《網絡攻防》第四周學習總結

教材內容總結

網絡嗅探

• 網絡嗅探的定義：網絡嗅探是一種黑客的竊聽技術，嗅探器經過捕獲通過封包處理的二進制數據，再結合網絡協議分析技術，恢復出相應信息。
• 在交換式網絡中，實現嗅探的方式有：
• MAC地址洪泛攻擊
• MAC欺騙
• ARP欺騙
• Linux平臺的網絡嗅探技術主要經過內核態的BPF和用戶態的libpcap抓包工具庫實現
• windows系統中網絡嗅探技術的實現須要與BPF模塊兼容的NPF。它能夠過濾數據包，並將這些數據包原封不動的傳給用戶態模塊。
• 類Unix系統中的網絡嗅探器軟件
  • libpcap抓包開發庫
  • tcpdump嗅探器軟件
  • wireshark嗅探器軟件
  • 其餘嗅探器軟件
• 網絡嗅探的檢測與防範
  • 採用安全的網絡拓撲，儘可能使用交換式網絡，經過交換機上設置VLAN等技術手段，對網絡進行合理的分段
  • 用靜態ARP或者MAC-端口映射表代替動態機制
  • 重視網絡數據傳輸的集中位置點的安全防範
  • 避免使用明文傳輸口令或敏感信息的網絡協議

 網絡協議分析

• 定義：網絡協議分析，是指網絡嗅探器進一步解析與理解捕獲數據包必須的技術手段。經過對原始報文內容的還原，得出各個協議層上的協議格式及其內容，以及在應用層傳輸的實際數據
• 網絡協議分析的幾個步驟
  • 從鏈路層獲取二進制數據包，大多數狀況下是以太網數據幀
  • 根據幀頭的Type字段肯定網絡層協議類型，並提取其中包含的網絡層數據內容
  • 進一步對IP數據包進行分析，肯定傳輸層協議類型（TCP或UDP），並提取其中的傳輸層數據內容
  • 根據TCP或UDP的目標端口肯定具體的應用層協議，並對TCP或UDP數據包進行拼接重組，獲得應用層特定協議的應用交互內容
  • 根據相應的應用層協議對數據進行整合恢復，獲得實際傳輸的數據。
• 網絡協議分析的技術實現
  • 解析以太網數據幀
  • 解析IP數據包
  • 解析TCP數據包
• 網絡協議分析工具wireshark
  • wireshark：wireshark是一款開源的網絡數據包分析工具，其主要做用是捕獲網絡數據包，並對其進行協議分析。

 

kali視頻學習（11——15）

openvas的使用

首先先肯定靶機能夠ping通，而後在openvas界面中添加一個新的目標，點擊new target，以下

在name和manual裏面輸入目標主機的IP地址，其餘保持默認便可。建立完成後會在target當中顯示以下

建立好目標了，下一步就是新建掃描任務，點擊Scan Management——New Task，隨意起一個名字，而後IP地址是正確的便可，其餘均默認

主界面顯示ok

下面就是掃描的詳細信息

掃描結束以後還能夠生成報告，操做很簡單。

kali中的其餘掃描工具

Golismero

golismero含有多種插件，輸入以下命令能夠查看插件列表

使用scan命令掃描靶機，以下

 

Nikto.pl

Nikto是一款開源的網頁服務掃描器，它能夠對網頁服務進行多種掃描。用以下命令能夠掃描靶機

掃描出的漏洞信息以下

 

Lynis系統信息收集整理工具

這個工具是對Linux詳細配置等信息進行枚舉收集，生成易懂的報告文件，使用以下

爲了不交互，能夠在末尾添加-Q，枚舉出的系統信息以下

檢查一些目錄是否存在

查看一些服務和內核的信息

unix-privesc-check

這個工具是一個相似lynis的工具。使用以下命令查看安全設置

包括record hostname，uname，ip信息，是否存在/etc/password，一些可寫的配置文件，/etc/shadow是否可讀等等信息

 

web爬行

針對WEB網站的掃描，每每須要對網站路徑，頁面，帳戶等進行枚舉，這就須要用到web安全中的爬行工具，kali中的web爬行工具以下

kali中的字典存放於/usr/share/wordlist中，便於調用

 

apache-users

這個工具是枚舉apache存在着哪些帳號。命令行中，-h加上目標主機的IP地址，-l是加一個用戶名的字典，這裏使用的是dirbuster中的apache-user-enum-2.0，-p指定端口號，-s看是否有ssl支持，0表示沒有。-e表示返回的狀態碼，-t參數指定線程，好比10個進程

 

cutycapt

這個工具是用來截圖的，使用方法以下

這會生成一個圖片在當前目錄下面

 

DIRB

一個強大的web目錄掃描工具，命令行輸入dirb能夠獲得下面的使用示例

 

 

dirbuster

這是kali下的圖形化web目錄掃描器，擁有直觀的的掃描結果

 

 

vega

kali下的一個web漏洞掃描器

只須要點scan，輸入ip地址便可掃描

 

webslayer

主要用於爆破攻擊

這個工具在web中間代理的章節再作介紹

 

 

WEB漏洞掃描

cadaver

這個工具是一個用來瀏覽和修改WebDAV共享的Unix命令行程序。這種工具就是以一種客戶端，命令行的格式連接webdav

 

DAVtest

測試對支持WebDAV的服務器上傳文件等

語法：davtest -url http：//222.28.136.226/dav/

 

deblaze

針對FLASH遠程調用等的枚舉，通常在xss或者較深刻的web安全中可能會用到

 

Fimap

文件包含漏洞利用工具

 

Grabber

Grabber是一個WEB應用漏洞掃描器，能夠指定掃描漏洞類型結合爬蟲對網站進行安全掃描

 

joomscan

相似於Wpscan的掃描器，針對特定CMS

 

SkipFish

skipfish是谷歌出品的一款自動化的網絡安全掃描工具，與Nikto，Nessus等工具備類似的功能。它的語法以下：

執行完以後開始發包掃描

掃描結束以後，打開以前建立的report123目錄，在目錄下找到index.html文件，用瀏覽器打開，就能夠看到這個頁面

 

uniscan

 這個工具能夠勾選一些選項，而後加上url，而後直接開始掃描就好了

 

W3AF

w3af是一個web應用程序攻擊和檢查框架，包括檢查網站爬蟲，SQL注入，跨站（XSS），本地文件包含（LFI），遠程文件包含（RFI）等。該項目的目標是要創建一個框架，以尋找和開發web應用安全漏洞，因此很容易使用和擴展

 

wapiti

wapiti的工做方式與nikto相似，也採用黑盒的方式主動對被測web應用進行掃描，尋找其中潛在的安全缺陷。

它掃描的方式就是，python wapiti.py http://www.xxxxxx.com -v 2

 

webshag

一個綜合性的調用框架，能夠調用Nmap，UScan，信息收集，爬蟲等功能，是掃描過程更簡單

 

websploit

主要用於遠程掃描和分析系統漏洞，使用它能夠很是容易和快速發現系統中存在的問題，並用於深刻分析

 

 

 

wireshark的使用

首先是wireshark的界面，在interface list 中選取etho這塊網卡，點擊Start，便可開始抓包。

從左向右，第一列是編號，第二列是抓包的時間。第三列是所抓報文的源，源地址如果二層報文，則顯示的是MAC地址，若是是三層以上的報文，會顯示一個IP地址。第四列是目標，同第三列相同，要麼是目標MAC，要麼是目標IP。第五列是報文的協議。最後一列是關於報文信息的描述。

咱們隨便點擊一個，ARP請求報文，能夠看到底部有以下圖所示的詳細信息。

能夠看到，它的目標mac是全f，源mac是00：e0：4c：68：01：20，等等其餘的信息

再下面就是報文中的原始字段，爲16進製表示。點擊就能夠看到中間欄中對該字段的解釋。

 

接下來就是wireshark的一個很強大的報文過濾功能。，例如須要按照協議來過濾，只須要在filter中輸入協議名稱便可

 

若是想按照目標地址進行過濾，就在filter中輸入ip.dst==222.28.136.223,便可篩選出，以下圖

須要按照源地址進行過濾，就用以下的操做命令

也能夠根據端口號進行過濾，好比須要過濾80端口的數據，就這樣輸入

 

須要過濾二層報文，輸入的條件須要爲eth.addr==mac地址

 

三層報文的過濾是ip.addr

 

若是須要搜索更復雜的條件，就須要使用邏輯表達式來進行搜索，經常使用的邏輯表達式有三種，分別是與，或，非。

例如，咱們想同時顯示ARP報文或HTTP報文，則用or鏈接便可

 

例如，咱們想過濾一個源ip是222.28.136.223，同時仍是TCP協議的報文，只需使用and鏈接

 

例如，咱們想顯示除ip報文之外的全部報文，就要用到非。

這些表達式也能夠組合運用，就再也不演示了。

 

而後就是wireshark另外一個很強大的功能——流分析

首先咱們打開wireshark開始抓包，而後用telnet命令去查看靶機222.28.136.226，這時telnet的過程就被所有捕捉到了。咱們用以前介紹的過濾功能來查看捕捉到的內容

 這時，咱們點擊Analyze——Follow TCP Stream，彈出以下窗口

其中藍色字段顯示的是遠程主機回顯的數據，紅色部分表示咱們輸入的部分，其中能夠看到咱們輸入的密碼等許多信息。

經過這個例子能夠看出，telnet是一種明文的傳輸方式。不夠安全。

wireshark能夠根據咱們產生的一個完整的流來作一些分析，甚至包括用戶名密碼等字段。