网络攻防实践-实践 1-实践11的基础知识和原理

实践 1 到实践 11 的基础知识和原理

实践一：网络攻防环境的搭建

基础知识

1. 核心组件概念

• 攻击机：是发起网络攻击测试的主体，通常安装有大量专门的攻击工具和软件，如 Kali Linux 系统集成了众多渗透测试工具，能模拟黑客的各种攻击行为。

• 靶机：专门用于承受攻击测试的系统，存在已知的漏洞和弱点，为攻击机提供攻击目标，便于研究攻击与防御方法，如 Metasploitable 系列靶机。

• SEED 虚拟机：为网络安全教育和实验设计的专用虚拟机环境，包含丰富的安全实验案例和工具，助力学习者理解网络安全基本原理。

• 蜜网网关：位于蜜网与外部网络之间的设备，负责监控、捕获和分析进出蜜网的网络流量，同时隔离蜜网与保护内部网络，可追踪和研究网络攻击行为。

• VMWare Workstations：功能强大的虚拟机软件，能在一台物理机上模拟多个独立虚拟系统，支持不同操作系统和应用程序运行，是搭建网络攻防环境的重要平台。

1. 虚拟机网络模式

• 桥接模式：虚拟机如同独立物理机接入物理网络，与物理机及同网络设备处于同一网段，有独立 IP，适合需接入外部网络通信的场景。

• 仅主机模式：虚拟机仅能与物理机及同一物理机上其他仅主机模式虚拟机通信，无法访问外部网络，可构建完全隔离的内部实验环境。

• NAT 模式：虚拟机借助物理机网络访问外部，物理机提供网络地址转换服务，虚拟机在内部有独立 IP，外部网络中请求看似来自物理机 IP，兼顾访问外部和保护虚拟机地址的需求。

原理

1. 网络通信原理：各虚拟机基于 TCP/IP 协议栈通信，IP 地址是通信标识，子网掩码确定网络和主机部分以判断是否同网段，网关是不同网段通信桥梁，数据需经网关转发。

2. 虚拟机运行原理：VMWare Workstations 利用虚拟化技术，在物理机上创建多个独立虚拟硬件环境，虚拟硬件资源由物理机资源虚拟化而来，通过虚拟化层管理分配，使多虚拟机可同时独立运行。

3. 隔离与访问控制原理：蜜网网关通过多个网络接口隔离不同网络区域，配置访问控制规则限制区域间通信，防止攻击扩散，保护网络环境安全。

实践二：网络信息收集技术

基础知识

1. DNS 相关知识：DNS（域名系统）负责将域名解析为 IP 地址，通过 DNS 查询可获取域名注册人、联系方式、对应 IP 等信息。

2. 网络扫描工具

• nmap：开源网络扫描工具，能探测主机是否活跃、开放端口、操作系统版本、安装服务等信息。

• Nessus：开源漏洞扫描工具，可检测目标系统的开放端口及端口上网络服务存在的安全漏洞。

1. 社交平台与即时通讯工具：BBS、论坛、QQ、MSN 等平台存在获取用户 IP 地址的可能性，其通信过程可能泄露相关信息。

2. 搜索引擎：可用于搜索个人在网上的信息足迹，判断是否存在隐私和信息泄漏问题。

原理

1. DNS 查询原理：DNS 采用分布式数据库系统，通过递归查询和迭代查询的方式，将域名解析为 IP 地址，查询过程中可获取域名相关注册信息。

2. 端口扫描原理：nmap 等工具通过发送不同类型的网络数据包到目标主机的端口，根据返回的响应判断端口是否开放、服务类型等，如 TCP SYN 扫描通过发送 SYN 包，根据 SYN-ACK 或 RST 响应判断端口状态。

3. 漏洞扫描原理：Nessus 等工具通过发送特定的检测数据包到目标系统，依据系统的响应判断是否存在已知漏洞，其原理基于漏洞数据库中的特征和检测规则。

实践三：网络嗅探与协议分析

基础知识

1. 嗅探工具

• tcpdump：命令行式的网络数据包捕获工具，可对网络流量进行嗅探和分析。

• Wireshark：图形化的网络协议分析器，能捕获和分析各种网络数据包，支持多种协议解析。

1. 网络协议：如 HTTP、TELNET 等协议，TELNET 是一种用于远程登录的协议，其数据传输未加密，存在安全隐患。

2. 网络扫描与攻击痕迹：通过分析网络数据包（如 listen.cap 文件），可获取攻击主机 IP、目标 IP、扫描工具、扫描方法等信息。

原理

1. 网络嗅探原理：在共享网络环境中，网络接口默认处于混杂模式时可接收所有经过的数据包，嗅探工具正是利用这一特性捕获网络流量，从而实现对网络通信的监控和分析。

2. 协议分析原理：不同的网络协议有特定的格式和字段，Wireshark 等工具通过解析数据包的协议格式，提取出源地址、目的地址、数据内容等信息，帮助分析协议的工作过程和潜在问题，如 TELNET 协议会明文传输用户名和口令，可通过分析其数据包获取。

实践四：TCP/IP 网络协议攻击

基础知识

1. TCP/IP 协议栈：包括 ARP、ICMP、TCP 等协议，这些协议在设计上存在一些安全缺陷，可能被用于攻击。

2. 常见协议攻击类型：ARP 缓存欺骗攻击、ICMP 重定向攻击、SYN Flood 攻击、TCP RST 攻击、TCP 会话劫持攻击等。

原理

1. ARP 缓存欺骗攻击原理：ARP 协议无身份验证机制，攻击者发送伪造的 ARP 应答包，使目标主机更新 ARP 缓存，将网关或其他主机的 IP 地址映射到攻击者的 MAC 地址，导致网络流量被劫持。

2. ICMP 重定向攻击原理：利用 ICMP 重定向报文的功能，攻击者发送伪造的 ICMP 重定向报文给目标主机，误导目标主机改变路由表，将网络流量导向攻击者指定的路径。

3. SYN Flood 攻击原理：攻击者向目标主机发送大量的 SYN 请求报文，但不回应目标主机的 SYN-ACK 报文，使目标主机的 TCP 连接队列被占满，无法处理正常的连接请求，导致服务不可用。

4. TCP RST 攻击原理：攻击者通过分析正在进行的 TCP 会话，发送伪造的 TCP RST 报文，使通信双方断开连接，破坏正常的网络通信。

5. TCP 会话劫持攻击原理：攻击者窃取 TCP 会话的序列号等信息，伪造 TCP 报文参与会话，从而接管该 TCP 会话，获取或篡改通信数据。

实践五：网络安全防范技术

基础知识

1. 防火墙：分为硬件防火墙和软件防火墙，如 Linux 的 iptables、Windows 的个人防火墙，用于控制网络访问，过滤数据包。

2. 入侵检测系统（IDS）/ 入侵防御系统（IPS）：Snort 是一款开源的 IDS/IPS 工具，可对网络流量进行检测和分析，发现入侵行为并发出警报或采取防御措施。

3. 蜜网网关：集成了防火墙和 IDS/IPS 等技术，用于捕获和分析攻击数据，同时控制攻击行为。

原理

1. 防火墙工作原理：根据预设的规则对进出网络的数据包进行过滤，如过滤 ICMP 数据包可阻止主机接收 Ping 包；通过设置访问控制规则，只允许特定 IP 地址访问特定服务，实现网络访问控制。

2. Snort 工作原理：Snort 通过对网络数据包进行模式匹配，将数据包与规则库中的规则进行比对，若匹配则发出警报。它可以从离线的 pcap 文件读取数据，配置输出报警日志文件和目录，便于分析网络攻击。

3. 蜜网网关防护原理：蜜网网关通过防火墙规则控制进出蜜网的流量，只允许特定类型的流量通过；同时利用 IDS/IPS 检测和分析网络攻击行为，捕获攻击数据，实现对攻击的监控和分析，从而保护内部网络。

实践六：Windows 操作系统安全攻防

基础知识

1. Metasploit 框架：一款开源的渗透测试框架，包含大量的漏洞利用模块和攻击载荷，可用于对 Windows 等操作系统进行远程渗透攻击。

2. Windows 漏洞：如 MS08-067 漏洞，是 Windows 系统中的一个远程代码执行漏洞，攻击者可利用该漏洞获取目标主机的访问权。

3. 取证分析工具：用于分析系统被攻击后的痕迹，提取攻击过程中的相关信息。

原理

1. 远程渗透攻击原理：Metasploit 框架利用目标系统的已知漏洞，通过发送特定的攻击数据包，在目标系统上执行恶意代码（攻击载荷），从而获取目标系统的访问权，如利用 MS08-067 漏洞，攻击者可发送精心构造的数据包，触发漏洞并执行 shellcode 获取远程控制会话。

2. 取证分析原理：通过分析系统日志、网络数据包、注册表等信息，还原攻击过程，确定攻击者使用的工具、攻击方法、获得访问权限后的操作等，为防范类似攻击提供依据。

实践七：Linux 操作系统攻防

基础知识

1. Linux 系统服务：如 Samba 服务，用于实现 Linux 与 Windows 系统之间的文件和打印机共享，可能存在安全漏洞，如 Usermap_script 安全漏洞。

2. Metasploit 框架在 Linux 攻击中的应用：可利用 Linux 系统服务的漏洞进行渗透攻击，获取目标系统的访问权限。

3. 网络监听工具：如 tcpdump、wireshark、snort，用于监听网络攻击数据包，分析攻击过程。

原理

1. Linux 远程渗透攻击原理：以 Samba 服务的 Usermap_script 漏洞为例，攻击者利用该漏洞通过构造特定的请求，在目标 Linux 系统上执行任意命令，从而获取远程 Shell 和主机访问权限。Metasploit 的 exploit/multi/samba/usermap_script 模块正是针对该漏洞设计，通过设置相关参数执行攻击。

2. 攻防对抗原理：攻击方利用 Metasploit 选择合适的漏洞和攻击载荷进行攻击，获取目标系统控制权；防守方通过网络监听工具捕获攻击数据包，分析攻击者 IP、目标 IP 和端口、攻击漏洞等信息，从而采取相应的防御措施。

实践八：恶意代码分析实践

基础知识

1. 恶意代码相关概念：恶意代码是指能够破坏计算机系统、窃取数据等具有恶意行为的程序，包括病毒、蠕虫、木马等。

2. 恶意代码分析工具

• 文件类型识别工具：用于识别恶意代码样本的文件格式、运行平台和加壳工具。

• 脱壳工具：如超级巡警脱壳机，用于去除恶意代码的加壳保护，以便进行后续分析。

• 字符串提取工具：从脱壳后的恶意代码中提取字符串信息，帮助分析其功能和特征。

• 静态反汇编工具（如 IDA Pro）：对恶意代码进行静态分析，了解其汇编指令和程序结构。

• 动态调试工具：用于在程序运行过程中观察其行为和状态。

1. IRC（互联网中继聊天）：一种多用户网络聊天协议，常被用于僵尸网络的控制和通信。

2. 僵尸网络：由大量被恶意代码感染的计算机组成的网络，受攻击者控制，可用于发起各种网络攻击。

原理

1. 恶意代码加壳与脱壳原理：加壳是通过压缩或加密等方式对恶意代码进行保护，隐藏其真实内容，防止被分析；脱壳则是去除加壳程序，还原恶意代码的原始形态，以便进行分析。

2. 静态分析原理：通过对恶意代码的二进制文件进行反汇编、字符串提取等操作，不运行程序即可了解其功能、结构和潜在行为。

3. 动态分析原理：在受控环境中运行恶意代码，通过监控其系统调用、网络通信、文件操作等行为，分析其实际功能和危害。

4. IRC 与僵尸网络通信原理：僵尸网络中的被控主机（僵尸机）通过 IRC 协议连接到 IRC 服务器，接收攻击者发出的指令，执行相应的攻击或其他恶意行为，IRC 协议的特定消息和端口（如 6667 等）被用于实现这种通信。

实践九：软件安全攻防 -- 缓冲区溢出和 shellcode

基础知识

1. 缓冲区溢出：当程序向缓冲区写入的数据超过其预设大小，多余的数据会覆盖相邻的内存空间，可能导致程序崩溃或被攻击者利用执行恶意代码。

2. 汇编指令：如 NOP（空操作）、JNE（不相等则跳转）、JE（相等则跳转）、JMP（无条件跳转）、CMP（比较）等，了解其机器码对分析和构造攻击代码至关重要。

3. 反汇编与十六进制编程器：反汇编用于将二进制程序转换为汇编指令，十六进制编程器用于直接修改程序的二进制数据。

4. shellcode：一段能够实现特定功能（如获取 shell）的机器码，可通过缓冲区溢出等漏洞注入到目标程序中执行。

原理

1. 缓冲区溢出攻击原理：程序中的函数在处理用户输入时，若未对输入长度进行有效检查，攻击者可构造超长输入字符串，覆盖函数的返回地址等关键内存区域，将返回地址修改为 shellcode 或其他恶意代码的地址，当函数返回时，程序会跳转到该地址执行恶意代码。

2. 程序执行流程修改原理：通过手工修改可执行文件的机器指令，改变程序的跳转地址等，使程序执行流程发生改变，如直接跳转到 getShell 函数。

3. shellcode 注入与执行原理：攻击者构造包含 shellcode 的攻击输入字符串，利用缓冲区溢出漏洞将 shellcode 注入到目标程序的内存中，并通过覆盖返回地址使其指向 shellcode 的起始地址，从而使 shellcode 被执行。

实践十：Web 应用程序安全攻防

基础知识

1. SQL 注入：是 Web 应用程序中常见的安全漏洞，由于对用户输入的 SQL 语句缺乏有效过滤，攻击者可注入恶意 SQL 代码，获取或篡改数据库中的数据。

2. XSS（跨站脚本攻击）：攻击者在 Web 页面中注入恶意脚本，当用户访问该页面时，脚本在用户浏览器中执行，可窃取用户信息、篡改页面内容等。

3. Web 应用程序角色：如管理员和员工，不同角色拥有不同的权限，权限控制不当可能导致安全漏洞。

4. 防御技术：如输入验证、参数化查询（用于防御 SQL 注入）、输出编码（用于防御 XSS）等。

原理

1. SQL 注入攻击原理：Web 应用程序在构建 SQL 查询语句时，直接将用户输入拼接到查询语句中，攻击者通过输入特殊的 SQL 代码，改变查询语句的结构和逻辑，从而执行未授权的数据库操作，如在登录页面注入恶意 SQL 代码绕过密码验证。

2. XSS 攻击原理：Web 应用程序未对用户输入的内容进行严格过滤和编码，攻击者将恶意 JavaScript 代码注入到页面中，当其他用户访问该页面时，恶意代码在用户的浏览器中执行，利用用户的权限执行各种操作，如窃取 cookie、冒充用户操作等。

3. 防御原理：输入验证通过检查用户输入的合法性，拒绝恶意输入；参数化查询将 SQL 语句中的参数与用户输入分离，防止 SQL 注入；输出编码将用户输入的内容进行编码处理，使其在页面中以文本形式显示，而不是作为脚本执行，从而防御 XSS 攻击。

实践十一：浏览器安全攻防实践

基础知识

1. Web 浏览器漏洞：浏览器软件存在的安全缺陷，可能被攻击者利用进行渗透攻击，如 MS06-014 漏洞。

2. 网页木马：嵌入恶意代码的网页，当用户浏览该网页时，恶意代码利用浏览器漏洞在用户计算机上执行恶意操作。

3. Metasploit 框架在浏览器攻击中的应用：可利用其漏洞利用模块构造恶意网页木马脚本，实施浏览器渗透攻击。

4. 代码混淆与解混淆：攻击者对渗透代码进行混淆处理，隐藏其真实目的；防守方通过解混淆分析恢复代码原始形态，了解攻击意图。

原理

1. 浏览器渗透攻击原理：攻击者利用浏览器的安全漏洞，构造包含恶意代码的网页木马，当用户使用存在漏洞的浏览器访问该网页时，恶意代码被执行，攻击者可获取用户计算机的控制权，如通过 Metasploit 的漏洞模块生成恶意网页，当靶机浏览器访问后，触发漏洞并建立远程控制会话。

2. 网页木马解密与分析原理：网页木马可能通过多层加密或跳转隐藏其恶意代码，通过逐步解密和分析每个文件，确定其最终的恶意行为，如通过 MD5 散列值获取对应的文件，进行静态反汇编或动态调试。

3. 代码混淆与解混淆原理：代码混淆通过对代码进行重命名、添加无关代码、加密等方式，增加代码的复杂性和可读性难度；解混淆则通过分析代码结构、去除无关内容、解密等操作，恢复代码的原始逻辑和功能，以便分析其攻击目标和漏洞。