网络攻防实验指导书

一、网络攻防实验指导书1、网络嗅探技术实验等级：中实验目的：1.利用嗅探器进行最基本的数据包嗅探2.利用嗅探分析网页数据包中的URL实验环境：可以连通互联网的实验网络所用工具：1.Sniffer Pro2.URL地址嗅探器实验内容：1.Sniffer Pro 协议嗅探及分析2.URL地址嗅探及分析实验请在教师的指导下完成。

实验原理嗅探可通过网卡的混杂模式获取流经网卡的所有数据。

实验内容一：SniffPro 协议嗅探及分析1)安装Sniffer Pro2)在选择sniffer pro的安装目录时，默认是安装在c:\program files\nai\snifferNT目录中，我们可以通过旁边的Browse按钮修改路径，不过为了更好的使用还是建议各位用默认路径进行安装。

3)在注册用户时，注册信息随便填写即可，不过EMAIL一定要符合规范，需要带“@”。

在随后出现的“Sniffer Pro Usr Registration”对话框中，大家注意有一行"Sniffer Serial Number"需要大家填入注册码“SA154-2558Y-255T9-2LASH”4)截出的几张图来参考下：这个就不用说了，人人皆知；释放程序....建议使用英文的字符填写安装程序中建议使用英文的字符填写同上，填写好的建议使用英文的字符填写同上，填写好的phone：是需要填写电话区号等这些可以随意输入阿拉伯数字fax number是输入传真号也随意在sniffer serial number后卖弄输入产品序列号就OK了注册诸多数据后我们就来到设置网络连接状况了，一般对于企业用户只要不是通过“代理服务器”上网的都可以选择第一项——direct connection to the internet。

接下来才是真正的复制sniffer pro必需文件到本地硬盘，完成所有操作后出现setup complete提示，我们点finish按钮完成安装工作。

由于我们在使用sniffer pro时需要将网卡的监听模式切换为混杂，所以不重新启动计算机是无法实现切换功能的，因此在安装的最后，软件会提示重新启动计算机，我们按照提示操作即可重启后即可使用。

依次点击开始——sniffer，启动snifferPro，弹出如下图，选择互动网卡，勾选Log Off 完成后确定，进入sniffer窗口模式，点击File——Log On点按钮，开始监听。

5)Sniffer Pro提供一个Default的过滤器，即捕获所有网卡监听到的数据包，包括任何协议、任何源以及目的地址。

在缺省情况下，只需要选择启动Sniffer Pro捕获数据包，就可以抓到所有流经网络的数据包。

停止抓包后可以对抓到的包进行分析。

6)如果要自己定义过滤器，例如设置一个“telnet”过滤器，在Sniffer Pro工具栏中单击【定义过滤器】按钮，即弹出相应配置面板；然后单击【Profiles】按钮，弹出规则设置面板；单击【New】按钮，添加一个新的过滤规则：7)设置完过滤规则，就可以启动Sniffer Pro来监听并捕捉符合要求的数据包了。

在结果窗口中分三栏，最上面列举捕获数据包的概略信息；中间则是所选单个包的详细分析信息；最下面是以十六进制和ASCII两种格式显示的单个数据包的原始内容：实验思考：这里介绍的嗅探操作方法是最基本的，事实上，SnifferPro还提供更高级更复杂的捕包方法，学员可以参考《聚焦黑客——攻击手段与防护策略》中的详细介绍来自己实验这方面的内容。

图形界面下的嗅探器由很多，材料中还包含了Ethereal,它主要用于进行协议分析，学员自行实验。

除了图形界面的嗅探器，对网络管理员来说，命令行方式的嗅探器或许更常用一些，windump就是其中一个很不错的选择，它源自Unix系统下的tcpdump，是经典的嗅探工具。

还有黑客们常用的shotgun编写的GNUSniff,学员可以自己去实验这方面的内容，详细介绍请参见推荐教材。

通过本实验操作，学员应该掌握各种基本协议数据包捕获分析的方法，其实大多数Sniffer功能都是类似的，操作方式也很相似，都需要设置自己的捕包过滤器。

学员在实际工作当中，可以通过捕包来分析网络中出现的问题。

实验内容一：URL地址嗅探及分析(1)安装URLSnooper软件。

安装中提示如果未安装WinPcap的用户必须在安装成功后安装WinPcap库文件，客户机上已近安装了winpcap4.0，安装时可以取消winpcap2.3的安装重启后才能正确使用URLSnooper软件。

(2)运行URLSnooper软件，在“常规选项”栏中配置网络和启动等相关参数。

选择退出时自动保存配置以及启动时自动载入上次配置。

网络侦测选项中选择目前本机的网卡信息。

配置情况可参考下图所示：(3)在“搜索”栏中点击“侦测网络”按钮。

(4)浏览任意网站，在地址栏中可以查看所有连接的URL地址信息。

(5)使用“快速搜索字符串”提取出关键字的URL信息。

实验思考：该实验介绍了一种专用协议的嗅探器，该嗅探器自动过滤出URL信息，使用起来更加方便。

学员应该从该实验中举一反三，在分析不同的网络问题时可以选择地采用一些较为简单的嗅探器，提高工作的效率。

同时，学员也应该了解到这些嗅探器带来的网络安全方面的威胁，安装专用协议的嗅探器后，入侵者可以十分容易地掌握内部网络的使用情况，以及员工集中访问的服务器信息，通过这些信息进一步进行入侵。

2、网络扫描实验等级：中实验目的：1.掌握网络扫描这种信息探测技术的原理。

2.学会使用常见的端口扫描工具。

3.了解各种常用服务所对应的端口号。

实验内容：1.网络扫描基础2.端口扫描3.漏洞扫描4.特点漏洞扫描实验请在教师的指导下完成。

实验环境：可以连通互联网的实验网络所用工具：1.Superscan2.Nc3.Nmap4.XScan漏洞扫描器5.SSS漏洞扫描器6.RPC特定漏洞扫描器实验原理端口扫描，就是连接到目标系统的TCP和UDP端口上，确定哪些服务正在运行（即处于监听状态的过程）。

端口扫描的实质，是对目标系统的某个端口发送一数据包，根据返回的结果，判断该端口是否打开并处于监听状态。

至于具体发送的数据包类型，则根据各种扫描技术的类型不同而有所不同。

对目标系统执行端口扫描，可以实现多种目的，主要有：•确定运行在目标系统上的TCP服务和UDP服务；•确定目标系统的操作系统类型；•确定特定的应用程序或特定服务的版本。

端口扫描的最大作用是提供目标主机网络服务的清单，通常一个端口对应一种服务。

端口扫描除了可以获得目标主机开放的TCP和UDP端口列表，而且可以通过一些连接测试获得监听端口返回的Banners信息，根据这些信息，可以判断监听端口开放的服务类型和使用的软件版本。

端口扫描的类型有多种，包括：TCP Connect扫描、TCP SYN扫描、TCP FIN扫描、TCP Xmas扫描、TCP Null扫描、TCP ACK扫描、UDP扫描、Ident扫描、FTP Bounce扫描等。

高级的TCP扫描技术中主要利用TCP连接的三次握手特性和TCP数据头中的标志位来进行，也就是所谓的半开扫描。

首先认识一下TCP数据报头的这六个标志位。

•URG：（Urgent Pointer field significant）紧急指针。

用到的时候值为1，用来处理避免TCP数据流中断。

•ACK：（Acknowledgment field significant）置1时表示确认号（Acknowledgment Number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。

•PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。

•RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。

如果接收到RST位时候，通常发生了某些错误。

•SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。

即，SYN和ACK来区分Connection Request和Connection Accepted。

•FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。

TCP协议连接的三次握手过程是这样的：首先客户端（请求方）在连接请求中，发送SYN=1，ACK=0的TCP数据包给服务器端（接收请求端），表示要求同服务器端建立一个连接；然后如果服务器端响应这个连接，就返回一个SYN=1，ACK=1的数据报给客户端，表示服务器端同意这个连接，并要求客户端确认；最后客户端就再发送SYN=0，ACK=1的数据包给服务器端，表示确认建立连接。

因此，就可以利用这些标志位和TCP协议连接的三次握手特性来进行扫描探测。

•SYN 扫描这种扫描方式也被称为“半打开” 扫描，因为利用了TCP协议连接的第一步，并且没有建立一个完整的TCP连接。

实现办法是向远端主机某端口发送一个只有SYN标志位的TCP数据报，如果主机反馈一个SYN ││ ACK数据包，那么，这个主机正在监听该端口，如果反馈的是RST数据包，说明，主机没有监听该端口。

•ACK 扫描发送一个只有ACK标志的TCP数据报给主机，如果主机反馈一个TCP RST数据报来，那么这个主机是存在的。

也可以通过这种技术来确定对方防火墙是否是简单的分组过滤，还是一个基于状态的防火墙。

•FIN扫描对某端口发送一个TCP FIN数据报给远端主机。

如果主机没有任何反馈，那么这个主机是存在的，而且正在监听这个端口；主机反馈一个TCP RST回来，那么说明该主机是存在的，但是没有监听这个端口。

•NULL扫描即发送一个没有任何标志位的TCP包，根据RFC793，如果目标主机的相应端口是关闭的话，应该发送回一个RST数据包。

•FIN+URG+PUSH扫描向目标主机发送一个Fin、URG和PUSH分组，根据RFC793，如果目标主机的相应端口是关闭的，那么应该返回一个RST标志。

上面这些技术可以绕过一些防火墙，从而得到防火墙后面的主机信息，当然，是在不被欺骗的情况下的。

这些方法还有一个好处就是比较难于被记录，有的办法即使在用netstat命令上也根本显示不出来，而且一般的安全防护设备也根本不记录这些内容，这样能够更好地隐藏自己。

实验内容一：网络端口基础本实验分三个部分。

【一】使用Antiport查看本地开启的端口（1）在A机上运行ie并浏览网页，使用ping确认网址ip:Ping 。