20252904 2025-2026-2 《网络攻防实践》第1周作业

20252904 2025-2026-2 《网络攻防实践》第1周作业

1.知识点梳理与总结

1.1名词解释

1.网络攻防环境的设计原则

• 隔离性：实验环境与真实物理网络隔离，避免攻击扩散。
• 完整性：包含攻击端、目标端、监测端、分析端。
• 可复现性：支持快照、还原，便于重复实验。
• 安全性：禁止对外部真实主机发起未授权攻击。

2.虚拟网络模式

• 仅主机模式（Host-Only）：VMware 等虚拟化软件提供的虚拟网络模式，虚拟机仅与物理主机、同网段的其他虚拟机建立网络连接，无法访问外部互联网，外部网络也无法主动访问虚拟机。该模式具备强隔离性，是网络攻防实验的首选网络模式，可防止攻击行为扩散至真实网络。

• 桥接模式（Bridge）：虚拟化软件的网络模式之一，虚拟机虚拟网卡直接绑定物理主机网卡，等效于局域网内一台独立的物理设备，会获取与物理主机同一网段的 IP 地址，可直接与局域网内其他设备通信，也能访问互联网。

• NAT 模式：网络地址转换模式，虚拟机通过物理主机的 IP 地址共享访问互联网，虚拟机自身使用私有网段 IP，外部网络无法直接访问虚拟机内部。该模式兼顾联网需求与基础隔离性，适合需要下载更新软件的场景。

1.2.攻击机、靶机、SEED 虚拟机、蜜网网关功能及内置攻防软件详细说明

• 攻击机（Attack Machine）：网络攻防环境中用于发起安全测试与模拟攻击的专用虚拟机，通常预装完整的渗透测试工具集。主要用于信息收集、端口扫描、漏洞探测、漏洞利用、权限提升、流量嗅探等操作，主流系统为 Kali Linux、Parrot Security OS。
  本次实验攻击机：
  BT5R3-GNOME-VM-32：BT5R3-GNOME-VM-32 是作为主力使用的 Linux 攻击机，也是 Kali Linux 的前身经典渗透测试系统，核心承担网络扫描、渗透攻击、数据包捕获与漏洞利用等任务。该虚拟机内置了丰富的攻防工具，其中 Metasploit Framework 可实现漏洞利用、载荷生成与远程控制，Nmap 用于主机发现、端口扫描与服务指纹识别，Wireshark 和 Tcpdump 负责网络抓包与协议分析，Hydra、John the Ripper 分别用于在线协议爆破与离线密码破解，Burp Suite、Sqlmap 面向 Web 漏洞检测与利用，Arpspoof、Ettercap 可实施 ARP 欺骗与中间人攻击，Nikto 用于 Web 服务漏洞扫描，Netcat 则作为基础网络工具实现端口监听、反弹 Shell 等操作，能够完整覆盖信息搜集到后渗透的全流程测试工作。
  WinXAttacker：WinXAttacker 是部署在 Windows 平台的攻击机，主要用于从 Windows 系统视角开展安全测试，弥补 Linux 攻击机在 Windows 专属场景下的操作局限，可完成端口扫描、弱口令检测、Windows 专用漏洞利用与远程连接测试等工作。该机搭载了 SuperScan、X-Scan 等 Windows 平台常用扫描工具，能够快速探测网段内存活主机与系统漏洞，Cain & Abel 可实现抓包、ARP 欺骗与密码提取破解，同时自带 Putty、远程桌面连接等工具，用于对靶机进行 SSH、Telnet、3389 远程桌面的连接测试与弱口令尝试，还可通过局域网共享访问功能测试 SMB 相关的未授权访问与权限漏洞。

• 靶机（Target Machine）：攻防环境中作为攻击目标的虚拟机，系统、服务或应用刻意保留已知漏洞、弱口令、不安全配置等问题。用于被攻击机探测、渗透与利用，帮助学习者理解漏洞原理与攻击流程，常见靶机系统有 Metasploitable、DVWA、WebGoat 等。

  本次实验靶机：

  Win2kServer_SP0_target：Win2kServer_SP0_target 是基于 Windows 2000 Server SP0 搭建的专用靶机，系统与服务存在大量未修复的高危漏洞，主要作为 Windows 平台的被攻击目标，用于远程溢出、弱口令入侵、权限提升等攻防练习。该机开启了 IIS 5.0 Web 服务，存在目录遍历、远程代码执行等经典漏洞，同时部署了 FTP、Telnet 等服务并存在弱口令与未授权访问问题，445 端口的 SMB 协议包含 MS03-026 等多个远程溢出漏洞，可被 Metasploit 直接利用获取系统控制权限，开放的 3389 远程桌面服务也为密码爆破与远程控制测试提供了目标，系统内还存在默认弱口令或空口令账户，便于开展密码攻击与内网渗透实验。

  Metasploitable_ubuntu：Metasploitable_ubuntu 是网络攻防实验中经典的 Linux 漏洞靶机，系统与各类服务均采用存在已知漏洞的老旧版本，专门用于漏洞利用测试与完整渗透流程演练。该靶机搭载了 Apache、Tomcat 等 Web 服务，存在文件上传、命令执行等漏洞，搭配的 MySQL、PostgreSQL 数据库存在弱口令与未授权访问问题，可配合 SQL 注入实现数据窃取；SSH、FTP、Samba 等服务不仅存在弱口令，Samba 服务还包含远程代码执行漏洞，可直接获取 root 权限，同时旧版 Linux 内核存在本地提权缺陷，部分版本还内置了 DVWA 等 Web 漏洞环境，能够满足从系统层到 Web 层的各类攻防实验需求。

• SEED 虚拟机：由美国雪城大学开发的专用网络安全教学虚拟机，集成了密码学、网络协议安全、Web 安全、系统安全等多类安全实验环境。系统预置了可复现的安全漏洞与实验脚本，主要用于安全原理验证与基础安全实验，是高校网络安全教学常用平台。

• 蜜网（Honeynet）：由多个蜜罐、蜜网网关、数据捕获与控制模块组成的整体诱捕网络体系。其核心目的是主动吸引攻击者入侵，完整记录攻击流程、攻击工具、恶意代码与攻击手法，为安全防御策略制定提供数据支撑，同时可阻止攻击者利用蜜网设备攻击外部真实网络。

• 蜜网网关（Honeynet Gateway）：蜜网环境的核心控制设备，通常以网桥模式部署在蜜网与外部网络之间。负责流量转发、攻击数据捕获、行为日志记录、流量控制，同时具备攻击阻断能力，防止攻击者通过蜜网发起逃逸攻击，是蜜网的安全管控核心。

• 蜜罐（Honeypot）：一种刻意模拟真实业务系统、服务或终端的诱骗性安全设备，本身不承载真实业务。通过暴露虚假漏洞与服务吸引攻击者入侵，全程记录攻击行为，帮助安全人员分析攻击特征，同时可分散攻击者对真实业务系统的注意力。

2.攻防环境搭建与测试

2.1攻防环境拓扑图

vMnet配置表：

VMnet	子网地址	模式
VMnet1	192.168.200.128	仅主机模式
VMnet8	192.168.200.0	NAT模式

虚拟机配置表：

虚拟机	IP 地址	模式
BT5R3-GNOME-VM-32	192.168.200.2	NAT
SeedUbuntu9-Aug-2010	192.168.200.3	NAT
WinXPAttacker	192.168.200.4	NAT
Metasploitable_ubuntu	192.168.200.130	仅主机模式
Win2kServer_SP0_target	192.168.200.131	仅主机模式

2.2虚拟环境搭建

2.2.1VMware安装步骤（保姆级！！！）

每张图中都有红色框指引，跟着红色框一步一步走就可以。

这里一定要更改默认位置，要不然你的C盘可能会爆掉！

用户体验设置完全没有必要勾选直接阐述

2.2.2配置虚拟环境网络（还是保姆级！！！）

设置虚拟网络，开始编辑VMnet1、VMnet8的网络信息，需要通过管理员权限才能更改。

将VMnet1设置为仅主机模式，将子网IP设置为192.168.200.128，子网掩码为255.255.255.128。

注意：取消使用本地DHCP服务将IP地址分配给虚拟机，DHCP服务可自动分配IP地址，但为了实验方便设置静态IP会更容易。这也就是为什么后续要我们一个一个在不同虚拟机上配IP地址。

针对VMnet8设置NAT模式，子网IP为192.168.200.0，子网掩码为255.255.255.128，并且将网关IP为192.168.200.1


在DHCP设置中，规定起始IP地址为192.168.200.2，结束地址为192.168.200.120。只要是为了防止后续设置静态IP之间产生冲突。

2.2.3搭建虚拟机（依旧保姆级！！！）

现在安装靶机，红框中就是靶机的安装包。

通过打开虚拟机，直接安装！


安装好之后就是下面这个图的模样。

重点：将两个靶机网络配置成VMnet1的仅主机模式！！！！！

点击是就行。（后面也一样）

输入准备好的密码。

注意：输入正确的密码可能发现打不开，默认用户名Admin的A是大写，但是账号是小写a，这里大小写不正确也不行，需要修改。

开始设置网络。进入网络和拨号连接。

进入本地连接属性，tcp/ip。

根据网络拓扑图设置好IP地址，子网掩码以及默认网关和IDS。

WIN+R进入cmd,输入指令ipconfig,查看刚才配置的网络信息。

进入ubuntu后，输入sudo vim /etc/rc.local 配置网络信息

在exit 0 上方设置网络接口以及IP地址等信息，命令为 ifconfig eth0 192.168.200.130 netmask 255.255.255.128 route add default gw 192.168.200.129。
保存步骤：按esc，加 :wq 进行保存。

sudo reboot 是重启电脑，查看是否保存成功。

查看网络信息，命令为ifconfig

现在配置攻击机以及seed平台。将所有的攻击机虚拟机以及seed的网络连接方式设置为自定义VMnet8。模拟互联网网络的机器。

查看kali虚拟机的网络配置情况，命令为ifconfig.发现IP地址为192.168.200.2

查看XP配置情况，依旧进入cmd,输入ipconfig查看。发现IP地址为192.168.200.4

进入seed，输入命令ifconfig，查看IP地址为192.168.200.3

所有虚拟机配置好后，加载主角蜜网系统，honeywall！！！

安装完成后输入密码，进入系统。使用su -进行提权提升到root，并输入menu进入蜜网配置页面。

配置需要连接的靶机IP地址，作为蜜罐诱捕攻击机的情况，并进行监听这些蜜罐IP地址。

网关需要正确识别广播地址，才能准确捕获、监控网段内的广播流量（如 ARP 广播、DHCP 广播等），同时避免误拦截或漏过攻击相关的广播行为。

接下来192.168.200.127 是 192.168.200.0/25 网段的广播地址（若为 /24 网段则是 192.168.200.255)，用于向网段内所有设备发送广播数据包。

蜜网网关的本地 IP 网络配置界面，核心任务是定义蜜网所在的局域网网段结构。界面中要求输入CIDR 格式的网络前缀，当前填写的内容为192.168.200.0/25，其中192.168.200.0是该蜜网网关所在的核心网络段地址，/25则代表子网掩码为255.255.255.128，这意味着整个局域网被划分为一个包含 126 个可用 IP 地址的小型内网（可用 IP 范围为 192.168.200.1 至 192.168.200.126），且对应的广播地址被设定为192.168.200.127（与前序界面的广播地址配置完全匹配）。该配置是整个攻防实验环境的网络基础，明确了蜜网网关的网络管辖范围，也限定了攻击机、靶机、SEED 虚拟机及蜜罐等所有设备必须在此网段内才能正常通信，确保后续的流量监控、攻击捕获与连通性测试都能在可控的私有网络中进行。

蜜网网关的管理接口 IP 地址配置界面，用于为蜜网网关的管理网卡分配固定 IP 地址。界面提示输入管理接口的 IP 地址，当前已输入192.168.200.8（末尾下划线为输入光标），该地址需与之前配置的192.168.200.0/25网段保持一致，用于后续通过 Walleye 管理面板或 SSH 方式远程登录、查看攻击日志与流量统计，实现对蜜网网关的运维管理与攻击行为监控。

蜜网网关（Honeywall CD roo）的管理接口子网掩码配置界面，用于为之前设置的管理接口 IP192.168.200.8配置子网掩码。

蜜网网关（Honeywall CD roo）的管理接口默认网关配置界面，让蜜网网关的管理流量能通过该网关与物理主机或外部网络通信，确保后续可通过远程方式访问蜜网网关的管理面板、查看攻击日志与流量数据，完成对整个蜜网环境的运维管控。

蜜网网关（Honeywall CD roo）的管理接口访问权限配置界面，用于限定可访问蜜网网关管理接口的 IP 范围。输入192.168.200.0/25，仅允许来自该网段内的 IP 地址（如攻击机、物理主机等）访问管理接口，保障了蜜网环境的运维便利性，并且通过 IP 白名单机制限制了外部访问

蜜网网关（Honeywall CD roo）的 Sebek 模块配置界面，用于指定 Sebek 数据包的目标接收 IP 地址。192.168.200.8是蜜网网关自身的接口 IP，Sebek 作为内核级数据捕获模块，会将从蜜罐中采集到的攻击者操作行为（如键盘输入、文件访问、系统调用）等数据，以隐蔽数据包的形式发送到该地址，由蜜网网关进行集中收集、存储与分析，从而实现对攻击行为的深度监控与溯源。

默认端口1101就可以

这时候退出配置界面依旧ifconfig查看配置是否成功

2.2.4验证蜜网

登录刚才在蜜网系统中设置的IP地址，输入https://192.168.200.8登录蜜网系统。

登录后可查看到蜜网的整体信息。

现在验证蜜网是否起到作用，通过ping靶机IP地址进行验证。命令为 ping + IP地址，并且蜜网可以输入命令：tcpdump -i eth0 icmp来检测外部网络发送的数据包情况，进行实时监听。

下面可以看到用kali机尝试ping蜜网的192.168.200.8发现蜜网可以监听到，但是没有响应，这说明蜜网成功运行，保证了自身隐蔽并进行监听。

蜜网可以收到kali的请求数据包。

2.2.5连通性测试

这是靶机ubuntu-->2kserver表示联通。

这里攻击机kali-->XP是通的。

攻击机kali-->蜜罐靶机是通的，说明起到蜜罐伪装效果。

3.学习中遇到的问题及解决

1.遇到攻击机ping不通蜜罐靶机的情况

​ 问题原因：发现之前网络适配器中用的是仅主机模式，没有用VMnet1(仅主机模式)

​ 解决方法：将两个靶机的网络以及蜜罐其中一个网络配置器改成VMnet1(仅主机模式)，中途尝试修改端口，发现并没有用。

2.命令打错，一直没成功

​ 问题原因：将vim打成vin

​ 解决方法：上网搜集了命令内容，并修正。

3.一开始没有了解蜜网原理，发现ping的又所错误

​ 问题原因：发现蜜罐在监听时能被攻击机发现，以为试验成功。

​ 解决方法：修改了配置，是蜜罐丢掉攻击机的连接数据请求包。

4.学习感想和体会

​ 在本次网络攻防实践的蜜网虚拟环境搭建过程中，我从对 “蜜网” 概念的模糊认知，逐步深入到亲手完成 Honeywall 网关的配置与调试，不仅掌握了蜜网环境的核心搭建技术，更对网络攻防的 “防御侧思维” 有了全新的理解。

​ 最初接触蜜网时，我仅将其简单等同于 “诱骗攻击者的陷阱”，但在实际配置 Honeywall 网关的过程中，我才意识到蜜网是一套集流量监控、行为审计、攻击隔离于一体的完整防御体系。从定义蜜罐 IP、划分局域网 CIDR 网段，到配置管理接口的 IP 与权限，再到指定 Sebek 模块的数据捕获目标，每一步操作都在为 “透明监控 + 安全隔离” 的目标服务：网桥接口不分配 IP 以实现流量透明转发，iptables 与 Snort 协同拦截恶意行为，Sebek 内核模块则深度记录攻击者操作，这些细节让我明白，蜜网的核心并非 “诱骗”，而是在可控环境中完整感知攻击行为，为防御策略提供数据支撑。

​ 搭建过程中遇到的问题也让我收获颇丰：最初配置外部网桥接口时误填eth2导致 “Invalid NIC” 错误，通过 Status 菜单查看有效网卡并修正为eth0/eth1的经历，让我深刻理解了虚拟机网卡命名与系统识别的对应关系，也学会了在 Linux 环境中排查网络接口问题；而tcpdump抓包时出现的 “eth0 无 IPv4 地址” 警告，更是打破了我 “接口必须有 IP 才能工作” 的固有认知，明白了网桥模式下接口仅负责流量转发，无需 IP 地址的设计逻辑。这些问题的解决，不仅让我熟悉了蜜网网关的配置流程，更培养了 “从报错信息定位根因、结合原理验证方案” 的实践能力。

​ 通过本次蜜网环境搭建，我不仅掌握了个人版蜜网的部署方法，更建立了 “攻防一体” 的安全视角：攻击机负责模拟入侵，蜜网网关则站在防御者角度，将攻击行为完整捕获、记录，这种 “攻与防的对抗” 让我直观感受到网络安全的动态性。同时，老旧版本环境的更新实践也让我意识到，安全技术迭代迅速，只有保持对工具与系统版本的关注，才能在实战中保持优势。让我对 “安全防御是主动感知、主动分析的动态过程” 有了更深刻的体悟。