# [20212901 薛德凡《网络攻防实践》第三次作业]

[20212901 薛德凡《网络攻防实践》第三次作业]

1.实验内容

（1）使用TCPDump对访问网站过程中传送的数据包进行嗅探，并对数据包进行分析。
（2）在kali_ubuntu上使用自带的Wireshark软件对在本机上以TELNET方式登录BBS进行嗅探，并分析端口、用户名和口令的传送和获取等。
（3）对给定的listen.cap文件进行取证分析，得到一系列攻击机和靶机的之间的信息。

2.实验过程

1、动手实践tcpdump

（1）打开VMwork平台，将攻击机Kali网络模式设置为桥接模式

（2）查看当前kali攻击机的ip地址：192.168.11.151

（3）在kali攻击机中输入sudo tcpdump -n src 192.168.11.151 and tcp port 80 and "tcp[13] & 18 =2"，

（4）然后浏览器访问网站：www.tianya.cn

（5）嗅探结果如下：

（6）问题：在访问www.tianya.cn网站首页时，浏览器将访问多少个Web服务器？他们的IP地址都是什么？

问题解决：访问天涯网站过程中总共访问了7个web服务器，他们的ip地址分别为：124.225.206.22 124.255.69.77 124.225.135.230 124.225.214.206 124.225.214.214 44.240.24.191 13.249.126.209.80

2、动手实践Wireshark：使用Wireshark开源软件对在本机上以TELNET方式登录BBS进行嗅探与协议分析。

（1）在终端输入luit -encoding gbk telnet bbs.fudan.edu.cn 访问复旦的服务器，发现ip地址为202.120.225.9。

（2）打开wireshark,捕获对应登录数据包，如图所示，我所登录的BBS服务器的IP地址是202.120.225.9，端口是23

（3）用游客模式guest登录该服务器

（4）通过Wireshark抓包，观察TELNET协议对应数据包中的data，我们能够发现在向服务器传输用户名及登录口令时，是一个字符一个字符传递的。下图可以发现数据包中包含字母g、g、u。可以分析得到传输的信息为gguueesstt，传输方式为明文传输。

（5）当我们以新用户进行登录时，通过分析数据包可以获得用户名和口令，输入用户名为xdfxdf，密码为xdfxdf111

（6）通过wireshark捕获此次注册对应的数据包，可以分析得到输入对应的用户名和密码。

3、取证分析实践，解码网络扫描器（listen.cap）

（1）在kali攻击机处输入apt-get install snort,安装snort

（2）从云班课下载资源文件listen.pcap，用wireshark打开,分析得到攻击的IP地址是172.31.4.178，网络扫描的目标IP是172.31.4.188

(3)下载snort之后，终端输入命令sudo snort -A console -q -u snort -c /etc/snort/snort.conf -r listen.pcap
其中参数意义：
-A 设置报警模式
-q 安静模式，不显示标志和状态报告
-u 初始化后改变Snort的UID
-c 使用配置文件，这会使得snort进入IDS模式，并从中读取运行的配置信息
-r 从pcap格式的文件中读取数据包

分析可得是使用namp发起的端口扫描