20252819 2025-2026-2《网络攻防实践》第四周作业

20252804 2025-2026-2《网络攻防实践》实践四报告

一、实验目的

1. 掌握ARP缓存欺骗攻击的原理与实现方法，理解ARP协议无认证的安全缺陷。
2. 掌握ICMP重定向攻击的实现，理解路由欺骗与流量劫持机制。
3. 掌握SYN Flood拒绝服务攻击，理解TCP半连接耗尽资源的原理。
4. 掌握TCP RST攻击，实现强制中断TCP连接。
5. 掌握TCP会话劫持攻击，实现中间人嗅探与会话控制。

二、实验环境

• 攻击机：Kali Linux（IP：192.168.200.6，MAC：00:0c:29:8d:88:94）
• 靶机1：SEED Ubuntu（IP：192.168.200.8）
• 靶机2：Windows XP Attacker（IP：192.168.200.4）
• 网络模式：VMware VMnet8（NAT），三台主机同网段 192.168.200.0/24
• 工具：netwox、Wireshark、ettercap、telnet、tcpdump

查看各虚拟机的ip地址：

三、实验内容与步骤

3.1 ARP缓存欺骗攻击

原理：利用ARP协议无身份验证，伪造ARP响应包，将靶机IP与攻击机MAC绑定，实现流量劫持。

1. 使用ping命令查看虚拟机Metasploitable_ubuntu与Win2kServer_SP0_target的连通性，可以确认是连通的

ping 192.168.200.131

2. 安装netwox工具

sudo apt update
sudo apt install netwox -y

无法下载
从报错信息来看，核心问题是 无法发起与 mirrors.neusoft.edu.cn:80 (2001:da8:a807::25) 的连接 - connect (101: 网络不可达)，本质是 IPv6 网络不可达导致东软源访问失败，同时系统优先走了 IPv6 链路，最终包下载失败。
直接替换为单一、稳定的国内源，
备份旧源：

·  sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak

编辑源文件：

·  sudo nano /etc/apt/sources.list

全选删除原有内容，粘贴下面的阿里云 Kali 源（国内速度最快、最稳定）：

deb
·  deb http://mirrors.aliyun.com/kali kali-rolling main non-free contrib
deb-src http://mirrors.aliyun.com/kali kali-rolling main non-free contrib

按 Ctrl+O 保存，回车确认，再按 Ctrl+X 退出。

清理缓存 + 重新更新：

sudo apt cleansudo apt update

重新下载成功

3. 查看靶机原始ARP缓存

arp -a

记录真实MAC：00:0C:29:2E:41:E2

4. 执行ARP欺骗

sudo netwox 80 -e 00:0c:29:8d:88:94 -i 192.168.200.131

5. 验证结果
   再次执行arp -a，可见靶机IP对应的MAC已被篡改为攻击机MAC，ARP欺骗成功。
   
   对比第一次的结果：00:0C:29:2E:41:E2（Kali 真实 MAC）→ 现在变成了 00:0C:29:8D:88:94

Win2kServer_SP0_target显示IP地址错误

---

3.2 ICMP重定向攻击

原理：伪造ICMP重定向报文，修改靶机路由表，将外网流量指向攻击机。

1. 查看靶机网关

route -n

得到网关：192.168.200.1

2. 执行重定向攻击

sudo netwox 86 -f "host 192.168.200.8" -g 192.168.200.6 -i 192.168.200.1

使得目标主机的所有外网流量，都会先发送到kaili（192.168.200.6），而不是真实网关，实现流量劫持、监听、断网。

3. 验证
   在SEED Ubuntu执行ping baidu.com，观察路由已被篡改为攻击机IP，流量被劫持。
   

---

3.3 SYN Flood攻击

原理：发送大量伪造源IP的SYN包，不完成三次握手，占满靶机连接队列，导致服务不可用。

1. 在SEED中远程登陆WinXPattacker，输入以及命令及用户名和密码

telnet 192.168.200.4

无法连接
排查后发现是因为wxatteracker的Telnet服务未启动
在服务列表中，双击 tlntsvr 服务，打开属性窗口；
在「常规」选项卡中：
确认启动类型为「自动」（已满足）；
点击 「启动」 按钮，启动服务；

验证服务状态

sc query tlntsvr 

验证23端口监听

netstat -ano | findstr ":23" 

关闭Windows防火墙（必做，否则外部连接被拦截）

net stop sharedaccess

成功登录

2. 登录成功后攻击机执行SYN Flood

sudo netwox 76 -i 192.168.200.4 -p 23

3. 验证
   SEED Ubuntu执行telnet 192.168.200.4，出现连接被拒绝/无法连接；
   Wireshark抓包可见大量SYN包，靶机回复SYN+ACK但无ACK，半连接队列被占满。
   

---

3.4 TCP RST攻击

原理：嗅探TCP连接序列号，伪造RST包强制中断合法连接。

1. SEED Ubuntu建立Telnet连接

telnet 192.168.200.4

2. 攻击机执行RST攻击
   自动嗅探 192.168.200.4 上的所有TCP连接，自动获取正确序列号，自动伪造 RST 包

sudo netwox 78 -i 192.168.200.4

3. 验证
   再次输入telnet 192.168.200.4
   Telnet会话立即被断开，提示Connection closed by foreign host，攻击成功。
   

---

3.5 TCP会话劫持攻击

原理：通过ARP欺骗中间人位置，使用Ettercap嗅探、劫持并查看会话内容。

1. 启动Ettercap图形化界面

sudo ettercap -G

扫描主机，点击右上角对号 → Hosts → Scan for hosts → Hosts list

2. 设置目标

• SEED Ubuntu（192.168.200.8）→ Add to Target 1
• WinXP Attacker（192.168.200.4）→ Add to Target 2
  

3. 开启ARP毒化
   点击小地球 → ARP poisoning → 勾选Sniff remote connections → OK
   

4.在SEED中远程登陆WinXPattacker，输入以及命令及用户名和密码

telnet 192.168.200.4

5. 查看会话
   点击右上角三点 → View → Connections，可查看Telnet登录的用户名、密码、执行命令，会话劫持成功。
   
   

四、实验问题与解决方法

1. 问题：安装netwox失败，提示IPv6网络不可达
   解决：切换阿里云APT源，关闭IPv6，重新执行apt update && apt install netwox。

2. 问题：telnet连接被拒绝（Connection refused）
   解决：WinXP未开启Telnet服务、防火墙拦截。安装tlntsvr、启动服务、关闭防火墙。

3. 问题：命令执行权限不足
   解决：攻击操作前统一加sudo提权。

4. 问题：ICMP重定向不生效
   解决：确认靶机与攻击机同网段，清空路由缓存ip route flush cache后重试。

五、实验总结

本次《网络攻防实践》实验围绕ARP 缓存欺骗、ICMP 重定向、SYN Flood、TCP RST、TCP 会话劫持五大经典网络攻击展开，完整复现了基于 TCP/IP 协议栈原生安全缺陷的攻击流程，深入理解了协议设计、流量交互与安全风险之间的关系。
在实验过程中，我依次完成了流量劫持、拒绝服务、连接中断与会话窃取等典型攻击操作，深刻认识到TCP/IP 协议族在设计之初缺乏身份认证、完整性校验与加密保护，大量协议默认信任内网环境，极易被伪造报文利用。ARP 协议无认证导致主机无条件信任伪造响应，ICMP 重定向无校验导致路由表可被非法篡改，TCP 三次握手依赖序列号导致半连接资源可被耗尽、连接可被强制重置，明文传输与可预测序列号则让会话劫持成为可能。这些缺陷共同构成了内网最常见的攻击面，也是中间人攻击、拒绝服务攻击能够生效的根本原因。
通过实操，我熟练掌握了 netwox、Wireshark、ettercap 等攻防工具的使用，能够独立完成攻击命令构造、流量抓包分析、攻击效果验证与问题排查。在遇到 netwox 安装失败、Telnet 连接被拒、ICMP 重定向不生效、权限不足等问题时，通过更换软件源、开启服务、关闭防火墙、提权执行等方法逐一解决，提升了网络环境排查与故障处理能力。
实验也让我清晰理解了不同攻击的危害与适用场景：ARP 欺骗与 ICMP 重定向可实现流量劫持与监听；SYN Flood 可直接让目标端口拒绝服务；TCP RST 可快速切断合法连接；TCP 会话劫持可在用户无感知的情况下窃取账号密码、篡改通信内容。这些攻击在内网环境中隐蔽性强、防御难度高，对业务连续性与数据安全构成严重威胁。
综合来看，本次实践不仅巩固了网络协议与攻防理论知识，更提升了动手操作、流量分析与安全评估能力。同时也让我意识到，网络安全不能仅依赖协议本身，必须通过 防火墙策略、ARP 防护、路由校验、入侵检测、数据加密、会话认证 等多层防御手段，构建完整的安全体系。未来在网络部署与运维中，应重视协议安全短板，加强内网边界防护与流量监控，从设计、配置到监控全流程提升安全能力，有效防范各类协议层攻击。