堡垒机实训指导(七)网络攻防课件.pptx

1、实训一实训一DNS溢出攻击溢出攻击实训目的：实训目的：DNS，Domain Name Service（域名服务系统），它为Internet上的主机分配域名地址和IP地址。普通用户比较容易记住域名地址，如搜狐的域名为，使用域名地址访问远程主机较为方便。但Internet实际使用IP来作为最终目标识别，而IP地址难以记忆，域名解析服务提供了自动把域名地址转为IP地址的功能，从而让普通用户不再关心难以记忆的IP地址串。域名服务系统是运行域名系统的Internet工具。提供域名服务的服务器称之为DNS服务器，通过DNS服务器来应答域名服务的查询。由于域名系统在Internet中使用广泛，所以DNS服务

2、安全性也是至关重要的。基于Windows系统的DNS服务使用广泛，2006年微软公布了MS06-041安全公告，由于DNS服务存在缓冲区溢出漏洞，直接导致黑客可利用该漏洞在服务器执行任意代码。了解缓冲区溢出的攻击方法及危害 了解缓冲区溢出的防御知识 网络攻防网络攻防实训步骤：实训步骤：A.了解DNS溢出攻击过程 1.将获取到的实验工具MS06041.exe，放入本机系统C盘根目录处。注：拷贝过程中请关闭所有杀毒软件或者对杀毒软件给出的所有报警选择ignore。2.点击开始-运行-输入cmd，运行windows命令行程序。3.如下所示，顺序执行以下2条命令:cd ms06041.exe 4.仔细

3、阅读命令行内容，可以知道：ms04061.exe-s 1.2.3.4 该命令用于扫描发现目标主机1.2.3.4是否存在DNS溢出漏洞，并提供攻击所需的端口值。ms04061.exe-t2000all 1.2.3.4 1030 该命令用于攻击操作系统为2000的1.2.3.4服务器。5.这里我们获取实验DNS服务器的IP地址，笔者环境中DNS服务器地址为192.168.25.77，输入命令：ms04061.exe-s 192.168.25.77 6.命令执行后返回下内容，从返回内容看192.168.25.77这台DNS服务器存在DNS溢出漏洞，攻击的端口参数为1029：7.输入如下命令 ms04

4、061.exe-t2000all 192.168.25.77 1029 在程序溢出攻击后，程序返回内容提示连接服务器的1100端口。8.输入telnet 192.168.25.77 1100命令(请对应当前替换实验DNS服务器IP地址)，成功获得服务器的命令行接口，入侵成功。实训二实训二 端口扫描实验端口扫描实验 实训目的：实训目的：端口扫描，往往是入侵者攻击的第一步。如果服务器开启了不必要的端口遭受到恶意攻击，那造成整个服务器系统崩溃也绝不是危言耸听的!因此，采取合理、周全的安全管理是很有必要的。在完成这个实验后，将能够：u了解常用服务监听的端口 u常见的端口扫描方法 u使用NMAP扫描端口

5、 网络攻防网络攻防实训步骤：实训步骤：1.运行远程桌面客户端程序mstsc.exe，输入服务器IP地址，点击Connect连接按钮 注：服务器所有用户的登陆密码为123456。2.单击桌面开始-运行-输入CMD，接着输入cd，输入nmap.exe，会出现如下提示3.输入nmap-sP 192.168.25.0/24注：本例IP 192.168.25.0/24为实验所用地址，学生测试可用学生机的IP。如IP为192.168.1.X，可用nmap.exe-sP 192.168.1.0/24进行扫描测试。此条命令是仅列出指定网络上的每台主机，不发送任何报文到目标主机，稍等一会可见如下所示结果：HOS

6、T：为扫描的IP地址 MAC Address:为该IP的MAC地址 4.输入nmap-sS 192.168.25.171该条命令是利用TCP SYN扫描，采用半开扫描的方式探查目标主机的开放端口。图中框题部分即为该IP开放的端口。5.输入nmap-O 192.168.25.171(注，O为大写字母O)该条命令是猜测操作系统，经由TCP/IP获取“指纹”来判别主机的OS类型。稍等一会可见如下所示结果：可见目标IP操作系统为Windows XP Pro SP2。6.输入nmap-sU 192.168.25.171此条命令是UDP扫描，用来确定目标主机哪个UDP端口处于开放状态。扫描开始后稍等一会可

7、见如图1-6所示结果。从图可知目标IP开放了88、135、137、138等UDP端口。实训三实训三 Ping扫描实验实训目的：实训目的：“Ping”命令是我们在判断网络故障常用的命令，但您真正明白这个命令运行后会发生什么，以及出现的各种信息说明了什么吗？本文将详细的介绍PING命令给大家。在完成这个实验后，将能够：了解Ping命令数据包交互过程 理解ICMP协议 Ping命令的基本使用 Ping命令带参数的使用(-t;-a;-n;-l;-I;-r)网络攻防网络攻防实训步骤：实训步骤：1.运行远程桌面客户端程序mstsc.exe，输入服务器IP地址，点击Connect连接按钮 注：注：服务器所有

8、用户的登陆密码为服务器所有用户的登陆密码为123456。2.Ping本机IP 点击桌面开始，运行，输入cmd 例如本机IP地址为：127.0.0.1，则执行命令Ping 127.0.0.1。3.-a 参数实验-a：将地址解析为计算机NetBios名。在cmd下执行 ping-a 127.0.0.1（学生实验可在服务器上ping学生机，本实验用127.0.0.1代替客户端，学生机ip可用ipconfig命令看到）4.-t参数扫描实验-t：一直Ping指定的计算机,直到从键盘按下Ctrl+C中断。在cmd下执行ping-t 127.0.0.1 5.-n 参数扫描实验-n：发送count指定的ECH

9、O数据包数。，通过这个命令可以自己定义发送的个数，对衡量网络速度很有帮助。能够测试发送数据包的返回平均时间，及时间的快慢程度。默认值为 4。在cmd下输入 ping-n 10 192.168.25.171 从以上就可以知道在给192.168.25.171发送10个数据包的过程当中.返回了10个.这10个数据包当中返回速度最快为0ms.最慢为9ms.平均速度为0ms。6.-l 参数扫描实验-l：发送指定数据量的ECHO数据包。默认为 32 字节；最大值是65500byte。在cmd下输入ping-l 65500 192.168.25.171 7.-r参数扫描实验-r：在“记录路由”字段中记录传出

10、和返回数据包的路由。通常情况下，发送的数据包是通过一系列路由才到达目标地址的，通过此参数可以设定，想探测经过路由的个数。限定能跟踪到9个路由。实训四实训四 MD5暴力破解暴力破解实训目的：实训目的：MD5的全称是Message-Digest Algorithm 5（信息-摘要算法），在90年代初由MIT Laboratory for Computer Science和RSA Data Security Inc的Ronald L.Rivest开发，经MD2、MD3和MD4发展而来。它的作用是让大容量信息在用数字签名软件签署私人密匙前被压缩成一种保密的格式（就是把一个任意长度的字节串变换成一定长的

11、大整数）。由于MD5算法的使用不需要支付任何版权费用，所以在一般的情况下（非绝密应用领域。但即便是应用在绝密领域内，MD5也不失为一种非常优秀的中间技术），MD5怎么都应该算得上是非常安全的了。由于MD5加密实际上是一种不可逆的加密手段，现实中的MD5破解其实是将字典档内容来逐个MD5加密后，使用加密后的密文比对需要破解的密文，如果相同则破解成功。u学习使用MD5加密工具 u学习使用MD5密码破解工具 网络攻防网络攻防实训步骤：实训步骤：A.运行远程桌面客户端程序mstsc.exe，输入服务器端IP地址，点击Connect连接以Administrator（管理员）身份登陆服务器桌面。注：服务器

12、Administrator用户的登陆密码为123456。B.点击桌面“MD5加密器”快捷图标，C.在程序主界面中选择“字符串MD5加密”方式，在“加密或校验内容”文本框中，输入待加密的明文，这里我们输入了123456。D.点击“加密或校验”按钮对明文加密，密文将呈现在“生成的MD5密文”文本框中。E10ADC3949BA59ABBE56E057F20F883E就是MD5密文。学习MD5暴力破解工具的使用1.运行桌面MD5Crack程序快捷图标。注：常见的MD5密文暴力破解主要原理是将目标密文与自己基于字典批量加密生成的MD5密文对比，如果字符串相同，则可获取到明文，这是一个比对猜测的过程。针对

13、密文比对的暴力破解MD5，可以通过复杂组合、增加长度等方法来避免被破解。2.在MD5Crack程序的“破解单个密文”文本框中输入图2生成的123456的MD5密文，确保使用的是“数字”字符集字典3.点击“开始”按钮，开始MD5破解，简单有规律的明文生成的MD5密文将很快被破解出来。破解完成后将弹出对话框，我们可以点击结果按钮来查看信息。4.下面我们使用MD5加密工具来对8个字母组成的明文：dgheraed 来加密，生成的密文为F1502583A7FC656387F799F8B5FF04085.将密文拷贝到MD5Cracke的“破解单个密文”文本框中，调整字符集选择为“小写字母”，同时将最小长度

14、调整到8，缩小破解范围。6.点击“设置”按钮，在弹出对话框中，选择“破解”栏，将“线程”调节为87.点击主程序“开始”按钮，开始破解过程。由于我们缩小了破解范围、提高了破解线程，所以很快就能破解该段相对较为负责的MD5密文注：暴力破解需要技巧和时间，也需要运气，请耐心等待！实训五实训五 本地系统密码破解本地系统密码破解实训目的：实训目的：网络攻防网络攻防密码破解，作为黑客常用的攻击手段之一，在攻击的初步阶段实现了帐号口令的暴力猜测，为深入攻击做准备。使用精心构造的口令字典、性能强劲的运算系统，能够快速、有效地完成对口令强度较低的账户的破解。p学习密码破解的原理 p学习使用密码破解工具 实训步骤

15、：实训步骤：A.学习本地系统口令暴力破解在某些时候，黑客窃取了操作系统的账户信息文件，如Windows下的SAM文件、Linux下的shadow文件。运用某些穷 举工具在本地实现暴力猜测口令文件，这里我们介绍最新版本L0phtCrack 6的使用。a)点击桌面程序lc6setup_v6.0.7.exe，安装L0phtCrack 6版本软件。b)点击开始-程序-L0phtCrack 6下的L0phtCrack 6程序，运行L0phtCrack程序。c)在弹出的Reminder对话框中的“OK”，“EnterKey”，“Buy Now”按钮，选择OK按钮注：由于L0phtCrack 6需要购买后才

16、能正式使用，实验中使用请选择OK按钮，进入试用状态。d.选择LC6主程序界面的Menu中的“Import Hashes”，选择Local Machine，点击OK按钮确认从本机获取SAM账户文件e.在主界面将呈现本机的帐号列表，但尚未开始破解。f.选择LC的主界面菜单下的“Session Options”，在弹出的对话框中选择“Dictionary”更换字典。可根据实际情况选择更换“暴力字典”，此处由于LC能够自动分析出账户，所以只需更换“口令字典”，本实验中，删除默认选择的字典，使用提供的c:toolsdicpass.dicg.点击运行按钮，开始破解过程，根据口令的复杂度，破解所消耗的时间将

17、不同注：暴力破解需要技巧和时间，也需要运气，请耐心等待！实训五实训五 Wireshark工具的使用与工具的使用与TCP数据包分析数据包分析实训目的：实训目的：网络攻防网络攻防 Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是捕捉网络数据包，并尽可能显示出最为详细的数据包内容。在过去，网络数据包分析软件或者非常昂贵，或者专门属于营利用的软件。Wireshark的出现改变了这一切。在GNUGPL通用许可证的保障下，使用者可以免费取得软件及其源代码，并拥有对源代码修改的权利。Wireshark是目前全世界最广泛的网络封包分析软件之一。传输控制协议（Trans

18、mission Control Protocol），简称TCP协议，是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第3层传输层所指定的功能，基于TCP的常见应用如TELNET，SSH，HTTP，FTP等。u学习Wireshark工具的使用。u学习TCP协议及其TCP头部结构。u利用Wireshark分析TCP数据包内容。实训步骤：实训步骤：A.在远程桌面中，单击桌面Wireshark程序快捷图标，弹出Wireshark程序B.在Wireshark程序

19、点击查看本机网卡状态配置按钮：Interface List，弹出对话框，图例中可以看出本机的网卡信息。C.在Wireshark主程序界面中，点击配置详细条件按钮：Capture Options，弹出对话框，配置捕捉的详细条件。D.通过在Capture Filter输入框中输入捕捉数据包的条件，样例中的host 192.168.0.1的意思为：程序只捕捉IP地址为192.168.0.1的数据包。下面举例了几种常见过滤条件：Tcp 只捕捉tcp数据包 port 80 捕捉tcp或udp协议且端口为80的数据包 not tcp port 3389 不捕捉tcp端口为3389的数据包 src 192.

20、168.0.1 and dst 192.168.0.2 捕捉源地址为192.168.0.1且目的地址为192.168.0.2的数据包E.选择过滤条件为not tcp port 3389，点击对话框下方的start按钮开始捕捉网络数据包学习TCP协议及头部结构1.TCP/IP是一个协议集，它包含了IP、TCP、UDP一系列协议，TCP协议意为Transmission Control Protocol传输控制协议，它是一种面向连接（连接导向）的、可靠的、基于字节流的运输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中

21、，它完成第3层传输层所指定的功能2.TCP协议头最少20个字节，包括若干个区域头部3.由于TCP是基于IP协议的，在利用Wireshark工具分析中，通常可以看到的TCP头和IP头结构组成使用Wireshark分析TCP数据包1.登陆到远程服务器桌面中，开启Wireshark，在对话框的Capture Filter中输入过滤条件：host 该服务器的IP and tcp port 21 这里我们需要捕捉访问远程服务器的TCP端口21的所有TCP数据包。2.点击对话框下方的start按钮后，Wireshark会处于捕捉状态。3.回到客户端系统中，点击“开始”-“运行”，输入命令：ftp 服务器的

22、IP利用该命令登陆远程服务器的FTP Server。注：远程服务器已经开放了FTP端口21，用户名为guest，密码为helloftp。4.输入正确的用户名和密码，成功登陆后，输入exit命令退出FTP服务器。5.再次登陆到远程服务器桌面中，wireshark已经捕捉到了ftp的会话数据包6.选中捕获的含有密码明文的TCP数据包，在“数据包详细信息栏”中Transmission Control Protocol部分TCP头部的各个信息被详细解释出来。通过分析20字节的IP头部信息和20字节的TCP头部信息，以及基于TCP的FTP协议数据包，就可以分析出地址、端口、明文密码等信息了。实训六实训六

23、 Web应用常见的应用常见的SQL注入、跨站攻击类事件处理注入、跨站攻击类事件处理实训目的：实训目的：网络攻防网络攻防 一些网站程序员在编写代码的时候，没有对用户输入数据的合法性进行判断从而使应用程序存在的安全隐患，提交一段数据库查询代码，从而获得某些非公开数据的黑客攻击行为。也就是所谓的SQL Injection。黑客通过利用系统连接到网络的不安全的代码执行未经授权的SQL指令发动攻击。SQL注入攻击之所以成为最常见的针对以数据库为基础的网站的攻击方式，是因为黑客并不需要知道多少关于某个目标网页浏览器的后台设置，也不需要太多有关SQL查询的知识就能发起攻击。黑客们可以随机地选择目标IP地址，

24、能够将目标锁定到任何类型的网站。XSS(Cross Site Script)的全称是跨站脚本,其基本攻击原理是:用户提交的变量没有经过完整过滤Html字符或者根本就没有经过过滤就放到了数据库中，一个恶意用户提交的Html代码被其他浏览该网站的用户访问，通过这些Html代码也就间接控制了浏览者的浏览器，就可以做很多的事情了如窃取敏感信息，引导访问者的浏览器去访问恶意网站等。在一些人机交互行比较高的程序，比如论坛，留言版这类程序比较容易存在跨站script攻击，是很多入门级“黑客”喜欢采用的攻击方式。在完成这个实验后，将能够：p认识SQL注入攻击和跨站攻击的主要原理 p针对SQL注入攻击和跨站攻击

25、事件的安全处理实训步骤：实训步骤：I.WEB常见SQL注入攻击 运行远程桌面客户端程序远程桌面客户端程序mstsc.exe，输入服务器IP地址，点击Connect连接，双击桌面Internet Explorer图标。服务器所有用户的登陆密码为123456 单击“甘肃省委宣传部原副部长石星光遇害案告破”此条新闻 得到url地址如下：http:/10.92.92.32/leichinews/onews.asp?id=44u在http:/10.92.92.32/leichinews/onews.asp?id=44地址加单引号 http:/10.92.92.32/leichinews/onews.as

26、p?id=44从上面的错误信息可以看出：l数据库为SQLSERVER；l程序没有对于id进行过滤；l数据库表中有个字段名为id 此时onews.asp运行异常，报错如下:在url地址后输入http:/10.92.92.32/leichinews/onews.asp?id=44 and 1=1（附加and 1=1）,此时返回正常页面。在url地址后输入http:/10.92.92.32/leichinews/onews.asp?id=44 and 1=2附加and 1=2,此时返回错误页面。综上所述，已经确定onews.asp存在sql注入漏洞。利用上述SQL注入漏洞，已可以猜数据库表名，用户名

27、，利用存储过程上传木马，挂网页木马等等操作。跨站攻击1.双击桌面Internet Explorer图标。2.在“新闻搜索”框里输入任意数字111.得到如下url地址http:/10.92.92.32/leichinews/search.asp?key=111&otype=title&Submit=%CB%D1%CB%F7 3.将111后面字符串删除，插入跨站语句alert(/test/),重新构造语句如下：http:/10.92.92.32/leichinews/search.asp?key=111alert(/test/)提交此语句，成功弹出alert警告框。4.构造http:/10.92.

28、92.32/leichinews/search.asp?key=语句访问该页面已成功嵌入baidu页面，稍加修改，此句可变如下：http:/10.92.92.32/leichinews/search.asp?key=其中xx.html为网页木马地址，width=0和height=0是设置宽度和高度都为0，将此段url加密下，发给网友，网友即可中马 5.常见xss跨站语句如下：alert(跨站)(?用tab键弄出来的空格）(/*/表示注释）input left:expression(alert(xss)html 实体 unicode 实训七实训七 网络及信息窃听类事件的处理网络及信息窃听类事件的

29、处理实训目的：实训目的：网络攻防网络攻防 ARP（Address Resolution Protocol）是地址解析协议，是一种将IP地址转化成物理地址的协议。从IP地址到物理地址的映射有两种方式：表格方式和非表格方式。ARP具体说来就是将网络层（也就是相当于OSI的第三层）地址解析为数据链路层（也就是相当于OSI的第二层）的物理地址(注:此处物理地址并不一定指MAC地址)。ARP原理：主机A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则A会以广播包方式发送一个ARP请求报文（携带主机A的IP地址Ia及物理地址Pa），请求IP

30、地址为Ib的主机B回答物理地址Pb。网上所有主机包括 B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡驱动附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器C向A和B分别发送一个原MAC地址为自己的伪造ARP应

31、答，则A与B之间的通讯将会被C监听到。这就是一个简单的ARP监听。p通过使用演示工具模拟ARP监听过程，加深对网络数据传输安全风险的了解，学习ARP协议的基本意义，了解网络数据包分析软件 Wireshark 的使用。实训步骤：实训步骤：模拟ARP监听过程的步骤：1.远程登录实验主机，检查主机当前的ARP缓存2.在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机 3.再次检查实验主机的ARP缓存4.启动 Mid-Sniffer 程序，向实验主机及管理平台主机发送伪造ARP包5.检查实验主机的ARP缓存6.在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机7.在

32、学生机用 Wireshark 工具监听实验主机与管理平台机的通讯8.在实验主机上用浏览器访问演示登录页面，并查看监听到的密码 检查实验主机的ARP缓存a)在学生机用远程桌面连接登录实验主机。用户名 Administrator密 码 Sn1ff3rb)在实验主机点击开始-运行，输入 cmd 并确定以启动命令行窗口。c)在命令行中输入 arp-a 查看当前 arp 缓存。f.再次检查实验主机的ARP缓存d.Ping管理平台主机，再次检查ARP缓存e.在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机 命令格式为：ping -n 1参数-n 1 表示发送的 echo 请求包的数量为

33、1。发送伪造ARP包，检查ARP缓存A.在本地学生机器上启动 Mid-Sniffer 程序，向实验主机与管理平台主机发送伪造ARP包B.在目标主机-1 IP 后填入实验主机的IP，管理平台IP后填入管理平台IP，不要勾选“监听时进行篡改”。点击开始以发送伪造 ARP 包。C.切换到远程登录的实验主机，在实验主机的命令行窗口中用 arp-a 查看此时的arp缓存。D.此时我们可以看到，arp缓存中的管理平台主机的MAC地址已经被修改为欺骗主机（学生主机）的MAC地址了。Ping管理平台主机，捕获、分析数据包I.启动Wireshark,点击第一个图标按钮打开网卡选择窗口II.点击与学生机IP一致的

34、网卡后的 Options 按钮，打开配置窗口，在过滤器中输入“icmp”III.点击 Start 按钮开始捕获数据包。在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机IV.捕获的数据包分析 我们可以看到，被捕获的数据包的目标的IP地址依然是实验主机或管理平台的IP地址，而目标的MAC地址却是欺骗主机（学生主机）的MAC地址，因此欺骗主机能够捕获到实验主机与管理平台主机间的通讯数据包。从捕获的数据包中可以看出，请求包和响应包分别有2个，捕获的数据包分别如下：a).实验主机发出请求包（request），因为在实验主机的arp缓存中管理平台主机的MAC地址被修改为欺骗主机（学生主

35、机）的MAC地址，因此该请求包被欺骗主机（学生主机）收到；b).欺骗主机（学生主机）将收到的请求包（request）转发给管理平台主机；c).管理平台主机发出响应包（reply），因为在管理平台主机的arp缓存中实验主机的MAC地址被修改为欺骗主机（学生主机）的MAC地址，因此该响应包被欺骗主机（学生主机）收到；d).欺骗主机（学生主机）将收到的响应包（reply）转发给实验主机。访问演示登录页面，查看监听到的密码1.在实验主机上打开浏览器，访问 http:/管理主机IP/demo/login.jsp，在密码框输入任意密码（如：12345678），点击提交按钮2.此时，在欺骗主机（学生主机）上

36、运行的 Mid-Sniffer 程序的“目标主机-1”数据框最后一行我们可以看到提交的密码（12345678）实训八实训八 网络及信息欺骗类事件的处理网络及信息欺骗类事件的处理实训目的：实训目的：网络攻防网络攻防 通过使用演示工具模拟ARP欺骗过程，加深对网络数据传输安全风险的了解，学习ARP协议的基本意义，了解网络数据包分析软件 Wireshark 的使用。实训步骤：实训步骤：A.检查实验主机的ARP缓存a)在学生机用远程桌面连接登录实验主机。如图2-1所示用户名 Administrator密 码 Spoof3rb)在实验主机点击开始-运行，输入 cmd 并确定以启动命令行窗口。在命令行中输

37、入 arp-a 查看当前 arp 缓存。B.Ping管理平台主机，再次检查ARP缓存a)在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机命令格式为：ping -n 1 b)再次检查实验主机的ARP缓存C.发送伪造ARP包，检查ARP缓存a)在本地学生机器上启动 Mid-Sniffer 程序，向实验主机与管理平台主机发送伪造ARP包，在目标主机-1 IP 后填入实验主机的IP，管理平台IP后填入管理平台IP，不要勾选“监听时进行篡改”。点击开始以发送伪造 ARP 包。b)切换到远程登录的实验主机，在实验主机的命令行窗口中用 arp-a 查看此时的arp缓存。可以看到，arp缓

38、存中的管理平台主机的MAC地址已经被修改为欺骗主机（学生主机）的MAC地址了。D.Ping管理平台主机，捕获、分析数据包a)启动Wireshark,点击第一个图标按钮打开网卡选择窗口b)点击与学生机IP一致的网卡后的 Options 按钮，打开配置窗口，在过滤器中输入“icmp”c)点击 Start 按钮开始捕获数据包。d)在实验主机上的命令行用 ping 工具发送一个icmp包到管理平台机e)捕获的数据包分析 我们可以看到，被捕获的数据包的目标的IP地址依然是实验主机或管理平台的IP地址，而目标的MAC地址却是欺骗主机（学生主机）的MAC地址，因此欺骗主机能够捕获到实验主机与管理平台主机间的

39、通讯数据包。从捕获的数据包中可以看出，请求包和响应包分别有2个，捕获的数据包分别如下：a).实验主机发出请求包（request），因为在实验主机的arp缓存中管理平台主机的MAC地址被修改为欺骗主机（学生主机）的MAC地址，因此该请求包被欺骗主机（学生主机）收到；b).欺骗主机（学生主机）将收到的请求包（request）转发给管理平台主机；c).管理平台主机发出响应包（reply），因为在管理平台主机的arp缓存中实验主机的MAC地址被修改为欺骗主机（学生主机）的MAC地址，因此该响应包被欺骗主机（学生主机）收到；d).欺骗主机（学生主机）将收到的响应包（reply）转发给实验主机。E.查看原

40、始页面的内容查看原始页面的内容a)在欺骗主机（学生主机）启动浏览器，访问 http:/管理主机IP/demo/demo.jsp，查看原始页面的内容，注意各银行帐号的初始数据F.查看篡改页面a)在被欺骗主机（实验主机）启动浏览器，访问 http:/管理主机IP/demo/demo.jsp，注意各银行帐号此时已经被篡改b)此时，在欺骗主机（学生主机）上的Mid-Sniffer程序的“管理平台”数据框中我们可以看到响应数据包中的的帐号已经被篡改了实训八实训八 拒绝服务攻击事件的处理拒绝服务攻击事件的处理实训目的：实训目的：网络攻防网络攻防 拒绝服务攻击即攻击者想办法让目标机器停止提供服务或资源访问，

41、是黑客常用的攻击手段之一。这些资源包括磁盘空间、内存、进程甚至网络带宽，从而阻止正常用户的访问。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。拒绝服务攻击问题也一直得不到合理的解决，究其原因是因为这是由于网络协议本身的安全缺陷造成的，从而拒绝服务攻击也成为了攻击者的终极手法。n通过学习使用简单的发包工具模拟发包，检查目标主机的网络情况，了解拒绝服务攻击的一般特征以及相关处理措施。（本次实验只是拒绝服务攻击的简单模拟，网络实际发生的攻击行为要复杂的多）实训步骤：实训步骤：A.使用udpflood.exe程序发送

42、udp包攻击实验服务器 获取到本课件的工具压缩把以后，将包解压并运行其中的udpflood.exe文件 在上图所示的界面中：a)IP/hostname处输入实验服务器的IP地址b)Port出输入445c)Max duration（secs）输入900d)在speed的位置选择max（LAN）e)然后点击go开始发包。运行远程桌面客户端程序mstsc.exe，输入服务器IP地址，点击Connect连接以Administrator（管理员）（口令：1qazWSX）身份登陆实验服务器桌面。点击远程桌面右下角的天网防火墙的图标，打开天网防火墙的界面，然后选择日志的标签 在天网防火墙的日志中可以查看到大

43、量的来自同一个IP（请记下该IP，做后面的规则添加用）的udp包，本机端口是445，并且该包是允许通行的。在本机点击udpflood程序界面上的stop，停止发包，但是不要关闭该程序B.设置防火墙规则禁止udp包通过a)点击天网防火墙的IP规则管理标签，打开IP规则管理界面，然后点击增加规则图标b)在增加IP规则界面中：a)名称处输入一个名称，如：deny udpb)数据包方向：选接受即可c)对方IP地址处：选择指定地址，然后在ip处填入刚才在日志中看到的ip地址。d)数据包协议类型：选择udpe)在当满足上述条件处：选择拦截，并在记录和告警处打勾。然后选择确定,返回规则管理界面c)在规则管理

44、界面，点击选中刚才添加的规则，然后点击规则上移图标，使该规则处于 udp协议规则的最上面，然后点击保存图标保存规则d)回到本机的udpflood.exe程序界面，点击go重新开始发包e)回到远程桌面的天网防火墙界面，再次点击日志图标查看防火墙日志，此时会发现，日志记录的改ip发送的udp状态已经为已拦截实训思考实训思考 进行DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了TCP/IP协议的漏洞，除非你不用TCP/IP，才有可能完全抵御住DDoS攻击。目前基于目标计算机系统的防范方法主要三类:网关防范、路由器防范等等。1.网关防范网关防范就是利用专门技术和设备在网关上防范DDoS

45、攻击。网关防范主要采用的技术有SynCookie方法、基于IP访问记录的HIP方法、客户计算瓶颈方法等。2.路由器防范基于骨干路由的防范方法主要有pushback和SIFF方法。但由于骨干路由器一般都有电信运营商管理，较难 按照用户要求进行调整;另外，由于骨干路由的负载过大，其上的认证和授权问题难以解决，很难成为有效 的独立解决方案。因此，基于骨干路由的方法一般都作为辅助性的追踪方案，配合其他方法进行防范。实训八实训八利用利用AT命令来启动系统进程命令来启动系统进程实训目的：实训目的：网络攻防网络攻防 Windows 操作系统的一个缺点是它缺乏在远程系统上执行程序的能力。如果连接到服务器，并双

46、击一个可执行文件，它将在自己的系统上运行。Windows 2000 Resource Kit（资源库）的应用可以帮助解决这个问题，但还有另一个好的方法。用“AT”命令调度一个可执行文件，在远程系统上的一个特定的时间运行。这也是一个安装特洛伊木马的常用方法。使用Windows中AT命令在远程系统上定时执行程序。实训步骤：实训步骤：I.修改远程Windows系统主机名称a)运行远程桌面客户端程序mstsc.exe，输入服务器IP地址，点击Connect连接，以Administrator（管理员）身份登陆服务器桌面。服务器Administrator用户的登陆密码为123456。b)右击桌面我的电脑图

47、标，选择菜单中的属性。c)在弹出的系统属性对话框中选择属性按钮d)修改计算机名为：Windows2000Server_XXXXXXXX注意修改主机名称后需要重新启动系统才能生效。注：XXXXXXXX为当前学生自己的学号，如08801133，这样可以避免网络重名。II.AT命令在远程系统上定时执行程序 右击远程桌面中的任务栏，选择弹出菜单中的“任务管理器”单击进程进程标签，留意当前的进程。提示：寻找notepad.exe，通常不应当看见它 注：确保当前学生客户端机器是以Administrator（管理员）身份登陆，后续操作建立此基础上。III.在客户端系统客户端系统中，单击开始开始-运行运行，键

48、入cmd，然后按回车。IV.在命令行键入命令：net use 服务器端服务器端IPipc$123456/user:administrator注：通过net use建立基于Administrator权限的IPC$管道连接，可以确保后续远程操作合法。V.在命令行键入命令：net time 服务端服务端IP VI.在命令行键入命令at 服务端服务端IP 3:49p/interactive“notepad.exe”注：将要执行的程序、命令行等请用双引号包含，不正确的方式会导致执行错误！然后按回车，返回信息如VII.如果希望启动一个隐藏隐藏在伙伴计算机上的进程，重复步骤8，但删除“/interactiv

49、e”。VIII.一旦服务器上规定的时间（例子中下午3:49）已过，查看“任务管理器”中的进程列表，寻找notepad.exe 注：注：应用程序将被执行但不显示在屏幕上。当安装特洛伊木马时，这对以后的实验很重要，为了隐蔽的启动一个程序，可以在AT命令中用/interactive开关。实训八实训八 Web站点的站点的sql注入攻击实验注入攻击实验实训目的：实训目的：网络攻防网络攻防 随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序

50、存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。u通过在登录界面输入精心构造的提交内容，从而绕过有缺陷的数据库权限检查，以管理员身份登录系统实训步骤：实训步骤：A.以普通帐户登录目标页面 打开客户机上的浏览器，访问目标机的web服务，可以看到登录界面 用帐号 test，密码 NormalUser 登录，可以看到普通帐号登录后的演示页面B.尝试进行SQL注入以绕过管理员帐户验证 打开客户机上的浏览器，访问目标机的web服务，可以看到登录界面 用帐号 admin 及任意密码(空密码除外)进行登录，将看到