20199122 2019-2020-2 《网络攻防实践》第八周作业

1.实践内容

linux操作系统的核心安全机制主要是身份认证、授权与访问控制、安全审计。

linux通过创建多种角色类型的用户及用户组来实施用户身份管理，来确保多个用户安全地使用linux操作系统。
- linux用户分为：root根用户、普通用户、系统用户；用户信息保存在/etc/passwd
- linux用户组就是具有相同特征的用户账号集合，用户组信息保存在/etc/group文件中
- linux支持本地登录用户认证机制和远程登录用户认证机制。
- linux的统一身份认证中间件——PAM（可插入身份认证模块），支持四种管理界面：认证管理、账户管理、密码管理、会话管理。
linux授权与访问控制机制，所有文件与设备资源的访问控制都通过VFS虚拟文件系统来实现，在linux的虚拟文件系统安全模型中，主要通过文件所有者，文件访问权限和一些特殊权限位来进行系统的授权与访问控制。只能将用户分为所有者、所有者所在组和其他用户这三种类别分配权限，无法做到更细粒度的权限控制。
linux安全审计机制主要通过三个主要的日志子系统：连接时间日志、进程统计日志、错误日志记录

攻击者首先利用踩点、扫描和查点等技术手段收集关于目标linux系统的信息，然后攻击者从远程网络发掘某个监听网络服务中安全漏洞或配置弱点，来获取本地shell访问权。

linux远程口令字猜测攻击，最佳防御措施是使用不易猜测的强口令字，在非标准端口上运行容易遭受远程口令猜测攻击的服务，使用一些口令猜测攻击检测与防御软件；使用linux防火墙IPTables限制SSH等易受远程口令猜测攻击网络服务的访问源IP地址范围。
linux网络服务远程渗透攻击
- FTP、Samba等文件共享服务，FTP用于文件交换和共享传输，一般监听20和21端口；Samba是在tcp445端口监听。
- 电子邮件收发服务
- 其他网络服务，如Open SSL（TCP 443端口），OpenSSH（TCP 22端口）
- 安全防范措施：禁用不必要的网络服务、尽量选择更安全的网络协议与服务软件、及时更新网络服务版本、使用xinetd，防火墙为linux网络服务添加网络访问控制、建立入侵检测与应急响应计划流程
攻击Linux客户端程序和用户
- 通过实施社会工程学攻击客户达到渗透
- 防范措施：定期更新软件、提高安全意识
攻击linux路由器和监听器
- 配置ip_forward=1以路由器模式运行，net子系统的route.c实现路由器的寻址与数据包的转发功能。
- 攻击监听器和入侵检测器：Libpcap抓包库、tcpdump命令行程序、Wiresahrk网络监听与协议分析软件、Snort入侵检测系统。
- 防范措施：网络管理员要建立一种安全对抗与博弈的意识；掌握攻击者的渗透入侵手段

使用Metaspolit作为渗透测试软件，攻击Linux靶机上的Samba服务usermap_script安全漏洞，获取Linux靶机的主机访问权限。实践步骤如下：

步骤:

用show options查看默认参数，需设置RHOSTS靶机地址，LHOST攻击机地址，set RHOSTS 192.168.1.125设置靶机地址，set LHOST 192.168.1.100设置攻击机地址，
用run执行攻击
查看结果，可获得靶机ip地址为192.168.1.125

攻击方使用Metasploit渗透软件针对Linux Metasploitable靶机试试网络攻击，防御方在Metasploitable上使用wireshark捕获攻击流
攻击方：使用Metasploit选择Metasploitable靶机中发现的漏洞进行渗透攻击，获得远程控制权，并尝试进一步获得Root权限。
防守方：使用wireshark监听获得网络攻击的数据包文件，并结合wireshark分析攻击过程，获得攻击者的IP地址，目标IP端口、攻击发起时间、攻击利用漏洞、使用shellcode，以及成功之后在本地执行命令输入等信息

步骤：

攻击方ip地址：192.168.1.100，防御方IP地址：192.168.1.125
运用nessus对靶机进行漏洞扫描
查找漏洞，UnrealIRCd Backdoor Detection，存在后门漏洞，UnrealIRCd（一个开源的IRC服务器程序）在DEBUG3_DOLOG_SYSTEM宏中包含外部引入的恶意代码，远程攻击者能够执行任意代码。

打开wireshark抓包，即可看到攻击机ip地址：192.168.1.100，靶机ip地址为：192.168.1.125 ，目标端口为6667
攻击时间从建立连接开始，由nmap扫描可知6667端口开放IRC服务，IRC 一种基于网络的群体聊天方式。可以进行群体聊天也可以进行个人对个人的单独聊天, IRC具有分布式的客户端/服务器结构。用户通过IRC软件连接并登录到到一个IRC服务器，可以访问这个服务器以及它所连接的其他服务器上的频道。选择相应的聊天频道，既可以开始广播式的群里聊天。也可对频道中单独的用户发起聊天。同时wireshark上发现有IRC包，即为攻击unreal IRCd服务。