20212937 曾俊铭《网络攻防实践》

20212937 曾俊铭 2021-2022-2 《网络攻防实践》

1.实践内容

Linux系统远程攻防技术

远程口令字猜测攻击
通过前面提到的服务嗅探用户账户名或者使用缺省内件账户的用户名进行密码猜测。
口令字猜测攻击通常针对使用弱口令的的账户破解。
除了SSH网络服务之外，还可以通过对HTTP/HTTPS、FTP等用于自己账户体系和身份认证机制的网络服务进行猜测。
口令猜测的常用工具如下：Brutus、THC Hydra、Cain and Abel等工具。
防御远程口令猜测技术
确保每个用户都有自己的有效账户和口令字，而不是使用一个账户。
特权账户应避免远程直接登录，只能在本地登录。
口令长度至少达到8位，包含字母、数字和标点符号。
对多次认证失败进行纪录，并在多次无效登录之后断掉连接
不要再自己登录的所有系统上都使用相同的口令字
并要笔录自己的口令字
使用基于公开密钥证书的身份认证机制。
修改网络服务的默认端口。

Linux系统本地安全攻防技术

Linux本地特权提升
本地特权提升的三种常用方式：破解Root用户的口令、发掘su和sudo程序中的安全漏洞以及攻击用户态SUID特权提升漏洞和攻击Linux内核代码特权提升漏洞。
Linux口令字破解：通过/etc/shadow文件中纪录的口令的hash值，获取口令的加密值，后通过已知密文暴力猜测明文。
sudo缺陷进行特权提升：通过sudo程序的漏洞，绕过程序的身份认证机制，获取权限
利用用户态SUID程序：主要包括利用程序漏洞进行特权提升、本地缓冲区溢出攻击、符号连接攻击、竞争条件攻击、共享函数库攻击等
本地特权提升的防范措施
在安装软甲的过程中评估风险
及时对服务器进行升级维护
安全的配置系统，设置强口令字，
使用SELinux等安全增强模块

任务：
使用Metasploit渗透测试软件，攻击Linux靶机上的Samba服务Usermap_script安全漏洞，获取目标Linux靶机的主机访问权限。

攻防对抗实践

攻击方：使用 Metasploit ，选择 Metasploitable 靶机中发现的漏洞进行渗透攻击，获得远程控制权，并尝试进一步获得root权限。
防守方：使用 tcpdump/wireshark/snort 监听获得网络攻击的数据包文件，结合 wireshark/snort 分析攻击过程，获得攻击者的IP、目标IP和端口、攻击发起时间、攻击利用漏洞、使用Shellcode、以及成功之后在命令行输入的信息。

2.实践过程

实践一：
实验环境：攻击机：Kali（192.168.200.2）靶机：Metasploitable2-Linux(192.168.200.123)

打开 kali 并使用 nmap 进行扫描，发现139和445端口已经打开，可以尝试进行攻击

Samba开放端口如下：
tcp：139、445端口
udp：137、138端口

输入 msfconsole 打开 MSF命令行操作界面

找到usermap_script漏洞对应的攻击模块

使用模块

找到其拥有的攻击载荷（本次使用 bind_netcat载荷）

set payload 载荷位置使用该攻击载荷（shellcode）

show options 查看配置参数

set RHOST 192.168.200.123 配置载荷参数的IP为目标主机ip，set LHOST 192.168.200.2 配置载荷参数的IP为源主机ip

exploit/run 启动攻击，成功拿到靶机权限

实践二：

实验环境：
kali:192.168.200.2
Metasploitable2-Linux:192.168.200.123

使用实践一的攻击步骤，利用wireshark抓包分析：
在run之前启动wireshark抓包，然后启动攻击，可以看到首先攻击机向靶机发送一个SMB的Negotiate Protocol Request（协商协议请求）数据报，服务器响应一个SMB的Negotiate Protocol Response（协商协议响应）数据报

然后攻击机向靶机发起一个Session setup X request（会话设置请求）数据报，靶机确认身份后发送一个Session Setup X Response（会话设置响应）数据报同意本次连接

接下来是查看攻击发起时间，时间是2022年4月25日晚上20点21分

还有源端口、目的端口、源地址、目的地址，它们分别是40071，139，192.168.200.2，192.169.200.123。

139端口是一种TCP端口，该端口在你通过网上邻居访问局域网中的共享文件或共享打印机时就能发挥作用copy。139端口一旦被Internet上的某个攻击者利用的话，就能成为一个危害极大的安全漏洞。因为黑客要是与目标主机的139端口建立连接的话，就很有可能浏览到指定网段内所有工作百站中的全部共享信息，甚至可以对目标主机中的共享文件夹进行各种编辑、删除操作，倘度若攻击者还知道目标主机的IP地址和登录帐号的话，还能轻而易举地查看到目标主机中的隐藏共享信息
445端口也是一种TCP端口，该端口在Windows 2000 Server或Windows Server 2003系统中发挥的知作用与139端口是完全相同的。具体地说，它也是提供局域网中文件或打印机共享服务。不过该端口是基于CIFS协议（通用因特网文件系统协议）工作的，而139端口是基于SMB协议（服务器协议族）对外提供共享服务。同样地，攻击者与445端口建立请求连接，也能获得指定道局域网内的各种共享信息