20212903 王钧 2021-2022-2 《网络攻防实践》第三周作业

1.实验内容

网络嗅探：网络嗅探基本介绍

网络嗅探利用计算机的网络接口截获目的地址为其他计算机的数据报文，以监听数据流中所包含的私密信息。实现网络嗅探技术的工具称为网络嗅探器。截获到的是经过封包的二进制数据，通常会结合网络协议分析技术来解析嗅探到的网络数据。网络嗅探是攻击者经常使用的内网渗透技术，通常在攻击者获得内部网络中的一台主机的访问权后实施。可以静默地、被动地嗅探网络上传输的数据。所以针对网络嗅探的检测与防范还是比较困难的。下面介绍一些基本的检测防范方法。

网络嗅探的检测：如检查网卡是否运行在混杂模式下。也可以通过操作系统和协议栈对混杂模式的香型不同来判断。
网络嗅探的防范：采用安全的网络拓扑（交换式网络），用静态ARP代替动态，避免明文传输，重视网络集中节点的保护（路由器，交换机等）。

以太网和WiFi是有线局域网和无线局域网最流行的链路层协议，也是网络嗅探的主要监听对象。

tcpdump支持对以太网的嗅探
kismet支持WiFi网络的监听
以上两种针对不同局域网的嗅探器在对数据包实际进行破解和分析的时候完全没有区别。唯一的区别是无线嗅探器可以读取和分析符合无线传输协议的数据包。

网络嗅探器按照实现形式可以分为软件嗅探器和硬件嗅探器：

硬件嗅探器通过专用网络对网络数据进行捕获和分析，也称为协议分析仪。
软件嗅探器一般实现位不同操作系统类型上的应用软件，通过对网卡进行编程实现。

网络嗅探：原理及实现（以太网）

这一小节从以太网的工作原理到共享式网络和交换式网络的嗅探，最后介绍了类Unix平台和Windows平台的网络嗅探技术的实现。

以太网的工作原理：以太网是共享通信信道数据以帧为单位传输，以太网帧头中包括发送源的MAC地址与目标MAC地址。当站点需要发送数据时，通过协议栈进行TCP/IP封包，在数据链路层“装配”帧头与帧尾，发送至共享通信介质上。网卡驱动程序在正常模式下，只会接受目标MAC地址与自身MAC地址相匹配的数据帧。但是网卡的混杂模式将会接收一切通过它连接共享通信媒介的数据帧。
共享式网络嗅探：使用集线器连接，集线器上任意一台主机都能够嗅探整个集线器上的全部网络流量。
交互式网络嗅探：通过MAC地址映射表来发送数据。通常有以下三种方式实现嗅探
- MAC地址泛洪攻击：向交换机发送大量含有虚构MAC地址和IP地址的数据包，使映射表溢出无法处理，交换机进入类似集线器的工作方式。
- MAC欺骗：通常用于突破基于MAC地址的局域网访问控制。这里书上讲的比较模糊，参考MAC地址欺骗
- ARP欺骗：利用IP地址与MAC地址之间进行转换时的协议漏洞，达到MAC欺骗，这里推荐详细参考ARP欺骗窃听秘密及实现。
类Unix网络嗅探技术实现：通过内核态的BPF和用户态的libpcap抓包工具库实现。BPF是数据链路层上的原始接口，提供原始链路层封包的收发功能。如果网卡处于混杂模式，将会收到网络上所有包。libpcap与内核态BPF包嗅探与过滤机制想配合，为类Unix平台上的应用程序提供标准的网络嗅探接口，网络数据包的标准格式为pcap。
Windows网络嗅探技术实现：Windows操作系统内核不提供标准的网络嗅探与抓包接口。NPF是一个内核态虚拟设备驱动程序，功能是过滤数据包，将数据包原封不动传给用户模块。WinPcap包括packet.dll和wpcap.dll两层模块的标准抓包接口。

网络嗅探：嗅探器软件

通常使用的网络嗅探器软件一般基于标准接口BPF和libpcap，最常用包括libcap抓包开发库、tcpdump以及wireshark嗅探器软件（类Unix平台和Windows平台）。

libpcap抓包开发库：libpcap开发的基本步骤是打开网络设备、设置过滤规则、捕获数据、关闭网络设备。
tcpdump：tcpdump是通用的命令行网络嗅探器与数据包分析协议。通过src 192.168.200.2 and tcp dst port 80可以查看源主机向外连接的HTTP网络流量的情况。通过tcpdump将监视第一个网络接口上所有流过的数据包。
Wireshark嗅探器软件：是一款开源数据包分析工具，主要作用是捕获网络数据包，对于数据包进行协议分析以尽可能显示详细的情况，并以更容易理解的格式呈现给用户。

网络协议分析技术

网络嗅探截获的是通过封包过程组装的二进制格式原始报文内容，为了获取其包含信息，要根据TCP/IP协议栈的协议规范重新还原数据包在各个协议层上的协议格式及内容。目前主要的网络协议分析工具是wireshark。网络协议分析的典型过程包括以下几个步骤（找了一张高清图）：

网络嗅探得到的原始数据是在链路层传输的二进制数据包。
对帧结构进行分析，得到帧头各字段结构，根据帧头字段确定网络层的协议类型，并提取包含网络层数据的内容。
进一步对IP数据包进行分析，确定传输层协议类型，提取传输层数据内容。
根据TCP或UDP目标端口确定确定具体的应用层协议，得到应用层特定协议的应用交互内容。
依据相应应用层协议对数据进行整合恢复，得到实际传输数据。

2.实验过程

（1）动手实践tcpdump

使用tcpdump开源软件对在本机上访问www.tianya.cn网站过程进行嗅探，回答问题：你在访问www.tianya.cn网站首页时，浏览器将访问多少个Web服务器？他们的IP地址都是什么？

首先按照视频讲解，将Kali虚拟机改为桥接模式，这样子需要重新看一下Kali虚拟机的ip地址

通过ifconfig进行查看，可以看到这是Kali虚拟机的IP地址为192.168.11.105

使用命令tcpdump -nn '(tcp[tcpflags] & tcp-syn !=0 and tcp[tcpflags] & tcp-ack!=0) and (host 192.168.11.105)'

从上图可以看出，经过了

124.225.206.22
124.225.69.77
111.206.209.249
124.225.135.230
124.225.214.206
124.225.65.170
52.25.210.71
18.65.200.44
13.32.74.101
54.148.72.145
44.229.115.174
18.65.166.113