實(shí)驗(yàn)一 網(wǎng)絡(luò)信息收集一、實(shí)驗(yàn)?zāi)康模壕W(wǎng)絡(luò)信息收集是非常重要的，通過獲取的數(shù)據(jù)可以分析網(wǎng)絡(luò)安全系統(tǒng)，也可以利用它獲取被攻擊方的漏洞，無論是從網(wǎng)絡(luò)管理員的安全角度，還是從攻擊者角度出發(fā)，它是非常重要的、不

實(shí)驗(yàn)一 網(wǎng)絡(luò)信息收集

一、實(shí)驗(yàn)?zāi)康模?/p>

網(wǎng)絡(luò)信息收集是非常重要的，通過獲取的數(shù)據(jù)可以分析網(wǎng)絡(luò)安全系統(tǒng)，也可以利用它獲取被攻擊方的漏洞，無論是從網(wǎng)絡(luò)管理員的安全角度，還是從攻擊者角度出發(fā)，它是非常重要的、不可缺少的步驟。要求學(xué)生掌握信息收集的方法，使用常見掃描器，分析所獲取的數(shù)據(jù)，解釋數(shù)據(jù)與漏洞的關(guān)系，掌握網(wǎng)絡(luò)掃描器的程序設(shè)計(jì)。

二、實(shí)驗(yàn)內(nèi)容和方法：

1、SuperScan 4.0掃描器

掌握常見的掃描器軟件使用方法，如：SATAN 、流光、CIS 、SuperScan 。要求學(xué)生在上機(jī)時(shí)根據(jù)自己使用的掃描器軟件對(duì)實(shí)驗(yàn)室網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對(duì)掃描的結(jié)果作出正確的分析，根據(jù)分析評(píng)估網(wǎng)絡(luò)系統(tǒng)安全性，必要時(shí)關(guān)閉危險(xiǎn)端口，合理配置計(jì)算機(jī)系統(tǒng)。 以Windows 上運(yùn)行SuperScan 4.0掃描器為例，對(duì)目標(biāo)主機(jī)(安裝了WWW 和FTP 服務(wù)的IP 地址為192.168.0.3的Windows Server 2003主機(jī)) 掃描后得到的信息如圖1所示。

圖1 端口掃描

單擊“查看HTML 報(bào)告”打開掃描報(bào)告，如圖2所示。

從掃描報(bào)告中可以看到掃描出的TCP 和UDP 端口號(hào)及端口服務(wù)信息，如FTP 服務(wù)中的用戶名為“ano nymous”，允許匿名登錄。

運(yùn)行【SuperScan 4.0】窗口中的“工具”選項(xiàng)卡，可以用內(nèi)部集成的測(cè)試工具對(duì)目標(biāo)主機(jī)進(jìn)行探測(cè)，如圖3所示。

圖2 端口掃描詳細(xì)報(bào)告

圖3 掃描工具

運(yùn)行【SuperScan 4.0】窗口中的“Windows 枚舉”選項(xiàng)卡，可以用內(nèi)部集成的測(cè)試工具對(duì)目標(biāo)主機(jī)進(jìn)行探測(cè)，如圖4所示。

從掃描的信息中可以發(fā)現(xiàn)目標(biāo)主機(jī)系統(tǒng)漏洞，如MAC 地址、共享資源、空鏈接、系統(tǒng)運(yùn)行服務(wù)、磁盤分區(qū)、注冊(cè)表信息，等等，通常我們可以在目標(biāo)主機(jī)系統(tǒng)中發(fā)現(xiàn)許多可以被利用來進(jìn)行攻擊的漏洞。

圖 4 漏洞掃描

2、Windows Server 2003網(wǎng)絡(luò)監(jiān)聽

Windows 系統(tǒng)中本身就帶有具有網(wǎng)絡(luò)監(jiān)聽功能的管理工具——網(wǎng)絡(luò)監(jiān)視器。主機(jī)A 安裝Windows Server 2003、FTP 服務(wù)器，并在系統(tǒng)中開設(shè)一個(gè)帳戶ftp-user ，密碼設(shè)置為ftp-user-password 。本實(shí)例要實(shí)現(xiàn)使用網(wǎng)絡(luò)監(jiān)視器對(duì)本主機(jī)進(jìn)行監(jiān)聽，捕獲主機(jī)B 訪問本主機(jī)FTP 服務(wù)器的用戶名和密碼。

1) 添加網(wǎng)絡(luò)監(jiān)視器

在主機(jī)A 系統(tǒng)中單擊“開始”→“控制面板”→“添加或刪除程序”→“添加/刪除Windows 組件(A)”，在【W(wǎng)indows 組件向?qū)А看翱谥羞x中“管理和監(jiān)視工具”，然后單擊“詳細(xì)信息(D)…”，在【管理和監(jiān)視工具】窗口中將其他自組件取消，只保留“網(wǎng)絡(luò)監(jiān)視工具”一項(xiàng)，如圖5所示。

單擊“確定”按鈕，關(guān)閉【管理和監(jiān)視工具】窗口，在【W(wǎng)indows 組件向?qū)А看翱趩螕簟跋乱徊健卑粹o，將Windows Server 2003安裝光盤放入，完成網(wǎng)絡(luò)監(jiān)視工具組件安裝。最后關(guān)閉所有相關(guān)窗口。

2) 啟動(dòng)網(wǎng)絡(luò)監(jiān)視工具

在主機(jī)A 上單擊“開始”→“所有程序”→“管理工具”→“網(wǎng)絡(luò)監(jiān)視器”

，出現(xiàn)提示

信息窗口，單擊“確定”按鈕，出現(xiàn)【選擇一個(gè)網(wǎng)絡(luò)】窗口，選擇本地連接，如圖6所

圖5 添加網(wǎng)絡(luò)監(jiān)視工具

圖6 選擇監(jiān)聽網(wǎng)絡(luò)

單擊“確定”后出現(xiàn)【本地連接 捕獲窗口】，單擊工具欄中的圖標(biāo)啟動(dòng)捕獲。

在主機(jī)B 中單擊“開始”→“運(yùn)行”，在對(duì)話框中輸入“cmd”，打開DOS 輸入窗口，在此窗口中用已經(jīng)設(shè)置好的用戶名和密碼連接主機(jī)A 上運(yùn)行的FTP 服務(wù)器，瀏覽站點(diǎn)內(nèi)容后退出。如圖7所示。

在主機(jī)B 對(duì)主機(jī)A 訪問的過程中可以看到網(wǎng)絡(luò)監(jiān)視器在進(jìn)行數(shù)據(jù)捕獲，如圖8所示。FTP 服務(wù)斷開后，單擊主機(jī)A 【Microsoft 網(wǎng)絡(luò)監(jiān)視器】窗口菜單中的“捕獲”→“停止并查看”，顯示【捕獲： 2(總結(jié)) 】窗口，如圖9所示。

圖7 遠(yuǎn)程FTP 訪問 圖8 數(shù)據(jù)捕獲窗口

圖9 顯示捕獲數(shù)據(jù)

可以看到遠(yuǎn)程主機(jī)B 訪問主機(jī)A 上的FTP 服務(wù)時(shí)輸入的用戶名“ftp-user”，密碼“ftp-user-password”，登錄成功后做的操作“NLST”，以及退出操作“QUIT”。

圖10 表達(dá)式篩選

如果監(jiān)聽的數(shù)據(jù)量很大，則可單擊【W(wǎng)indows 網(wǎng)絡(luò)監(jiān)視器】窗口菜單“顯示”→“篩選器(F)…”，選中左側(cè)對(duì)話框中的“Protocol = = Any”，單擊“編輯表達(dá)式(P)…”→“全部禁用”；在右側(cè)“被禁用的協(xié)議”對(duì)話框中選擇“FTP”協(xié)議，單擊“啟用(E)”按鈕，運(yùn)行結(jié)果如圖10所示。

單擊“確定”按鈕回到【顯示篩選器】窗口，再單擊“確定”按鈕，出現(xiàn)篩選后的FTP 訪問信息，可以清楚地看到完整的遠(yuǎn)程訪問FTP 服務(wù)過程，如圖11所示。

圖11 篩選后的數(shù)據(jù)

由此可見，用網(wǎng)絡(luò)監(jiān)聽技術(shù)可以捕獲多數(shù)明文數(shù)據(jù)的敏感信息。

3、系統(tǒng)服務(wù)入侵與防范

基于認(rèn)證的網(wǎng)絡(luò)服務(wù)攻擊主要有針對(duì)IPC$、T elnet 和計(jì)算機(jī)管理三種入侵技術(shù)，攻擊的前提是，使用這些服務(wù)的用戶名和密碼過于簡(jiǎn)單，已經(jīng)被入侵者掌握。常用的DOS 網(wǎng)絡(luò)入侵命令如下：

net user：系統(tǒng)帳號(hào)類操作；

net localgroup：用來管理工作組；

net use：遠(yuǎn)程連接、映射操作；

net send：信使命令；

net time：查看目標(biāo)計(jì)算機(jī)的系統(tǒng)時(shí)間；

at：用來建立計(jì)劃任務(wù)；

netstat -n：查看本機(jī)網(wǎng)絡(luò)連接狀態(tài)；

nbtstat -a IP：查看指定IP 主機(jī)的NetBIOS 信息。

可以參照Windows 系統(tǒng)F1幫助文件中的“命令行”來了解這些命令的詳細(xì)描述和參數(shù)。

4、木馬實(shí)例入侵實(shí)例

灰鴿子是國(guó)內(nèi)第三代木馬的標(biāo)準(zhǔn)軟件，也是國(guó)內(nèi)首次成功地使用反彈端口技術(shù)中第二種方式創(chuàng)建的木馬，同時(shí)也支持傳統(tǒng)方式連接，具有強(qiáng)大的遠(yuǎn)程控制功能，并且能夠方便地控制動(dòng)態(tài)IP 地址和局域網(wǎng)內(nèi)的遠(yuǎn)程主機(jī)?；银澴拥闹鹘缑嫒鐖D12所示。

圖12 灰鴿子主界面

灰鴿子可以控制系統(tǒng)為Windows 9X/me/NT/2000/XP/2003的遠(yuǎn)程主機(jī)，當(dāng)服務(wù)端設(shè)置成自動(dòng)上線型時(shí)，可以有外網(wǎng)控制外網(wǎng)、外網(wǎng)控制內(nèi)網(wǎng)及同在一局域網(wǎng)三種控制方式；當(dāng)服務(wù)端配置為主動(dòng)連接型時(shí)，可以有外網(wǎng)控制外網(wǎng)、內(nèi)網(wǎng)控制外網(wǎng)及同在一局域網(wǎng)三種控制方式。其中外網(wǎng)為有互聯(lián)網(wǎng)IP 地址的計(jì)算機(jī)，內(nèi)網(wǎng)為在局域網(wǎng)內(nèi)部可以上網(wǎng)的計(jì)算機(jī)，如網(wǎng)吧中的普通計(jì)算機(jī)。

使用灰鴿子“反彈端口”進(jìn)行連接的一般思路為：設(shè)置中間代理，配置服務(wù)程序，種植木馬，域名更新IP ，等待遠(yuǎn)程主機(jī)自動(dòng)上線，控制遠(yuǎn)程主機(jī)。

⑴ 設(shè)置中間代理

灰鴿子使用的是反彈端口技術(shù)的第二種連接方式，是通過免費(fèi)域名提供的動(dòng)態(tài)IP 映射來實(shí)現(xiàn)中間代理，下面介紹具體的設(shè)置方法。

在配置服務(wù)器端程序之前，需要申請(qǐng)動(dòng)態(tài)域名，動(dòng)態(tài)域名是隨時(shí)可以更新映射IP 的域名，這種域名恰恰實(shí)現(xiàn)了“中間代理”保存客戶端IP 、端口的功能。這里建議使用灰鴿子自帶的功能來申請(qǐng)126.com 域名。

打開灰鴿子客戶端后，選擇“文件(F)”→“自動(dòng)上線”或單擊如圖13所示主界面上“自動(dòng)上線”按鈕來打開【自動(dòng)上線】窗口，然后選擇“注冊(cè)免費(fèi)域名”選項(xiàng)卡，申請(qǐng)126.com 免費(fèi)域名。各參數(shù)填好后單擊“注冊(cè)域名”按鈕進(jìn)行注冊(cè)，參數(shù)填寫如圖14所示。

圖14 注冊(cè)域名

各參數(shù)功能解釋如下：

“域名”：只要滿足域名書寫規(guī)范(字母、數(shù)字、下劃線) ，并且沒有被注冊(cè)的域名即可。

“密碼”：用來管理域名的密碼。

“您的E-mail”：用來和入侵者聯(lián)系的E-mail 。如果填入的E-mail 不存在同樣可以注冊(cè)成功。

“本機(jī)IP 地址”：填入一個(gè)對(duì)遠(yuǎn)程主機(jī)可見的IP 地址，以后遠(yuǎn)程主機(jī)就用這個(gè)IP 地址與入侵者聯(lián)系。

現(xiàn)在來驗(yàn)證免費(fèi)域名是否注冊(cè)成功，打開瀏覽器，鍵入“http://WinVsWin.126.com”，如果回顯中含有本機(jī)IP 地址，那么就說明申請(qǐng)中間代理成功。

2. 配置服務(wù)程序

成功申請(qǐng)了中間代理之后，下一步就要對(duì)木馬服務(wù)端程序進(jìn)行設(shè)置。首先，選擇“文件(F)”→“配置服務(wù)程序”或單擊主界面上的“配置服務(wù)程序”按鈕打開【服務(wù)器配置】窗口，進(jìn)行如下設(shè)置。

(1) 選擇“連接類型”選項(xiàng)卡，然后選中“自動(dòng)上線型”并填入剛才注冊(cè)的域名，這個(gè)域名是用來讓遠(yuǎn)程主機(jī)主動(dòng)去連接的(對(duì)應(yīng)第二種反彈端口方式中的第(2)步) ，其他的不變，如圖6.23所示。

(2) 選擇“安裝信息”選項(xiàng)卡，填好后如圖15所示。