20252907 2025-2026-2 《网络攻防实践》第四周作业

20252907 2025-2026-2 《网络攻防实践》第四周作业

1.实践内容

本实验在网络攻防环境中，利用攻击机（Kali）对靶机（SEED、Windows 2000等）依次实施ARP欺骗攻击、ICMP重定向攻击、SYN Flood攻击、TCP RST攻击及TCP会话劫持攻击，通过实际操作探究网络协议的安全漏洞及攻击利用方式，同时梳理相关防范策略。各攻击方式的具体原理如下：

2.1 ARP欺骗攻击

ARP欺骗攻击通过伪造ARP响应报文，篡改目标主机的ARP缓存表，实现IP地址与MAC地址的虚假绑定。由于ARP协议存在广播查询无验证的设计缺陷，攻击者可向局域网内目标主机注入伪造的地址映射关系，使目标主机发送的数据包优先转发至攻击者主机，进而实现流量劫持、监听，或开展中间人攻击，拦截、篡改、伪造传输数据。

2.2 ICMP路由重定向攻击

攻击者伪装成网络网关，向目标主机发送虚假的ICMP重定向报文，结合IP地址欺骗技术，诱导目标主机误认为网络拓扑发生变化，从而修改自身路由选择，将所有网络流量转发至攻击者指定的恶意路由。通过该攻击，攻击者可实现流量监控、中间人攻击，甚至发起拒绝服务攻击，破坏网络通信的正常流转。

2.3 TCP RST攻击

TCP RST攻击的核心是伪造TCP重置报文（设置RST标志位），强制中断目标主机已建立的TCP连接。实施该攻击时，攻击者需准确猜测目标TCP连接的序列号，并伪装成通信双方中的一方发送RST报文，使目标主机误以为通信出现异常，从而主动终止TCP会话，导致正常通信中断。

2.4 SYN Flood攻击

SYN Flood攻击是典型的拒绝服务（DoS）攻击方式。攻击者向目标服务器发送大量伪造源IP地址的TCP SYN连接请求，使服务器的半连接队列被快速耗尽，无法正常响应合法用户的连接请求，最终导致服务器服务瘫痪，实现拒绝服务的攻击目的。

2.5 TCP会话劫持攻击

TCP会话劫持攻击是攻击者通过监听或主动介入目标主机已建立的TCP会话，获取会话关键信息（如序列号）后，冒充合法用户参与通信的攻击方式。根据攻击手段可分为中间人攻击（MITM）和注入式攻击：中间人攻击以秘密监控通信过程、窃取数据为主；注入式攻击则可直接接管会话控制权，执行敏感操作。从攻击性质来看，可分为被动劫持（仅窃取数据）和主动劫持（接管会话），其中主动劫持的危害性更大，可能造成严重的信息泄露或恶意操作。

2.6 各攻击实验核心信息汇总

攻击实验名称	攻击原理简述	实验意义简述
ARP缓存欺骗攻击	攻击者发送伪造ARP请求/响应，将目标IP与自身MAC绑定，使目标主机数据优先转发至攻击者，实现中间人攻击	深入理解ARP协议原理和设计缺陷，掌握攻击技术及对应防范方法，增强网络安全防护意识
ICMP重定向攻击	攻击者伪造ICMP重定向消息，改变目标主机路由选择，将数据包转发至指定路由器	深入理解ICMP协议功能和路由选择机制，掌握中间人攻击原理及防范策略，提高网络安全认知水平
SYN Flood攻击	攻击者发送大量伪造源IP的SYN请求，耗尽服务器半连接队列资源，使其无法响应合法请求	了解TCP连接建立过程，掌握拒绝服务攻击原理和防范措施，提升网络系统抗攻击能力
TCP RST攻击	攻击者发送伪造RST数据包，使目标主机TCP连接错误关闭，导致正常通信中断	深入理解TCP协议异常处理机制，掌握攻击原理和防范方法，增强网络通信的稳定性与可靠性
TCP会话劫持攻击	攻击者获取会话关键信息（如序列号），插入通信中冒充合法一方进行数据交互，实现会话劫持	深入理解TCP会话管理机制，掌握会话劫持原理和防范策略，提高网络通信的安全性与保密性

2.实践过程

2.1 分别查看攻击机与靶机的IP地址与MAC地址

输入命令ifconfig查看seed虚拟机的IP地址为192.168.200.4，MAC地址为00:0c:29:c9:1c:e7

启动kali虚拟机，输入命令查看kali虚拟机的IP地址和MAC地址为IP:192.168.200.7,MAC：00:0c:29:1f:20:ec

查看win2000靶机的IP地址为192.168.200.131，MAC地址为00:0c:29:2c:45:39

查看虚拟机Metasploitable的IP地址为192.168.200.130，MAC地址为00:0c:29:8b:2c:a0

2.2ARP缓存欺骗攻击

使用ping命令虚拟机查看虚拟机Metasploitable与win2k的连通性，可以ping通，是连通的

输入命令arp -a查看当前的ARP缓存信息，由于刚刚win2k与Metasploitable进行了ping通信，所以存有win2k的arp缓存信息，输出的MAC地址与win2k的MAC地址相吻合

在kali虚拟机的控制台输入命令apt install netwox安装netwox工具包

在kali虚拟机中使用命令netwox 80 -e 00:0c:29:1f:20:ec(kali的mac地址) 1 -i 192.168.200.131(win2k的ip地址)，修改arp缓存信息，将win2k的IP地址指向kali的MAC地址进行ARP缓存欺骗

通过Metasploitable虚拟机ping靶机win2k发现已经无法ping通，输入命令arp -a查看ARP缓存信息发现MAC地址已被替换

2.3 ICMP重定向攻击

打开seed虚拟机终端，输入命令route -n，查看seed虚拟机的网关为192.168.200.2

使用ping命令ping baidu.com，可以ping通且对面IP地址为111.63.65.247

在kali的终端中输入命令 netwox 86 -f “host 192.168.200.4”（SEEDIP地址） -g 192.168.200.7（kali攻击机IP地址） -i 192.168.200.2（SEED网关），启动ICMP重定向攻击

回到SEED虚拟机终端ping baidu.com，发现目标IP被重定向到Kali攻击机的IP地址

2.4 SYN Flood攻击

打开Kali自带的Wireshark工具，选择eth0网卡

在SEED上输入命令luit -encoding gbk telnet bbs.mysmth.net访问清华bbs服务器

在kali终端输入命令netwox 76 -i 192.168.200.4（SEED虚拟机IP地址） -p 23

kali攻击机对SEED开启攻击后，直接给SEED对bbs服务的访问干崩溃（用 SYN Flood 把目标的 23 端口打瘫痪了，正常连接自然连不上、被断开。）

查看Wireshark监控的网络流量，发现有源源不断的目的地址为SEED虚拟机的大量TCP包，这表明SEED正在遭受SYN Flood攻击

2.5 TCP RST攻击

同样在SEED虚拟机上访问清华bbs服务

在kali攻击机上输入命令netwox 78 -i 192.168.200.4（SEED靶机IP地址）

返回SEED虚拟机发现，连接已经断开

打开kali自带的wireshark查看TCP包，发现攻击机向靶机发送了RST包

2.6 TCP会话劫持攻击

启动kali虚拟机自带的Ettercap，选择eth0网卡，开始嗅探

点击scan for hosts开始扫描网络中的主机，并查看扫描出来的主机

将192.168.200.4设置为target1，将192.168.200.120设置为target 2

启动arp poisoning，打开view中的Connections

在SEED中再次访问清华的bbs服务并登录用户名zyxyyds，回到kali虚拟机中查看Connection data可以发现用户名与密码均被劫持泄露

3.实验过程

• 问题1：在进行 ARP 缓存攻击实验时，Kali 中执行相关命令后，无法成功修改靶机的 ARP 缓存信息。
• 问题1解决方案：经排查发现，Windows 2000 与 Metasploitable 两台靶机均连接在 VMnet1 网卡（为前期环境配置时设置），而 Kali 与 Seed 虚拟机连接在 VMnet8 网卡，三者不在同一网段导致攻击不生效。将两台靶机的网络连接模式修改为 VMnet8 后，问题解决。

4.学习感悟与思考

通过模拟ARP缓存欺骗、ICMP重定向、SYN Flood、TCP RST及TCP会话劫持等网络攻击实验，我对TCP/IP协议栈的工作原理与安全缺陷有了更直观的理解。此前仅停留在理论认知，实操中我清晰看到攻击者如何利用协议漏洞（如ARP协议缺乏身份验证易被伪造，进而实施中间人攻击）发起攻击，深刻认识到网络协议并非绝对安全，需额外防护。

实验中，我不仅掌握了各类攻击的实施方法，也梳理了对应防御策略：ARP欺骗可通过绑定静态ARP表防范；SYN Flood可通过防火墙规则、限制请求速率缓解；TCP会话劫持可借助加密协议和数据包校验保障安全。

本次实验在预设环境中完成，重点测试了五种典型攻击，实践了ettercap等工具，既提升了实操能力，也树立了“攻防结合”的理念，为后续学习奠定基础。