解DoS/DDoS 攻击及其实施过程；掌握检测和防范DoS/DDoS 攻击的措施。 6、学习缓冲区溢出的基本概念，以及缓冲区溢出的原理过程。掌握预防和防御缓冲区溢出的方法，并且在实际编程中严格遵循安全原则。 【实验环境】 两台预装Windows 2000/XP/2003 的主机，通过网络相连。 软件工具：nmap、X-Scan、SMBcrack、psexec.exe、Wireshark、冰河木马、synkiller 【实验要求】（运用软件，将运行结果以屏幕截图的形式保存在文档中） 1、使用端口扫描器namp，查看目标系统的开放端口的情况 2、使用X-scan扫描器，查看目标系统漏洞的情况 3、使用SMBCrack进行口令破解实验 4、用Sniffer嗅探一个Telnet过程 5、使用冰河对远程计算机进行控制 6、使用拒绝服务攻击工具，观察DoS攻击的现象（选做） 7、使用OllyDbg工具，完成缓冲区溢出程序的调试（选做）
实验6网络攻击与防范实验
实验6网络攻击与防范实验 6.1 实验目的 1、理解Dos/Ddos/ARP攻击的原理及实施过程，掌握检测和防范Dos/DDoS/ARP攻击的措施； 2、理解缓冲区溢出攻击的原理及实施过程，掌握防范和避免措施。 6.2 实验环境 实验室所有机器安装了Windows操作系统，并组成了一个局域网； Dos/DDoS/ARP攻击软件； 每4-5个学生为一组：互相进行攻击或防范。 6.3 实验原理 6.3.1 DoS的原理 拒绝服务（DoS）攻击利用系统或协议的缺陷，采用欺骗的策略进行网络攻击，目的是使目标主机因为资源全部被占用而不能处理合法用户提出的请求，即对外表现为拒绝提供服务。 常见的DoS攻击方法： （1）Synflood:该攻击以多个随机的源主机地址向目的主机发送SYN包，而在收到目的主机的SYN ACK后并不回应，这样，目的主机就为这些源主机建立了大量的连接队列，而且由于没有收到ACK一直维护着这些队列，造成了资源的大量消耗而不能向正常请求提供服务。 （2）Land-based：攻击者将一个包的源地址和目的地址都设置为目标主机的地址，然后将该包通过IP欺骗的方式发送给被攻击主机，被攻击主机与自己建立空连接并保留连接，从而很大程度地降低了系统性能。 （3）UDP洪水(UDP flood) ：echo服务会显示接收到的每一个数据包，而chargen服务会在收到每一个数据包时随机反馈一些字符。UDP flood假冒攻击就是利用这两个简单的TCP/IP 服务的漏洞进行恶意攻击，通过伪造与某一主机的Chargen服务之间的一次的UDP 连接，回复地址指向开着Echo 服务的一台主机，通过将Chargen和Echo服务互指，来回传送毫无用处且占满带宽的垃圾数据，在两台主机之间生成足够多的无用数据流，这一拒绝服务攻击飞快地导致网络可用带宽耗尽。 （4）Smurf、UDP-Flood、Teardrop、PingSweep、Pingflood、Ping of Death等。 6.3.2 DDOS的原理 分布式拒绝服务（DDoS）是基于DoS攻击的一种特殊形式。攻击者将多台受控制的计算机联合起来向目标计算机发起DoS攻击。 DDoS攻击分为3层：攻击者、主控端、代理端。1、攻击者：攻击者所用的计算机是攻击主控台，攻击者操纵整个攻击过程，它向主控端发送攻击命令。2、主控端：主控端是攻击者非法侵入并控制的一些主机，这些主机还分别控制大量的代理主机。主控端主机的上面安装了特定的程序，因此它们可以接受攻击者发来的特殊指令，并且可以把这些命令发送到代理主机上。3、代理端：代理端同样也是攻击者侵入并控制的一批主机，它们上面运行攻击器程序，接受和运行主控端发来的命令。代理端主机是攻击的执行者，真正向受害者主机发送攻击。 攻击者发起DDoS攻击的第一步，就是寻找在Internet上有漏洞的主机，进入系统后在其上面安装后门程序，攻击者入侵的主机越多，他的攻击队伍就越壮大。第二步在入侵主机上安装攻击程序，其中一部
基于windows平台的基本网络测试工具实验
基于windows平台的基本网络测试工具实验 1 、实验目的 1 ）了解网络命令行的使用。 2 ）熟练掌握ping 命令、netstat 命令、ipconfig 命令、arp 命令tracert 命令、route 命令、nbtstat 命令、net 命 令的操作使用。 2 、实验环境 一台装有Windows 2000 Server 的联网计算机。 3 、实验原理 一般网络命令的原理就是在建立连接通道，然后发送一些测试数据包对方接受后返回信息，而这个返回数据包包含一些网络状况的相关信息。 4 、实验要求 1 ）熟悉掌握ping 命令操作。 2 ）熟悉掌握netstat 命令操作。 3 ）熟悉掌握ipconfig 操作。 4 ）熟悉掌握arp 命令操作。 5 ）熟悉掌握tracert 命令操作。 6 ）熟悉掌握route 命令操作。 7 ）熟悉掌握nbtstat 命令操作。 8 ）熟悉掌握net 命令操作。 5 、实验步骤 常见网络命令实验操作都在windows2000 的DOS 窗口中操作，如下图：
? Ping 命令 Ping 命令用于确定本地主机是否能与另一台主机交换（发送与接收）数据报。根据返回的信息，就可以推断TCP/IP 参数是否设置得正确以及运行是否正常。需要注意的是：成功地与另一台主机进行一次或两次数据报交换并不表示TCP/IP 配置就是正确的，必须执行大量的本地主机与远程主机的数据报交换，才能确信TCP/IP 的正确性。 ? 简单的说，Ping 就是一个测试程序，如果Ping 运行正确，大体上就可以排除网络访问层、网卡MODEM 的输入输出线路、电缆和路由器等存在的故障，从而减小了问题的范围。但由于可以自定义所发数据报的大小及无休止的高速发送，Ping 也被某些别有用心的人作为DDOS （拒绝服务攻击）的工具，前段时间Y ahoo 就是被黑客利用数百台可以高速接入互联网的电脑连续发送大量Ping 数据报而瘫痪的。 ? 按照缺省设置，Windows 上运行的Ping 命令发送4 个ICMP （网间控制报文协议）回送请求，每个32 字节数据，如果一切正常，应能得到4 个回送应答。 ? Ping 能够以毫秒为单位显示发送回送请求到返回回送应答之间的时间量。如果应答时间短，表示数据报不必通过太多的路由器或网络连接速度比较快。Ping 还能显示TTL （Time To Live 存在时间）值，可以通过TTL 值推算一下数据包已经通过了多少个路由器：源地点TTL 起始值（就是比返回TTL 略大的一个 2 的乘方数）- 返回时TTL 值。例如，返回TTL 值为119 ，那么可以推算数据报离开源地址的TTL 起始值为128 ，而源地点到目标地点要通过9 个路由器网段（128-119 ）；如果返回TTL 值为246 ，TTL 起始值就是256 ，源地点到目标地点要通过9 个路由器网段。 Ping 命令的常用参数选项： ? ping IP -t-- 连续对IP地址执行Ping 命令，直到被用户以Ctrl+C 中断。 ? ping IP -l 2000-- 指定Ping 命令中的数据长度为2000 字节，而不是缺省的32 字节。? ping IP -n-- 执行特定次数的Ping 命令。 ? Netstat Netstat 用于显示与IP、TCP 、UDP 和ICMP 协议相关的统计数据，一般用于检验本机各端口的网络连接情况。如果计算机有时候接受到的数据报会导致出错数据删除或故障，不必感到奇怪，TCP/IP 可以容许这些类型的错误， 并能够自动重发数据报。但如果累计的出错情况数目占到所接收的IP数据报相当大的百分比，或者它的数目正迅速增加，那么就应该使用Netstat 查一查为什么会出现这些情况了。netstat 的一些常用选项： ? netstat -s-- 本选项能够按照各个协议分别显示其统计数据。如果应用程序（如Web 浏览器）运行速度比较慢，或者不能显示Web 页之类的数据，那么就可以用本选项来查看一下所显示的信息。需要仔细查看统计数据的各行，找到出错的关键字，进而确定问题所在。 ? netstat -e-- 本选项用于显示关于以太网的统计数据。它列出的项目包括传送的数据报的总字节数错误数、删除数、数据报的数量和广播的数量。这些统计数据既有发送的数据报数量，也有接收的数据报数量。这个选项可以用来统计一些基本的网络流量）。 ? netstat -r-- 本选项可以显示关于路由表的信息，类似于后面所讲使用route print 命令时看到的信息。除了显示有效路由外，还显示当前有效的连接。
实验一木马攻击与防范全解
实验1 木马攻击与防范 一、实验目的 通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。 二、实验原理 木马的全称为特洛伊木马，源自古希腊神话。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。 1．木马的特性 木马程序为了实现其特殊功能，一般应该具有以下性质： (1)伪装性：程序将自己的服务器端伪装成合法程序，并且诱惑被攻击者执行，使木马代码会在未经授权的情况下装载到系统中并开始运行。 (2)隐藏性：木马程序同病毒程序一样，不会暴露在系统进程管理器内，也不会让使用者察觉到木马的存在，它的所有动作都是伴随其它程序进行的，因此在一般情况下使用者很难发现系统中有木马的存在。 (3)破坏性：通过远程控制，攻击者可以通过木马程序对系统中的文件进行删除、编辑操作，还可以进行诸如格式化硬盘、改变系统启动参数等恶性破坏操作。 (4)窃密性：木马程序最大的特点就是可以窥视被入侵计算机上的所有资料，这不仅包括硬盘上的文件，还包括显示器画面、使用者在操作电脑过程中在硬盘上输入的所有命令等。 2．木马的入侵途径 木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。木马也可以通过Script、ActiveX及ASP、CGI交互脚本的方式入侵，由于微软的浏览器在执行Script 脚本上存在一些漏洞，攻击者可以利用这些漏洞诱导上网者单击网页，这样IE浏览器就会自动执行脚本，实现木马的下载和安装。木马还可以利用系统的一些漏洞入侵，如微软的IIS服务器存在多种溢出漏洞，通过缓冲区溢出攻击程序造成IIS服务器溢出，获得控制权限，然后在被攻击的服务器上安装并运行木马。 3．木马的种类 (1)按照木马的发展历程，可以分为4个阶段：第1代木马是伪装型病毒，将病毒伪装成一个合法的程序让用户运行，例如1986年的PC-Write木马；第2代木马是网络传播型木马，它具备伪装和传播两种功能，可以进行密码窃取、远程控制，例如B02000和冰河木马；第3代木马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马；第4代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。 (2)按照功能分类，木马又可以分为：破坏型木马，主要功能是破坏并删除文件；密码发送型木马，它可以找到密码并发送到指定的邮箱中；服务型木马，它通过启动FTP服务或者建立共享目录，使黑客可以连接并下载文件；DoS攻击型木马，它将作为被黑客控制的肉鸡实施DoS 攻击；代理型木马，可使被入侵的计算机做为黑客发起攻击的跳板；远程控制型木马，可以使攻击者利用客户端软件进行完全控制。 4．木马的工作原理 下面简单介绍一下木马的传统连接技术、反弹端口技术和线程插入技术。
网络防御实验报告
网络防御实验报告 学院计算机学院 专业网络工程 班级1班 姓名刘小芳 学号41009040127 - 2013年12月30日
一．实验题目 网络防御实验 二．实验环境 PC 机一台； 操作系统：win7 物理地址：EO-E9-A5-81-A5-1D IP地址：192.168.1.102 三．实验目的 掌握有关网络防御的基本原理和方法； 四．常见网络防御方法 10.1物理层 10.2网络层 路由交换策略 VLAN划分 防火墙、隔离网闸 入侵检测 抗拒绝服务 传输加密 10.3系统层 漏洞扫描 系统安全加固 10.4应用层 防病毒 安全功能增强 10.5管理层 独立的管理队伍 统一的管理策略 五、实验方法概述 前面设计了网络攻击实验，现在在前面的基础上完成网络攻击的防御，主要模仿现在常用的网络防御手段，如防火墙等。 六．概述： 1.恶意代码及黑客攻击手段的三大特点： 传播速度惊人:“大型推土机”技术(Mass rooter)，是新一代规模性恶意代码具备的显著功能。 这些恶意代码不仅能实现自我复制，还能自动攻击内外网上的其它主机，并以受害者为攻击源继续攻击其它网络和主机。 以这些代码设计的多线程和繁殖速度，一个新蠕虫在一夜之间就可以传播到互联网的各个角落。
2.受害面惊人:许多国家的能源、交通、金融、化工、军事、科技和政府部门等关键领域的信息化程度逐年提高，这些领域的用户单位的计算机网络，直接或间接地与Internet有所联系。 各种病毒、蠕虫等恶意代码，和各种黑客攻击，通过Internet为主线，对全球各行业的计算机网络用户都造成了严重的影响。 3穿透深度:蠕虫和黑客越来越不满足于攻击在线的网站，各种致力于突破各种边界防线的攻击方式层出不穷。 一个新的攻击手段，第一批受害对象是那些24小时在线的网站主机和各种网络的边界主机； 第二批受害对象是与Internet联网的，经常收发邮件的个人用户； 第三批受害对象是OA网或其它二线内网的工作站； 终极的受害对象可能会波及到生产网络和关键资产主机。 4.网络攻击的动机 偷取国家机密 商业竞争行为 内部员工对单位的不满 对企业核心机密的企望 网络接入帐号、信用卡号等金钱利益的诱惑 利用攻击网络站点而出名 对网络安全技术的挑战 对网络的好奇心 5.攻击的过程 预攻击攻击后攻击