20253905 2025-2026-2 《网络攻防实践》第4次作业

20253905 2025-2026-2 《网络攻防实践》第4次作业

1.实验内容

1.1 ARP缓存欺骗攻击

• ARP缓存欺骗攻击是局域网内最常见的中间人攻击，它利用地址解析协议（ARP）仅完成IP地址与MAC地址映射、无身份验证与报文校验的设计漏洞开展攻击。攻击者会主动向目标主机发送伪造的ARP响应报文，强制篡改目标设备本地ARP缓存中的IP-MAC对应关系，让目标主机把攻击者的MAC地址与合法设备的IP地址绑定，从而将目标主机的通信流量引导至攻击者控制的设备，最终实现流量劫持、数据嗅探、通信阻断或进一步实施中间人攻击，是局域网渗透与流量操控的基础攻击手段。

1.2 ICMP重定向攻击

• ICMP重定向攻击是依托ICMP协议控制报文机制的路由欺骗攻击，正常网络环境中，ICMP重定向报文由合法路由器发送，用于告知主机存在更优的转发路径以优化路由效率。该攻击的核心是攻击者伪造源地址为合法网关的ICMP重定向报文，发送给目标主机，利用协议对重定向报文缺乏源合法性校验的缺陷，欺骗目标主机修改本地路由表，将原本发往正常网关的流量重定向到攻击者指定的节点，进而实现流量监听、数据篡改、中间人攻击，甚至将流量指向无效地址造成网络中断，属于针对主机路由策略的精准欺骗攻击。

1.3 SYN Flood攻击

• SYN Flood攻击是经典的TCP层拒绝服务攻击，核心利用TCP三次握手的协议缺陷实施资源耗尽。攻击者会持续向目标主机发送大量伪造随机源IP的TCP SYN连接请求，目标主机收到SYN包后，会分配系统资源、回复SYN+ACK报文并进入半连接等待状态，由于伪造的源IP无法返回第三次握手的ACK确认包，这些半连接会长期占用目标主机的连接队列与内存资源。当半连接队列被占满后，目标主机无法再处理合法用户的连接请求，最终导致服务不可用，实现对目标主机的拒绝服务攻击。

1.4 TCP RST攻击

• TCP RST攻击是基于TCP协议复位机制的连接阻断攻击，TCP头部的RST标志位原本用于强制终止异常或非法连接，无需经过四次挥手的正常断开流程。攻击者通过嗅探获取目标TCP通信的源IP、目的IP、端口号及序列号等关键信息，伪造携带合法RST标志的TCP数据包，发送给通信的任意一方，目标设备接收到符合规范的RST报文后，会立即无条件中断当前TCP连接。该攻击可快速切断Telnet、SSH、HTTP等基于TCP的应用会话，实现精准、高效的服务中断，是轻量级拒绝服务与会话阻断的常用手段。

1.5 TCP会话劫持攻击

• TCP会话劫持攻击是结合嗅探、欺骗与报文伪造的高级中间人攻击，通常以ARP欺骗等方式搭建中间人链路，先介入目标通信过程。攻击者通过流量嗅探获取目标TCP会话的序列号、确认号等核心会话参数，随后伪造符合会话序列规则的TCP数据包，冒充通信中的客户端或服务器参与会话，直接接管已建立的TCP连接，既可以被动嗅探账号密码、传输数据等敏感信息，也可以主动注入恶意指令、篡改通信内容，在不中断连接的前提下获取会话控制权，隐蔽性与攻击危害都较高。

2.实验过程

2.1 APR缓存欺骗攻击

• linux靶机ping Windows靶机。
  
• MAC地址为00:0c:29:7f:0f:28
  
• 在linux靶机中尝试是否能与win2000虚拟机ping通，然后输入arp -a，查看ARP缓存的信息。
  
• 进入Kali Linux攻击机，提权后输入netwox 80 -e 00:0c:29:f7:39:7f 1 -i 192.168.32.130。
• 在Linux靶机中再次输入arp -a，运行，发现win2000靶机的MAC地址变为00:0c:29:f7:39:7f。
  

2.2 ICMP重定向攻击

• 打开SEED Ubuntu虚拟机，运行route -n，发现该虚拟机的网关为192.168.32.1；然后输入ping baidu.com，发现能ping通，且对面的IP地址为124.237.177.164。
  
• 在Kali Linux攻击机中运行攻击指令netwox 86 -f "host 192.168.32.4" -g 192.168.32.2 -i 192.168.32.1。
• 回到SEED虚拟机中，再次运行ping baidu.com命令，发现目标主机的IP地址被重定向到Kali Linux攻击机了。
  

2.3 SYN Flood攻击

• 在SEED主机的终端中运行命令telnet 192.168.32.130，以命令行的形式访问Linux靶机。
  
• 打开wireshark，能在wireshark中找到正常的TCP-SYN/ACK响应。
  
• 在Kali Linux虚拟机的终端中运行攻击命令netwox 76 -i 192.168.32.130 -p 23，对Linux靶机进行SYN Flood攻击。运行一秒之后，立刻按Ctrl+C停止运行（防止Kali攻击机卡顿）。可以在wireshark中看到许多目的地址为192.168.233.123的SYN数据包，且发送地址为伪造的。
  

2.4 TCP RST攻击

• 无攻击时，SEED主机能够通过telnet的方式访问Linux靶机。
  
• 在Kali Linux攻击机的终端中运行命令netwox 78 -i 192.168.233.130，然后在SEED主机中重新telnet，发现连通后，连接被立即中止了。
  
  

2.5 TCP会话劫持攻击

• 在Kali Linux攻击机中运行Ettercap。单击右上角的对号，开始嗅探。
  
  
  
• 单击“...”-“hosts”-“Scan for hosts”，开始扫描网络中的主机。
• 单击“...”-“Hosts”-“Hosts list”，查看扫描出来的主机。
  
• 选择SEED主机，将其添加到Target1中；选择Linux靶机，将其添加到Target2中。
  
• 运行ARP Poisoning。
  

• 使用SEED Ubuntu向Linux靶机发起登陆telnet 192.168.32.130。
  
  
• 点击后可以看到登录使用的用户名、密码和命令。
  

3.学习中遇到的问题及解决

问题1：在kali操作时，忘了提权。

问题1解决方案：输入sudo su提权。

问题2：进行第五个实验时，发现扫描不到靶机。

问题2解决方案：想到可能是参照了实验一的网络配置，靶机和攻击机不在一个网段内。重新配置网络后，保证实验中的虚拟机在同一个网段内，就可以扫描到靶机了。

4.学习感悟与思考

通过本次网络攻防实践实验，我系统掌握了ARP缓存欺骗、ICMP重定向、SYN Flood、TCP RST及TCP会话劫持五类经典攻击的核心原理与实操方法，直观理解了网络协议在设计上缺乏验证、易被伪造利用的安全缺陷。实操过程让我真切感受到网络攻击的隐蔽性与危害性，也意识到仅依赖协议本身无法保障通信安全。此次实践不仅提升了我的网络攻防动手能力，更树立了严谨的网络安全意识，让我明白在网络防护中，需针对协议漏洞做好加固与防御，为后续深入学习网络安全知识、构建安全防护体系奠定了扎实基础。