网络渗透攻击实训项目

安全技术及应用实训报告

项目一：网络渗透攻击实训项目

学号：09011319

姓名：雷超

信息技术分院

计算机技术机网络技术

目录

任务1 社会工程学 (1)

1.1 “社会工程学”概述 (1)

1.2 “社会工程学”特点 (1)

1.3“社会工程学”的3个步骤 (1)

1.4 知识运用 (1)

任务2 木马免杀 (1)

2.1 木马免杀概述 (1)

2.2 木马免杀原理 (2)

2.3 木马免杀的实现步骤 (2)

任务3 木马捆绑 (3)

3.1 木马捆绑概述 (3)

3.2 木马捆绑原理 (3)

3.2 实验步骤 (3)

任务4 木马植入 (4)

4.1 木马植入的方式 (4)

4.2 实验步骤 (4)

任务5 远程控制 (5)

5.1 远程控制的概念 (5)

5.2 远程控制原理 (6)

5.3 远程控制运用 (6)

5.4 实验步骤 (6)

任务6 主机发现 (6)

6.1 主机发现概述 (6)

6.2 主机发现原理 (6)

6.3 主机发现的实现 (6)

6.4 实验步骤 (7)

任务7 端口扫描 (7)

7.1 口扫描原理 (7)

7.2 实现步骤 (7)

任务8 漏洞扫描 (8)

8.1 漏洞扫描概述 (8)

8.2 漏洞扫描原理 (9)

8.3 实现步骤 (9)

任务9 缓冲区溢出 (10)

9.1 缓冲区溢出概述 (10)

9.2 缓冲区溢出原理 (10)

9.3 缓冲区溢出危害 (10)

任务10 ARP 欺骗 (11)

10.1 ARP欺骗定义 (11)

10.2 ARP欺骗原理 (11)

10.3 ARP命令解释 (12)

任务11 网络嗅探 (12)

11.1 网络嗅探概述 (12)

11.2 网络嗅探原理 (12)

11.3 实现步骤 (13)

任务1 社会工程学

1.1 “社会工程学”概述

“社会工程学（Social Engineering）”是一种通过对受害者的心理弱点、本能反应、好奇心、信任和贪婪等心理陷阱，来骗取用户的信任以获取机密信息和系统设置等不公开资料，为黑客攻击和病毒感染创造了有利条件。

1.2 “社会工程学”特点

网络安全技术发展到一定程度后，起决定因素的不再是技术问题，而是人。由于安全产品的技术越来越完善，使用这些技术的人，就成为整个环节上最为脆弱的部分，加上人具有贪婪、自私、好奇和信任等心理弱点，因此通过恰当的方法和方式，入侵者完全可以从相关人员那里获取入侵所需的信息。

“社会工程学”陷阱通常是以交谈、欺骗、假冒或口语等方式，从合法用户那里套取用户系统的秘密。

“社会工程学”并不等同于一般的木马伪装欺骗等攻击手法，“社会工程学”尤其复杂，即使自认为最警惕最小心的人，一样会被高明的“社会工程学”手段损害利益。

“社会工程学”是一种与普通的欺骗和诈骗不同层次的手法，它需要搜集大量的信息针对对方的实际情况来进行相应的心理战术。从人性及心理的方面来讲，“社会工程学”是一种利用人性的弱点和贪婪等心理表现进行攻击的，是防不胜防的。

1.3“社会工程学”的3个步骤

(1) 信息刺探

(2) 心理学的应用

(3) 反查技术

1.4 知识运用

（1）黑客渗透视角

采用一系列巧妙的手段迅速地骗取了受害者的信任，从受害人哪里获取有用的信息（如管理员登录密码）。从而为进一步的渗透攻击打开了一个方便之门。

（2）网络运维视角

单纯的依靠防火墙并不是最安全的方案，时常对网络进行手工分析也是不可避免的。同时，网络的安全并不能仅依靠各种工具，人才是网络安全中最重要的一个环节。

任务2 木马免杀

2.1 木马免杀概述

免杀，也就是反病毒（AntiVirus）与反间谍（AntiSpyware）的对立面，英文为Anti-AntiVirus（简写Virus AV），逐字翻译为“反-反病毒”，我们可以翻译为“反杀毒

技术”。

木马免杀可以将其看为一种能使木马避免被杀毒软件查杀的技术。

木马免杀技术的涉猎面非常广，涉及反汇编、逆向工程甚至系统漏洞的发掘等其他顶级黑客技术。

2.2 木马免杀原理

(1) 杀毒原理

当前杀毒软件对病毒的查杀主要有特征代码法和行为监测法两种。特征码就是能识别一个程序是病毒的一段不大于64字节的特征串。特征码定位法分为文件查杀和内存查杀，杀毒软件公司拿到病毒的样本以后，定义一段病毒特征码到病毒库中，然后与扫描的文件比对，如果一致则认为是病毒。内存查杀则是载入内存后再比对。行为检测法是新出现的一种定义病毒的方法，它利用的原理是某些特定的病毒会有某些特定的行为来做出是否为病毒的判断。

(2) 木马免杀原理

免杀在某种程度上可以说是杀毒软件的对立面。杀毒软件通过特征码查杀病毒，相应的，通过修改特征码的方法来实现木马免杀。

特征码修改方法：

方法一：直接修改特征码的十六进制法

●修改方法：把特征码所对应的十六进制改成数字差1或差不多的十六进制。

●适用范围：一定要精确定位特征码所对应的十六进制，修改后一定要测试一下文件能否正常使用。

方法二：修改字符串大小写法

●修改方法：如果特征码所对应的内容是字符串，只要把大小字互换一下就可以了。

●适用范围：特征码所对应的内容必须是字符串，否则不能成功。

方法三：等价替换法

●修改方法：把特征码所对应的汇编指令，替换成功能类似的指令。

●适用范围：特征码中必须有可以替换的汇编指令，比如JE，JNE 换成JMP等。

方法四：指令顺序调换法

●修改方法：把具有特征码的代码顺序互换一下。

●适用范围：具有一定的局限性，代码互换后必须不能影响程序的正常执行。

方法五：通用跳转法

●修改方法：把特征码移到零区域（指代码的空隙处）执行后，使用JMP指令无条件调回原代码处继续执行下一条指令。

●适用范围：通用的改法，建议大家要掌握这种改法（在【学习模式】的【应用再现】中使用的就是该方法）。

2.3 木马免杀的实现步骤

第一步：用特征码定位器（如MYCCL）来准确定位杀毒软件内存特征码的具体位置。

第二步：用特征码修改工具（如OllyDbg）打开木马文件，定位到特征码所在位置（在第一步完成），找出适合的方法，进行特征码修改。

3.1 木马捆绑概述

鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，其中捆绑文件是常用的手段之一。

这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件即EXE、COM一类的文件。

3.2 木马捆绑原理

为了将两个可执行程序结合在一起，攻击者会使用一个包装工具。这些工具包括包装工具（Wrappers）、绑定工具（binders）、打包工具（packers）、EXE绑定工具（EXE binders）和EXE结合工具（EXE joiner）等。下图说明了攻击者如何使用包装程序。本质上，这些包装器允许攻击者使用任何可执行后门程序，并将其与任何的合法程序结合起来，不用写一行新代码就可以创建一个特洛伊木马。

3.2 实验步骤

实验操作前实验主机需从Web资源库下载实验所需木马程序（灰鸽子）、zsoft软件程序（一个即时通信工具）及捆绑工具（学生可以选择使用系统自带的IExpress或专门用于打包的软件）。

「注」实验过程两主机可同步进行，即主机B同时进行木马捆绑，并最终将捆绑的程序发送给主机A，主机A运行打包后的程序。主机B对主机A进行控制。

主机A

1. 生成木马服务器程序

2. 捆绑过程实现

3. 将打包生成的程序software.exe发送给主机B

主机B

4. 运行打包程序

(1) 主机B运行主机A发送过来的软件程序software.exe。

(2) 观察软件运行过程中出现的现象，能否发现除zsoft软件外其它程序的运行过程。

主机A

5. 查看肉鸡是否上线，若上线尝试对其进行控制

4.1 木马植入的方式

使用木马程序的第一步是将木马的“服务器程序”放到远程被监控主机上，这个过程成为木马的植入过程。常见的植入过程有如下几种方法。

●邮件收发：将木马的“服务器程序”放入电子邮件中植入到远程主机。

●网页浏览：将木马的“服务器程序”放入网页中植入到远程主机。

●文件下载：将木马的“服务器程序”和被下载的文件捆绑到一起植入到远程主机。

4.2 实验步骤

实验操作前实验主机需从Web资源库下载实验所需木马程序（灰鸽子）和恶意网页模板。

方法一：网页木马与木马植入

1. 生成网页木马

(1) 生成木马的“服务器程序”。

主机A运行“灰鸽子”木马，参考知识点二配置生产木马被控制端安装程序Server_Setup.exe，并将其放置于Internet信息服务(IIS) 默认网站目录“C:\Inetpub\wwwroot”下。

(2) 编写生成网页木马的脚本。

主机A在Web资源库中下载恶意网页模板Trojan.htm，并编辑内容，将脚本第15行“主机IP地址”替换成主机A的IP地址。主机A将生成的“Trojan.htm”文件保存到“C:\Inetpub\wwwroot”目录下(“C:\Inetpub\wwwroot”为“默认”的网站空间目录)，“Trojan.htm”文件就是网页木马程序。

(3) 启动WWW服务。

鼠标右键单击“我的电脑”，选择“管理”。在“计算机管理（本地）”中选择“服务和应用程序”｜“服务”，启动“World Wide Web Publishing Service”服务。

2. 木马的植入

主机B启动IE浏览器，访问http://主机A的IP地址/Trojan.htm。

观察实验现象是否有变化。

3. 查看肉鸡是否上线，并尝试进行控制

主机A等待“灰鸽子远程控制”程序主界面的“文件管理器”属性页中“文件目录浏览”树中出现“自动上线主机”。

尝试对被控主机B进行远程控制。

4. 主机B验证木马现象

(1) 主机B查看任务管理器中有几个“IEXPLORE.EXE”进程。

(2) 主机B查看服务中是否存在名为“Windows XP Vista”的服务。

5. 主机A卸载掉主机B的木马器程序

主机A通过使用“灰鸽子远程控制”程序卸载木马的“服务器”程序。具体做法：选择上线主机，单击“远程控制命令”属性页，选中“系统操作”属性页，单击界面右侧的“卸载服务端”按钮，卸载木马的“服务器”程序。

方法二：缓冲区溢出与木马植入

攻击者通过远程缓冲区溢出攻击受害者主机后，得到受害者主机的命令行窗口，在其命令行窗口下使用VBE脚本程序实现木马植入。

下面，由主机B来重点验证利用VBE脚本上传木马的过程。（远程缓冲区溢出部分内容将在后续知识学习中进行详细介绍）

1. 生成下载脚本

主机B在命令行下逐条输入如下命令生成木马自动下载脚本down.vbs。

该脚本的作用是：使主机B自动从主机A的WEB服务器上下载Server_Setup.exe到主机B的C:\WINDOWS\system32目录下，并重命名为down.exe，而该程序就是主机A要植入的灰鸽子服务器端。

2. 下载木马后门

主机B运行down.vbs脚本，使用命令形式如下：

主机B运行灰鸽子服务器程序，使用命令如下：

3. 主机B验证木马现象

(1) 主机B查看任务管理器中有几个“IEXPLORE.EXE”进程。

(2) 主机B查看服务中是否存在名为“Windows XP Vista”的服务。

任务5 远程控制

5.1 远程控制的概念

这里的远程不是字面意思的远距离，一般指通过网络控制远端电脑。早期的远程控制往往指在局域网中的远程控制而言，随着互联网的普及和技术革新，现在的远程控制往往指互联网中的远程控制。当操作者使用主控端电脑控制被控端电脑时，就如同坐在被控端电脑的屏幕前一样，可以启动被控端电脑的应用程序，可以使用或窃取被控端电脑的文件资料，甚至可以利用被控端电脑的外部打印设备（打印机）和通信设备（调制解调器或者专线等）来进行打印和访问外网和内网，就像利用遥控器遥控电视的音量、变换频道或者开关电视机一样。不过，有一个概念需要明确，那就是主控端电脑只是将键盘和鼠标的指令传送给远程电脑，同时将被控端电脑的屏幕画面通过通信线路回传过来。也就是说，控制被控端电脑进行操作似乎是在眼前的电脑上进行的，实质是在远程的电脑中实现的，不论打开文件，还是上网浏览、下载等都是存储在远程的被控端电脑中的。

远程控制必须通过网络才能进行。位于本地的计算机是操纵指令的发出端，称为主控端

或客户端，非本地的被控计算机叫做被控端或服务器端。“远程”不等同于远距离，主控端和被控端可以是位于同一局域网的同一房间中，也可以是连入Internet的处在任何位置的两台或多台计算机。

5.2 远程控制原理

远程控制是在网络上由一台电脑（主控端 Remote/客户端）远距离去控制另一台电脑（被控端 Host/服务器端）的技术，主要通过远程控制软件实现。

远程控制软件工作原理：远程控制软件一般分客户端程序(Client)和服务器端程序(Server)两部分，通常将客户端程序安装到主控端的电脑上，将服务器端程序安装到被控端的电脑上。使用时客户端程序向被控端电脑中的服务器端程序发出信号，建立一个特殊的远程服务，然后通过这个远程服务，使用各种远程控制功能发送远程控制命令，控制被控端电脑中的各种应用程序运行。

5.3 远程控制运用

1. 远程办公

2. 远程教育

3. 远程维护

4. 远程协助

5.4 实验步骤

1. 配置木马服务器程序

2. 远程控制连接的建立

3. 进行远程控制

4. 获取屏幕

5. 卸载被控制端

任务6 主机发现

6.1 主机发现概述

任何网络探测任务的最初几个步骤之一就是把一组IP范围(有时该范围是巨大的)缩小为一列活动的或者你所感兴趣的主机，这个过程称之为“主机发现”。

6.2 主机发现原理

主机发现有时候也叫做ping扫描，但它远远超越用世人皆知的ping工具发送简单的ICMP回显请求报文，也可以使用ARP扫描、TCP SYN/ACK、UDP等多种扫描与连接探测。这些探测的目的是获得响应以显示某个IP地址是否是活动的(正在被某主机或者网络设备使用)。

6.3 主机发现的实现

1. 利用ARP协议实现主机发现

2. 利用ICMP协议实现主机发现

6.4 实验步骤

1．主机扫描

(1) 主机A运行“局域网扫描器”，在“扫描地址”栏中输入扫描的IP范围。（注意：需与本机同网段），扫描方式为默认方式“普通扫描”，点击“扫描”按钮开始扫描目标IP段内存活主机。

(2) 扫描结果包括“IP地址”、“MAC地址”和“主机名”三部分。

2. 结果对比

(3) 扫描完成后，主机A将扫描结果与扫描到的同组主机进行对比，并针对当前网络环境验证其正确性。

任务7 端口扫描

7.1 口扫描原理

1. 全TCP连接扫描

这种扫描方法使用三次握手，与目标计算机建立标准的TCP连接。如果端口处于侦听状态，那么连接就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的优点是不需要任何权限，但这种方法的缺点是很容易被发觉，并且被过滤掉。

2. 半打开式扫描（SYN扫描）

在这种扫描技术中，扫描主机自动向目标主机的指定端口发送SYN数据段，表示发送建立连接请求。

a. 如果目标计算机的回应TCP报文中SYN=1，ACK=1，则说明该端口是活动的，接着扫描主机传送一个RST给目标主机拒绝建立TCP连接，从而导致三次握手过程的失败。

b. 如果目标计算机的回应是RST，则表示该端口为“死端口”，扫描主机不用做任何回应。

由于扫描过程中，全连接尚未建立，所以大大降低了被目标主机记录的可能性，并且加快了扫描的速度。但这种方法的一个缺点是，必须要有root权限才能建立自己的SYN数据包。

3. FIN扫描

在TCP报文中有一个字段为FIN，FIN扫描则依靠发送FIN来判断目标计算机的指定端口是否活动。

发送一个FIN=1的TCP报文到一个关闭的端口时，该报文会被丢掉，并返回一个RST 报文，但如果当FIN报文到一个活动的端口时，该报文只是简单的丢掉，不会反回任何回应。

可以看出，FIN扫描没有涉及任何TCP连接部分，因此比前两种扫描都安全，称之为秘密扫描。

4. 第三方扫描

第三方扫描又称“代理扫描”，是利用第三方主机来代替入侵者进行扫描。这个第三方主机一般是入侵者通过入侵其他计算机而得到的，该第三方主机常被入侵者称之为“肉鸡”。这些“肉鸡”一般为安全防御系数极低的个人计算机。

7.2 实现步骤

实验操作前实验主机需从Web资源库下载实验所需Nmap软件、WinPcap软件程序（Nmap

需要WinPcap支持）。

1. 主机A默认安装WinPcap程序。

2. 主机A利用工具，发起端口扫描，扫描远程主机的特定端口。对扫描软件的更细致说明，请参考web资源库中相关工具使用手册。

(1) 单击“开始”|“运行”|“cmd”，并进入Nmap扫描工具所在目录。

(2) 执行Nmap命令，对远程主机开放的TCP端口同步扫描（范围1-150），将结果保存到C盘tcp.txt中。

(3) 执行Nmap命令，对远程主机开放的UDP端口同步扫描（范围110-140），将结果保存到C盘udp.txt中。

(4) 执行Nmap命令，探测远程目标主机的操作系统。

(5) 执行Nmap命令，对局域网进行Ping探测扫描，并将结果保存在C盘host.txt文件中。

(6) 执行Nmap命令，探测局域网开放指定端口服务主机，包括80、21、23、1433和3306端口。将结果保存到C盘service.txt中。

(7) 主机B同时进行步骤(1)-(6)对主机A进行端口扫描。

3. 根据扫描结果，完成下表

网络地址开放端口MAC地址提供服务操作系统

任务8 漏洞扫描

8.1 漏洞扫描概述

漏洞扫描是一种网络安全扫描技术，它基于局域网或Internet远程检测目标网络或主机安全性。通过漏洞扫描，系统管理员能够发现所维护的Web服务器的各种TCP/IP端口的分配、开放的服务、Web服务软件版本和这些服务及软件呈现在Internet上的安全漏洞。漏洞扫描技术采用积极的、非破坏性的办法来检验系统是否含有安全漏洞。网络安全扫描技术与防火墙、安全监控系统互相配合使用，能够为网络提供很高的安全性。

漏洞扫描分为利用漏洞库的漏洞扫描和利用模拟攻击的漏洞扫描。

利用漏洞库的漏洞扫描包括：CGI漏洞扫描、POP3漏洞扫描、FTP漏洞扫描、SSH漏洞扫描和HTTP漏洞扫描等。

利用模拟攻击的漏洞扫描包括：Unicode遍历目录漏洞探测、FTP弱口令探测、OPENRelay 邮件转发漏洞探测等。

8.2 漏洞扫描原理

1. 漏洞库匹配法

基于漏洞库的漏洞扫描，通过采用漏洞规则匹配技术完成扫描。漏洞库是通过以下途径获取的：安全专家对网络系统的测试、黑客攻击案例的分析以及系统管理员对网络系统安全配置的实际经验。漏洞库信息的完整性和有效性决定了漏洞扫描系统的功能，漏洞库应定期修订和更新。

2. 插件技术（功能模块技术）

插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测系统中存在的漏洞。插件编写规范化后，用户可以自定义新插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单。

8.3 实现步骤

实验操作前实验主机需从Web资源库下载实验所需漏洞扫描工具XScan及MS06040漏洞扫描工具，并从网络拟攻击系统下载MS06040漏洞补丁。

「注」实现过程中，主机A和主机B可同时进行以下步骤。

1. 主机A扫描漏洞

(1) 主机A双击XScan文件夹下xscan_gui.exe，启动XScan。

(2) 主机A设置扫描范围，依次选择菜单栏“设置”｜“扫描参数”菜单项，打开扫描参数对话框。在“检测范围”参数中指定扫描IP的范围，在“指定IP范围”输入要检测的主机IP。

(3) 主机A进行全局设置，本机在“全局设置”的“扫描模块”选项里，可以看到待扫描的各种选项，单击“全选”按钮。“并发扫描”选项中可设置线程和并发主机数量，这里选择默认设置。“其他设置”选项中，选择“无条件扫描”选项。

当对方禁止ICMP回显请求时，如果设置了“跳过没有响应的主机”选项，XScan会自动跳过该主机，自动检测下一台主机。

(4) 主机A插件设置，在“端口相关设置”选项中可以自定义一些需要检测的端口。检测方式有“TCP”、“SYN”两种，TCP方式容易被对方发现，准确性要高一些；SYN则相反。

我们在这里选用TCP方式。

(5) 主机A设置好XScan的相关参数，单击“确定”按钮，然后单击“开始扫描”。XScan 会对远程主机进行详细检测，扫描过程中如果出现错误会在“错误信息”中看到。

(6) 主机A结束扫描。扫描结束以后会自动弹出检测报告，包括漏洞的信息。报告保存在XScan文件夹下的log目录下。报告中可以查看远程主机中开放的端口以及提供的服务。

2. 主机A微软系统漏洞扫描

(1) 主机A双击MS06-040.Scanner.exe，扫描主机B是否存在漏洞。在StartIP和EndIP 中输入主机B的IP。单击check开始扫描。（注：为了保证扫描结果准确，再现过程中针对主机B进行单机扫描）

(2) 记录扫描结果，保存MS06040漏洞主机。

(3) 对存在MS06040漏洞的主机打补丁WindowsServer2003-KB921883-v2-x86-CHS（从网络拟攻击系统下载），并再次进行漏洞扫描，记录扫描结果。

任务9 缓冲区溢出

9.1 缓冲区溢出概述

缓冲区是程序员为保存特定的数据而在计算机内存中预分配的一块连续的存储空间。缓冲区溢出是指在向缓冲区内填充数据时，数据位数超过了缓冲区本身的容量，致使溢出的数据覆盖在合法数据上，而引起系统异常的一种现象。操作系统所使用的缓冲区又被称为“堆栈”。在各个操作进程之间，指令会被临时储存在“堆栈”当中，“堆栈”也会出现缓冲区溢出。

缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。一些高明的“黑客”或者病毒制造者利用缓冲区溢出漏洞，精心编制出“木马”程序或者病毒，伴随覆盖缓冲区的数据侵入被攻击的电脑，造成系统破坏、数据泄密、甚至可以取得系统特权，给用户造成重大的损失。

在缓冲区溢出中，最为危险的是堆栈溢出，因为入侵者可以利用堆栈溢出，在函数返回时改变返回程序的地址，让其跳转到任意地址，带来的危害一种是程序崩溃导致拒绝服务，另外一种就是跳转并且执行一段恶意代码，比如得到shell，然后为所欲为。

缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权。为了达到这个目的，攻击者必须达到如下的两个目标：在程序的地址空间里安排适当的代码；

通过适当的初始化寄存器和内存，让程序跳转到入侵者安排的地址空间执行。

9.2缓冲区溢出原理

当正常的使用者操作程序的时候，所进行的操作一般不会超出程序的运行范围。而黑客却利用缓冲区长度界限向程序中输入超出其常规长度的内容，导致缓冲区的溢出从而破坏程序的堆栈，使程序运行出现特殊的问题转而执行其它指令，以达到攻击的目的。造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数，属于程序开发过程考虑不周到的结果。

当然，随便往缓冲区中填东西造成它溢出一般只会出现“分段错误”而不能达到攻击的目的。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其它命令。如果该程序属于root且有suid权限的话，攻击者就获得了一个有root权限的shell，可以对系统进行任意操作了。

缓冲区溢出攻击之所以成为一种常见安全攻击手段其原因在于缓冲区溢出漏洞太普遍了，并且易于实现。而且，缓冲区溢出成为远程攻击的主要手段其原因在于缓冲区溢出漏洞给予了攻击者他所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。

9.3缓冲区溢出危害

缓冲区溢出漏洞的危害性非常大，与其他一些黑客攻击手段相比更具破坏力和隐蔽性。主要体现在如下几个方面：

(1) 漏洞普遍存在，而且极容易使服务程序停止运行、死机甚至删除数据。

(2) 漏洞在发现之前，一般程序员是不会意识到自己的程序存在漏洞，从而疏忽监测。

(3) 黑客通过缓冲区溢出嵌入的非法程序通常都非常短，而且不像病毒那样存在多个副本，因此，很难在执行过程中被发现。

(4) 由于漏洞存在于防火墙内部，攻击者所发送的字符串一般情况下不会受到防火墙的阻拦，而且，攻击者通过执行核心级代码所获得的本来不运行或没有权限的操作，在防火墙看来是合法的，因此，防火墙是无法检测远程缓冲区溢出攻击的。

(5) 一个完整的核心代码的执行并不一定会使系统报告错误，并可能完全不影响正常程序的运行，因此，系统和用户都很难觉察到攻击的存在。

(6) 缓冲区溢出攻击在没有发生攻击时攻击程序并不会有任何变化，攻击的随机性和不可预测性都使得防御缓冲区溢出攻击变得异常困难。

任务10 ARP 欺骗

10.1 ARP欺骗定义

从前面的介绍可以看出，ARP的致命缺陷是：它不具备任何的认证机制。当有个人请求某个IP地址的MAC时，任何人都可以用MAC地址进行回复，并且这种响应也会被认为是合法的。

ARP并不只在发送了ARP请求后才接收ARP应答。当主机接收到ARP应答数据包的时候，就会对本机的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存表中。此外，由于局域网中数据包不是根据IP地址，而是按照MAC地址进行传输的。所以对主机实施ARP 欺骗就成为可能。

10.2 ARP欺骗原理

假设这样一个网络，一个Hub连接有3台PC机：PC1、PC2和PC3。

PC1的IP地址为172.16.0.1，MAC地址为11-11-11-11-11-11

PC2的IP地址为172.16.0.2，MAC地址为22-22-22-22-22-22

PC3的IP地址为172.16.0.3，MAC地址为33-33-33-33-33-33

正常情况下，PC1的ARP缓存表内容如下：

Internet Address Physical Address Type

172.16.0.3 33-33-33-33-33-33 dynamic

下面PC2要对PC1进行ARP欺骗攻击，目标是更改PC1的ARP缓存表，将与IP地址172.16.0.3映射的MAC更新为PC2的MAC地址，即22-22-22-22-22-22。

PC2向PC1发送一个自己伪造的ARP应答，而这个应答数据中发送方IP地址是172.16.0.3（PC3的IP地址），MAC地址是22-22-22-22-22-22（PC3的MAC地址本来应该是33-33-33-33-33-33,这里被伪造了）。当PC1收到PC2伪造的ARP应答，就会更新本地的ARP缓存（PC1不知道MAC被伪造了），而且PC1不知道这个ARP应答数据是从PC2发送过来的。这样PC1发送给PC3的数据包都变成发送给PC2了。PC1对所发生的变化一点儿都没有意识到，但是接下来的事情就让PC1产生了怀疑，因为它连接不到PC3了，PC2只是接收PC1发给PC3的数据，并没有转发给PC3。

PC2做“man in the middle”（中间人），进行ARP重定向。打开自己的IP转发功能，将PC1发送过来的数据包转发给PC3，就好比一个路由器一样，而PC3接收到的数据包完全认为是从PC1发送来的。不过，PC3发送的数据包又直接传递给PC1，倘若再次进行对PC3的ARP欺骗，那么PC2就完全成为PC1与PC3的中间桥梁，对于PC1与PC3的通讯就可以了

如指掌了。

10.3 ARP命令解释

ARP是一个重要的TCP/IP协议，并且用于确定对应IP地址的网卡物理地址。使用arp 命令，能够查看本地计算机或另一台计算机的ARP缓冲表中的当前内容。此外，使用arp 命令，也可以用人工方式输入静态的IP/MAC地址对。

缺省状态下，ARP缓存表中的项目是动态的（图24-1-1中Type=dynamic），每当发送一个指定地点的数据帧且缓存表不存在当前项目时，ARP便会自动添加该项目。一旦缓存表的项目被添加，它们就已经开始走向失效状态。例如，在Windows 2003网络中，如果添加的缓存项目没有被进一步使用，该项目就会在2至10分钟内失效。因此，如果ARP缓存表中项目很少或根本没有时，请不要奇怪，通过另一台计算机或路由器的ping命令即可添加。

下面是ARP常用命令选项：

（1）arp -a

用于查看缓存表中的所有项目。

Linux平台下arp -e输出更易于阅读。

（2）arp -a IP

只显示包含指定IP的缓存表项目。

（3）arp -s IP MAC地址

向ARP缓存表中添加静态项目（图24-1-1中Type=static），该项目在计算机启动过程中一直有效。

例如添加IP地址为172.16.0.152，映射MAC地址为00-0c-29-95-b5-e9的静态ARP缓存表项，命令如下：

arp -s 172.16.0.152 00-0c-29-95-b5-e9（Windows平台）

arp -s 172.16.0.152 00:0c:29:95:b5:e9（Linux平台）

（4）arp -d IP

删除ARP缓存表中静态项目。

任务11 网络嗅探

11.1 网络嗅探概述

网络嗅探就是指利用嗅探器采集和捕获网络中传递的数据包中的信息。它是利用计算机的网络接口截获目的地为其它计算机的数据报文的一种手段，是网络监控系统的实现基础。

11.2 网络嗅探原理

1. ARP欺骗

按照ARP协议的设计，为了减少网络上过多的ARP数据通信，一台主机，即使受到的ARP应答并非自己请求得到的，它也会将其插入到自己的ARP缓存表中，这样，就造成了“ARP 欺骗”的可能。如果黑客想探听同一网络中两台主机之间的通信，他会分别给这两台主机发送一个ARP应答包，让两台主机都“误”认为对方的MAC地址是第三方的黑客所在的主机，这样，双方看似“直接”的通信连接，实际上都是通过黑客所在的主机间接进行。黑客一方面得到了想要的通信内容，另一方面，只需要更改数据包中的一些信息，成功地做好转发工作即可。在这种嗅探方式中，黑客所在主机是不需要设置网卡的混杂模式的，因为通信双方

的数据包在物理上都是发给黑客所在的中转主机的。

2. MAC洪水

交换机要负责建立两个节点间的“虚电路”，就必须维护一个交换机端口与MAC地址的映射表，这个映射表是放在交换机内存中的，但由于内存数量的有限，地址映射表可以存储的映射表项也有限。如果恶意攻击者向交换机发送大量的虚假MAC地址数据，有些交换机在应接不暇的情况下，就会像一台普通的Hub那样只是简单地向所有端口广播数据，嗅探者就可以借机达到窃听的目的。

3. MAC复制

MAC复制实际上就是修改本地的MAC地址，使其与欲嗅探主机的MAC地址相同，这样，交换机将会发现，有两个端口对应相同的MAC地址，于是到该MAC地址的数据包将同时从这两个交换机端口发送出去。这种方法与ARP欺骗有本质的不同，前者是欺骗交换机，后者是毒害主机的ARP缓存而与交换机没有关系。

11.3 实现步骤

实验操作前实验主机需从Web资源库下载ArpSpoof工具。软件压缩包中包含ArpSpoof 软件运行所需的WinPcap程序。

主机A

1．嗅探网络

(1) 主机A安装WinPcap程序，双击解压后的WinPcap程序即可默认安装。

(2) 主机A打开“开始”|“运行”|“cmd”，在命令行下进入ArpSpoof软件目录。

(3) 执行如下命令发起网络嗅探。

(4) 通知主机B登陆邮箱(https://www.360docs.net/doc/4d7564113.html,)。

主机B

2. 登陆邮箱

(5) 主机B在主机A完成操作后，登陆https://www.360docs.net/doc/4d7564113.html,。

(6) 利用用户名：zsoftware和密码：zsoftwarepass登陆邮箱。

主机A

3. 查找敏感信息

(7) 主机A打开c:\sniff.txt文件。查找关键字“username=”，找到嗅探到的用户名。

(8) 查找关键字“password=”，找到登陆的密码。

(9) 主机A利用嗅探到的用户名和密码登陆邮箱，访问https://www.360docs.net/doc/4d7564113.html,。验证能否正常登陆。