20242827 2024-2025-2 《网络攻防实践》课程总结
20242827 2024-2025-2 《网络攻防实践》课程总结
第1次实践
20242827 2024-2025-2 《网络攻防实践》第1周作业
第一次实践其实就是给后边的实验搭建环境，也是第一次正式接触到虚拟机等内容。
1.1 实验环境组成
- 攻击机：安装攻击工具或渗透测试软件的计算机，用于模拟网络攻击以检测系统漏洞。
- 靶机：模拟真实攻击场景的虚拟机，供安全人员测试防御措施。
- SEED虚拟机：特定教学用途的虚拟系统，可能包含预置漏洞或攻防工具。
蜜网组件：
- 蜜罐（Honeypot）：含漏洞的诱捕系统，吸引攻击者入侵以分析攻击行为。
- 蜜网（Honeynet）：由防火墙保护的监控网络，包含蜜罐并捕获攻击流量。
- 蜜网网关（Honey Wall）：管理蜜网与外部网络流量交互的控制节点。
1.2 实验步骤与配置
虚拟机安装与网络设置：
- 使用VMware Workstation部署多台虚拟机，包括Win2kServer、Metasploitable（易受攻击系统）、WinXPattacker（攻击机）及SEED Ubuntu。
- 配置虚拟网络：将VMnet1设为仅主机模式，VMnet8设为NAT模式，并调整子网IP、网关及DHCP设置。
IP地址分配与连通性测试：
- 为各虚拟机分配静态IP（如攻击机网段、蜜网网段，其实我感觉这个IP地址这边还是很重要的，像后续实验还涉及到了动态IP地址的问题），通过ipconfig和ifconfig命令验证配置。
- 测试攻击机、靶机、蜜罐等设备间的网络互通性，确保实验环境正常运行。（后续ping不通可能就是实验一的问题了，要确保这些东西都在一个网段上，还有防火墙的问题。）
第2次实践
20242827 2024-2025-2 《网络攻防实践》第2次作业
2.1 实验目的与实验工具
- 掌握tcpdump、Wireshark等抓包工具的使用，分析网络通信细节。
- 通过嗅探访问指定网站（如www.besti.edu.cn）的过程，统计访问的Web服务器数量及IP地址，并验证其地理位置归属。
2.2 实验环境与配置
- 虚拟机部署：基于Kali Linux系统，配置多台虚拟机（如攻击机、靶机、蜜罐），并设置虚拟网络（VMnet1为仅主机模式，VMnet8为NAT模式）。
- IP地址分配：为各虚拟机分配静态IP（如攻击机IP为192.168.200.129），通过ifconfig命令验证网络配置。
- 蜜网组件：配置蜜网网关（Honey Wall）以监控蜜罐与外部网络的流量交互，并捕获攻击数据包。
2.3 实验步骤与操作
数据包捕获：
- 使用
sudo tcpdump -n src 192.168.200.5 and tcp port 80命令捕获特定源IP的HTTP流量。 - 通过Wireshark过滤并分析TCP、ARP、ICMP等协议数据包，识别攻击行为（如SYN Flood、TCP RST攻击）。
攻击模拟与分析：
- ARP缓存欺骗：利用netwox 80工具伪造ARP响应，篡改目标主机的ARP缓存表，实现流量重定向。
- ICMP重定向攻击：通过发送虚假ICMP重定向消息，修改受害者主机的路由表，将流量引导至攻击者控制的网关。
- SYN Flood攻击：模拟向目标服务器发送大量伪造的SYN请求，耗尽其半开放连接队列资源。
工具联动分析：
- 结合Nmap进行端口扫描（如
nmap -sS -p 1-65535），识别目标主机的开放端口与服务。（nmap -sP IP地址所属的网段：来查询靶机的IP地址是否活跃
。nmap -sS IP地址：查询靶机开放了哪些TCP和UDP端口。namp -O IP地址：查看靶机安装的操作系统和版本号。namp -sV IP地址：查看靶机安装的网络服务。） - 使用P0f工具被动识别操作系统类型（如Linux 2.6.x），验证攻击目标的环境特征。
2.4 实验结果与总结
数据包分析结论：
- 访问指定网站时，浏览器实际访问了多个Web服务器（如通过IPv4会话统计发现），其IP地址归属地为北京市丰台区。
- 捕获的攻击数据包中，SYN标志位占比高，表明可能存在端口扫描行为（如nmap -sV半开扫描）。
技术收获：
- 深入理解了TCP/IP协议栈的工作原理及常见攻击手法（如中间人攻击、拒绝服务攻击）。
- 掌握了使用抓包工具进行网络取证与攻击溯源的方法，提升了网络安全防护能力。
第3次实践
20242827 2024-2025-2 《网络攻防实践》实验三
3.1 实验目标与工具应用
目标：通过嗅探访问指定网站（如www.besti.edu.cn）的过程，统计浏览器实际访问的Web服务器数量及IP地址，并验证其地理位置归属。
工具：
- tcpdump：用于捕获网络接口的数据包，记录流量细节（如源/目的地址、协议类型），并支持保存为文件供后续分析。
- Wireshark：对捕获的数据包进行可视化分析，包括协议解析、流量统计及过滤筛选。
- p0f：被动式操作系统指纹识别工具，通过分析流量特征推断目标系统类型（如Linux 2.6.x）。
3.2 实验步骤与操作
数据包捕获与分析：
- 网站访问嗅探：使用tcpdump捕获访问www.besti.edu.cn的流量，通过过滤条件（如tcp[13]&18=2）识别HTTP请求，发现浏览器实际访问了多个Web服务器，其IP地址归属地为北京市丰台区。
- Telnet明文传输验证：通过
luit -encoding gbk telnet bbs.fozztexx.com访问BBS服务器，使用Wireshark捕获登录过程中的用户名（wjl）和密码（2025），验证Telnet协议的明文传输风险。
攻击流量分析：
- 数据包溯源：对listen.pcap文件进行分析，通过IPv4会话统计识别攻击机（172.31.4.178）与靶机（172.31.4.188），并推测攻击命令（如
nmap -SP存活主机扫描、nmap -O操作系统检测、nmap -sSSYN端口扫描）。 - 端口与服务识别：过滤TCP端口80流量，分析SYN半开扫描行为，结合
nmap -sV命令推断目标主机开放端口（如21、22、80等）及服务类型。
第4次实践
20242827 2024-2025-2 《网络攻防实践》实践四报告
围绕四种网络攻击技术展开，包括ARP缓存欺骗攻击、ICMP重定向攻击、SYN Flood攻击以及TCP RST攻击。
4.1 ARP缓存欺骗攻击
攻击原理：利用ARP协议的弱点，攻击者发送虚假的ARP响应，将目标IP地址映射到自身控制的MAC地址，篡改目标主机的ARP缓存表。
实验过程：在虚拟机环境中，通过netwox 80工具发送虚假ARP响应，成功将MetaSploitable的IP地址与攻击机SeedUbuntu的MAC地址绑定，导致Win2kServer的数据包被重定向至攻击机。
4.2 ICMP重定向攻击
攻击原理：攻击者伪造ICMP重定向消息，欺骗受害者主机修改路由表，将流量引导至攻击者控制的网关。
实验过程：使用netwox 86工具向Kali Linux发送虚假ICMP重定向包，使其将原本发往百度服务器的流量转向攻击机SeedUbuntu，并通过Wireshark捕获重定向后的数据包。
4.3 SYN Flood攻击
攻击原理：通过发送大量伪造的TCP SYN请求，耗尽目标服务器的半开放连接队列资源，导致合法请求无法响应。
实验过程：利用nmap扫描靶机开放端口，再通过netwox 76工具对靶机的22端口发起SYN Flood攻击，观察靶机资源耗尽及服务不可用现象。
4.4 TCP RST攻击
攻击原理：攻击者发送虚假的TCP RST分组，终止正在进行的TCP连接，造成服务中断。
实验过程：监听Kali Linux与靶机之间的TCP通信，发送伪造RST分组，成功中断双方连接。
第5次实践
20242827 2024-2025-2 《网络攻防实践》实践五报告
5.1 防火墙配置实践
任务目标：在Linux系统（iptables）或Windows系统中实现以下功能：
- 过滤ICMP数据包：禁止主机响应Ping请求。
- IP访问控制：仅允许特定IP（如局域网内的Linux攻击机192.168.200.3）访问主机的指定服务（如FTP、HTTP），阻断其他IP（如Windows攻击机192.168.200.4）。
操作步骤：
- 使用
iptables -A INPUT -p icmp -j DROP命令禁止ICMP包，测试后通过iptables -F清除规则。 - 通过
iptables -P INPUT DROP阻断所有入站流量，再通过iptables -A INPUT -p tcp -s 192.168.200.4 -j ACCEPT允许特定IP访问，验证后恢复默认策略。
技术原理：
- iptables功能：基于端口、IP、协议等规则过滤流量，支持网络地址转换（NAT）和连接追踪。
- 防火墙部署：可位于网络边界、主机或应用层，结合入侵检测系统（IDS）和虚拟专用网络（VPN）构建多层防御。
5.2 入侵检测系统（Snort）实践
任务目标：使用Snort对pcap文件进行入侵检测，分析攻击行为。
操作步骤：
- 配置Snort从pcap文件读取数据，设置明文报警日志输出路径。
- 运行Snort检测攻击，生成报警日志。
技术原理：
- Snort功能：通过数据包捕获、预处理（如协议分析）、规则匹配检测端口扫描、恶意软件传播等攻击行为。
- 规则匹配：用户可自定义规则集，支持日志记录、邮件通知等多种输出方式。
5.3 防火墙与IDS/IPS协同机制
蜜网网关配置：
- 结合防火墙规则与IDS/IPS技术，实现攻击数据捕获与控制。
- IDS vs. IPS：
-
IDS（入侵检测系统）：被动监测网络流量，生成警报需管理员手动响应。
-
IPS（入侵防御系统）：主动阻止攻击行为，支持实时响应与自动化防御。
第6次实践
20242827 2024-2025-2 《网络攻防实践》实践6报告
6.1 Metasploit Windows远程渗透攻击实验
任务目标：使用Metasploit框架对Windows Metasploitable靶机（IP：192.168.200.124）的MS08-067漏洞进行远程渗透，获取系统控制权。
操作步骤：
- 启动Kali Linux中的msfconsole，搜索MS08-067漏洞模块。
- 配置攻击载荷（generic/shell_reverse_tcp）及攻击机（192.168.200.4）、靶机IP。
- 执行exploit发起攻击，成功获取靶机命令行界面，验证权限（如执行ipconfig/all）。
- 通过Wireshark抓包分析，观察到攻击利用了SMB服务漏洞及TCP反向连接（端口4444）。
技术原理：
- MS08-067漏洞：Windows SMB服务缓冲区溢出漏洞，允许远程代码执行。
- Metasploit框架：集成攻击载荷生成、漏洞利用、后渗透模块，支持自动化攻击流程。
6.2 NT系统破解攻击取证分析
任务目标：分析来自IP 212.116.251.162的攻击者对蜜罐主机（172.16.1.106）的入侵过程。
攻击手法还原：
- Unicode编码攻击：通过HTTP请求%C0%AF（/的Unicode编码）绕过路径过滤，访问boot.ini启动文件。
- RDS漏洞利用：攻击者通过msadcs.dll组件的RDS漏洞执行SQL注入，注入命令
cmd /c echo werd >> c:\fun，并使用msadc(2).pl工具实现代码执行。 - 后渗透行为：攻击者获取系统权限后，可能进行信息窃取或植入后门。
防御建议：
- 关闭不必要的网络服务（如RDS），禁用危险协议（如SMBv1）。
- 部署入侵检测系统（IDS）监控异常HTTP请求及命令执行行为。
6.3 攻防对抗实践
任务目标：模拟红蓝对抗，攻方使用Metasploit发起攻击，防守方通过Wireshark捕获并分析攻击流量。
攻防关键点：
- 攻击方：选择高风险漏洞进行渗透，利用反向Shell规避基础防火墙检测。
- 防守方：通过流量分析识别攻击特征（如异常端口、恶意载荷），结合日志审计追溯攻击源。
第7次实践
20242827 2024-2025-2 《网络攻防实践》实践7报告
7.1 网络信息收集技术
任务目标：通过多维度信息收集，构建攻击面画像，为后续渗透测试提供数据支撑。
技术手段：
- 基础信息收集：
域名与IP：通过nslookup、dig查询域名解析记录，结合whois获取注册人、邮箱等敏感信息。
端口服务：使用nmap -sS -sV -O扫描目标端口开放情况及服务版本（如HTTP 80端口、SSH 22端口）。
路由跟踪：traceroute或mtr分析网络路径，识别边界设备（如防火墙、路由器）。
- 深度信息挖掘：
搜索引擎利用：通过site:、filetype:等语法搜索目标子域名、后台地址（如admin.php）、敏感文件（如config.php备份）。
社会工程学：结合theHarvester工具收集企业邮箱、员工信息，为钓鱼攻击或密码猜解提供数据。
防御建议：
最小化域名解析记录暴露，使用CDN隐藏真实IP。
禁用危险服务（如FTP匿名登录），关闭非必要端口。
7.2 漏洞扫描与验证
任务目标：使用自动化工具检测目标系统漏洞，验证攻击可行性。
工具与流程：
- Nmap脚本引擎（NSE）：
运行nmap --script=vuln
，检测常见漏洞（如永恒之蓝、心脏出血）。
示例输出显示目标存在MS17-010（SMB远程代码执行）漏洞。
- OpenVAS漏洞扫描器：
配置扫描策略（如“Full and Fast”），检测高危漏洞（如CVE-2021-44228 Log4j漏洞）。
生成报告包含漏洞等级、影响范围及修复建议。
防御策略：
- 及时更新补丁，禁用Legacy协议（如SMBv1）。
- 部署WAF过滤恶意请求，限制扫描器IP访问。
7.3 Web应用渗透测试
任务目标：模拟攻击者对Web服务（如DVWA平台）进行渗透，测试业务逻辑安全性。
攻击手法：
- SQL注入：
通过' OR 1=1 --+绕过登录验证，获取管理员权限。
使用sqlmap -u "http://target/vul.php?id=1" --dbs枚举数据库。
- 文件包含漏洞：
构造http://target/?page=../../etc/passwd读取系统文件。
结合日志文件包含（LFI）实现代码执行。
防御加固：
- 参数化查询防御SQL注入，设置Web目录不可执行权限。
- 配置文件上传白名单，禁止解析.php等危险后缀。
7.4 攻防对抗实践
红蓝对抗场景：
- 攻击方：利用信息收集定位薄弱环节，结合漏洞扫描快速突破。
- 防守方：通过日志分析（如/var/log/auth.log）检测暴力破解行为，使用Fail2ban封禁恶意IP。
第8次实践
20242827 2024-2025-2 《网络攻防实践》实践八报告
8.1 恶意代码分析实践
任务目标：通过逆向工程分析恶意代码样本（如RaDa后门），识别其功能、特性及作者信息。
技术手段：
- 文件类型识别：
使用file命令确认RaDa.exe为32位Windows PE可执行文件（GUI界面），基于Intel 80386架构。
通过PEiD工具检测加壳工具（UPX 0.89.6），验证其通过HTTP协议与攻击者服务器通信，实现DDoS攻击、注册表自启动修改等功能。
- 脱壳与字符串提取：
使用超级巡警脱壳机去除UPX加壳，生成RaDa_unpacked.exe。
通过strings命令提取脱壳后的字符串，结合IDA Pro反汇编，定位作者信息（Raul Siles & David Perez）及恶意行为逻辑。
- 恶意代码特性：
持久化：修改注册表HKLM\Software\Microsoft\Windows\CurrentVersion\Run实现开机自启动。
隐蔽性：通过HTTP协议与C2服务器通信，执行上传/下载文件、屏幕截图等操作。
对抗分析：使用UPX加壳混淆代码，并通过虚拟机检测规避动态分析。
分类与溯源：
- 类型：后门程序（非病毒/蠕虫，无自主传播能力）。
- 相似工具：Bobax、Setiri等HTTP后门。
- 作者溯源：通过脱壳后的字符串或--authors参数直接获取作者信息。
8.2 Crackme程序逆向挑战
任务目标：破解crackme1.exe和crackme2.exe，找到特定输入触发成功信息。
技术手段：
- 动态分析：
使用Ollydbg或IDA Pro调试crackme1.exe，通过函数调用图（Function Calls）定位关键比较操作（strcmp）。
发现正确输入为"I know the secret"，验证后输出隐藏信息。
- 静态分析：
对crackme2.exe进行控制流图（Flow Chart）分析，识别参数个数检查（argc==2）及嵌套字符串比较。
通过重命名程序为crackmeplease.exe并输入"I know the secret"，成功绕过验证。
8.3 缓冲区溢出攻击与防御
攻击原理：利用程序未对输入长度进行校验的漏洞，覆盖栈帧中的返回地址，控制程序执行流（如跳转至恶意代码）。
攻击案例：通过构造超长输入覆盖bufbomb程序的栈缓冲区，修改返回地址指向攻击载荷（如smoke函数），实现权限提升或代码执行。
防御策略：
- 编译时防护：
启用栈保护（Stack Canaries）、地址空间布局随机化（ASLR）和数据执行保护（DEP）。
使用安全编译器（如GCC的-fstack-protector）自动检测溢出。
- 运行时防护：
输入验证与过滤（如限制字符串长度、使用安全函数strncpy替代strcpy）。
部署入侵检测系统（IDS）监控异常流量（如大量NOPsled或特定Shellcode特征）。
- 漏洞管理：
及时更新补丁，禁用危险函数（如gets、sprintf），采用内存安全语言（如Rust）重构关键模块。
8.4 僵尸网络与蜜罐分析
僵尸网络特征：
- 通信协议：IRC（Internet Relay Chat），常用端口6667（明文）或6697（SSL）。
- 攻击方式：通过蜜罐日志分析，发现攻击者利用漏洞（如未授权访问、弱口令）控制主机，加入僵尸网络发起DDoS或垃圾邮件攻击。
蜜罐数据分析：
- 使用Wireshark过滤IRC通信（如ip.src == 172.16.134.191 && tcp.dstport == 6667），识别C2服务器。
- 通过流量统计（tcpflow）计算受控主机数量（如3461台），追溯攻击源IP。
第9次实践
20242827 2024-2025-2 《网络攻防实践》实践9报告
9.1 网络嗅探与协议分析实践
任务目标：通过协议分析工具（如Wireshark）捕获并解析网络流量，识别异常行为及敏感信息泄露。
技术手段：
- 基础流量分析：
使用tcpdump或Wireshark捕获HTTP、DNS、ARP等协议数据包。
通过过滤表达式（如http.request.method == "POST"）提取敏感操作（如登录请求）。
- 协议深度解析：
HTTP协议：分析请求头（User-Agent、Referer）、参数（如username=admin&password=123）及响应状态码（404/500错误）。
DNS协议：解析域名查询过程，识别DNS劫持或缓存投毒行为。
防御建议：
- 启用HTTPS加密通信，避免敏感信息明文传输。
- 部署DNSSEC验证域名真实性，防止中间人篡改。
9.2 ARP欺骗攻击与防御
攻击原理：通过伪造ARP响应包，将攻击者MAC地址与目标IP绑定，实现流量劫持。
攻击案例：
- 中间人攻击：
使用ettercap工具发起ARP欺骗，拦截局域网内主机（如192.168.200.3）与网关（192.168.200.2）的通信。
通过Wireshark捕获HTTP登录凭证（如POST /login HTTP/1.1中的密码字段）。
- 会话劫持：
结合arpspoof和sslstrip工具，绕过HTTPS加密（通过SSLStrip降级攻击），窃取Cookie实现会话复用。
防御策略：
- 静态ARP绑定：
在交换机或主机配置静态ARP表，防止动态更新。
命令示例：arp -s 192.168.200.2 00-aa-bb-cc-dd-ee。
- 动态检测：
部署Dai（Dynamic ARP Inspection）功能，验证ARP报文合法性。
使用端口安全（Port Security）限制MAC地址学习数量。
9.3 DNS欺骗攻击与防御
攻击原理：伪造DNS响应包，将合法域名解析至恶意IP，实现流量重定向。
攻击案例：
- 钓鱼攻击：
使用dnsspoof工具篡改www.example.com的DNS解析，指向钓鱼页面（如192.168.200.130）。
结合ettercap实现全局流量劫持，诱导用户输入账号密码。
- 缓存投毒：
通过高频次伪造响应包，污染本地DNS缓存（如/etc/hosts或DNS服务器缓存）。
防御策略：
- 配置DNSSEC验证签名链，确保响应真实性。
- 使用可信DNS服务（如8.8.8.8、114.114.114.114），避免内网递归查询。
9.4 网络层攻击防御体系
纵深防御设计：
- 接入层：
启用802.1X端口认证，绑定用户MAC与VLAN。
部署NAC（网络准入控制）系统，隔离非法设备。
- 核心层：
配置防火墙过滤非法ARP广播（如deny ip any any）。
使用IPS/IDS检测异常流量。
- 应用层：
强制HTTPS加密，部署WAF过滤SQL注入、XSS攻击。
定期审计DNS记录，监控异常解析行为。
第10次实践
20242827 2024-2025-2 《网络攻防实践》实践十报告
10.1 SQL注入攻击与防御
攻击原理：利用Web应用对用户输入未过滤的漏洞，构造恶意SQL语句篡改原查询逻辑。
攻击案例：
- SELECT语句注入：
在登录页面输入用户名Admin'#，密码任意，通过注释符#绕过密码验证，成功登录管理员界面。
命令示例：mysql -u root -p登录数据库，执行select * from credential where Name='Admin'#';。
- UPDATE语句注入：
在编辑个人资料页面，输入昵称', salary='2827' where Name='Alice';#，将Alice的工资修改为2827。
漏洞代码：UPDATE credential SET nickname='$input_nickname'... WHERE ID=$id;。
防御策略：
- 参数绑定：使用预编译语句替代字符串拼接，防止注入。
- 输入验证：对用户输入进行类型检查和过滤。
10.2 XSS攻击与防御
攻击原理：在Web页面注入恶意脚本（如JavaScript），当其他用户浏览时触发，窃取信息或传播蠕虫。
攻击案例：
- 弹窗与Cookie窃取：在Elgg配置文件中嵌入，其他用户查看时触发弹窗并泄露Cookie。
- 自动加好友与信息篡改：使用JavaScript自动发送好友请求，或修改受害者资料（如昵称、邮箱）。
- XSS蠕虫编写：通过感染用户配置文件，实现蠕虫式传播，扩大攻击范围。
防御策略：
- 输入过滤：对用户提交的内容进行HTML编码，禁止执行脚本。
- CSP策略：配置内容安全策略，限制外部脚本加载。
- Cookie安全：设置HttpOnly和Secure属性，防止JavaScript读取。
10.3 实验细节与操作
SQL注入演示：
- 使用curl或浏览器开发者工具分析GET/POST请求，定位漏洞文件。
- 修改PHP文件，采用参数绑定修复漏洞。
XSS攻击演示：
- 在Elgg的view_profile.php中插入恶意代码，测试传播效果。
- 使用Burp Suite拦截请求，修改响应内容注入脚本。
第11次实践
20242827 2024-2025-2 《网络攻防实践》实践11报告
11.1 Web浏览器渗透攻击
攻击手法模拟：
- 利用MS06-014等浏览器漏洞，通过Metasploit框架构造恶意网页木马，诱导用户访问并执行任意代码。
- 结合社会工程学手段，如伪造银行登录页面，通过URL混淆诱导用户输入账号密码。
攻击工具链：
- 使用sqlmap检测SQL注入点，结合浏览器代理工具篡改请求参数。
- 通过Cobalt Strike生成钓鱼页面，监控用户输入信息。
11.2 网页木马攻击场景分析
攻击场景还原：
- 用户访问被挂马的论坛页面，触发隐藏的
浙公网安备 33010602011771号