實驗一、網絡信息收集

實驗一網絡信息收集一、實驗目的：網絡信息收集是非常重要的，通過獲取的數據可以分析網絡安全系統(tǒng)，也可以利用它獲取被攻擊方的漏洞，無論是從網絡管理員的安全角度，還是從攻擊者角度出發(fā)，它是非常重要的、不可缺少的步驟。要求學生掌握信息收集的方法，使用常見掃描器，分析所獲取的數據，解釋數據與漏洞的關系，掌握網絡掃描器的程序設計。二、實驗內容和方法：1、SuperScan4.0掃描器掌握常見的掃描器軟件使用方法，如：，人丁人1\1、流光、CIS、SuperScan。要求學生在上機時根據自己使用的掃描器軟件對實驗室網絡系統(tǒng)進行漏洞掃描，對掃描的結果作出正確的分析，根據分析評估網絡系統(tǒng)安全性，必要時關閉危險端口，合理配置計算機系統(tǒng)。以Windows上運行SuperScan4.0掃描器為例，對目標主機（安裝了WWW和FTP服務的IP地址為的WindowsServer2003主機）掃描后得到的信息如圖1所示。SuperScan4.0匚叵掃描主機和服罟掃描設置掃描選項工具IP地址主機名/IF一開始IF掃描主機和服罟掃描設置掃描選項工具IP地址主機名/IF一開始IF玉結束IFXWindows枚舉關于61.147.3T.1開始IF結束IF清除所選活除所有pGrw』蘆從文件讀取pGrw』蘆Livehoststhishatch:Hostiiaiiie:d.cent-er->±-UI：'Pports(1)53TOC\o"1-5"\h\zTot-allivehust-sdiscovered1TotalopenTCPports0TotalopenUI：'Pports1UI：'Pservicescanpass1□f1(1hostsx88ports}...Pprfurmingl±ustnaiiipresolutionPerfariiiingbannergrab's...TCPhaiitiergratihing(0port-s)UDPbaiaiiergral:>hing(1port三JP.eportingscailresuits...ScaiidoneDiscaveryscanfinished:03/18/1006:10:ZZ?|■|M|查看KTM場果(V)Save>1logtileLive:1TCPopen：0UDFupen:11/1done00:09圖1端口掃描單擊"查看HTML報告"打開掃描報告，如圖2所示。從掃描報告中可以看到掃描出的TCP和UDP端口號及端口服務信息，如FTP服務中的用戶名為“anonymous”，允許匿名登錄。運行【SuperScan4.0】窗口中的“工具”選項卡，可以用內部集成的測試工具對目標主機進行探測，如圖3所示。圖2端口掃描詳細報告/SuperScan4.0掃描主機和服宓掃描設置掃描選項工具Windows枚舉關于PLInou-M主機名APAJRL|默認Whoiw服務器|worksolutions,com活除?|查找主機名/IFFingICMF跟蹤路由跟蹤批星姓理.??HTTPHEAIi請求HTTPGET話求HTTPSGET話求WhulSCFSHICWhoisAJLENWhoisFLEPEWhoisAPHICWhois工JdJdJdJLJJLJJLJJLJJLJJLJJLJJLJElResolving...61_147.37_1(d_cent&r-i±tis一)Pinging(：■Responsefromin0illsP.espansefrombin16msResponsefromin0msHop01:19Z_168.1_1[Utiknorm]Hop0Z:[Unknoxm]Hop03:ZZl.ZZ9.Z39.57[Unkncam]Hop04:61-147.37.1d-cent-er-diis一jsinf□-netICMPTracerouteto(JEoneTran三feraxi三duiLLaiii@DNS_Server_IPe.g.t-est-.coiii@10.1.Z.3HEADre^.iest"/"to()Unal:>1etocaniiectto(JportS0TryingAPNIClookup...%[t.tIiuis-apnic_netnode-3]%Tilliaisdatacopyright-teriashttp://t.tt.tt.t_/dh./dbcopyriglit.litill1inetmuii：-61.147.Z5-E..Z55netnanie:CHINAI-IET-JSdescr:CHINAIJETjiaiigsuprovineenetT.Tnrk00:09SavedlogfileLive:1TCPopen：0UDPupen：11/1done圖3掃描工具運行【SuperScan4.0】窗口中的"Windows枚舉"選項卡，可以用內部集成的測試工具對目標主機進行探測，如圖4所示。從掃描的信息中可以發(fā)現(xiàn)目標主機系統(tǒng)漏洞，如MAC地址、共享資源、空鏈接、系統(tǒng)運行服務、磁盤分區(qū)、注冊表信息，等等，通常我們可以在目標主機系統(tǒng)中發(fā)現(xiàn)許多可以被利用來進行攻擊的漏洞。SuperScan4.0掃描主機和服務掃描設置掃描選項工具Windows枚舉關于主機名JIP/URL蛔心擇選項廷）...|清除此）|枚舉類型QuoPLInQ』M□NetBIOSILdjrieTable|71Nl-FLLSession0MACAdiirheesz枚舉類型QuoPLInQ』M□NetBIOSILdjrieTable|71Nl-FLLSession0MACAdiirheesz回W■:>rkstati>:>ntype0Users|71Gruupg回EFCEndpointDuinp回AccuijrLtPulicies叵]Shares|71D■:>mains回RemuteTimeofDay[7]LugunSessionsElDrives回TrustedD■:>rriains|71Services[7]Registry[■Iet-EI0Sinfofillationan192-168.1.3024namesint-at?1e=LIJILIAJ-I-FC0F8000UNIQUETiJorkstationservicenaiae——TiJOPKGP.OUP00GROUPTiJ□rkstationservicenaiaeLIJILIA1-I-FC0F80ZOOTIinUEServerservicesnaiiieTiJOPKGP.OUPIEGROUPGroupnaiiieMACaddress三:0i：:oc:Z9:A3:94:DIAtteii±ptingaNULLsessioncaimectianon13Z.168.1.30MULLsessionsuccessfulto16S.1.SOMPC?[-IACaddressesan19Z-168.1.30TiJorkstation/servertypeon0Entry0Interface:113c47ZSc5-f0al：.-448b-hdal-6ce01ebi：ia6d511ver1.0匚，T.-14_.1■r.-IT-..r.一亍/L1"ZJ00:09SavedlogtileLive:1TCPopen：0UDPupen：11/1done圖4漏洞掃描2、WindowsServer2003網絡監(jiān)聽Windows系統(tǒng)中本身就帶有具有網絡監(jiān)聽功能的管理工具一一網絡監(jiān)視器。主機A安裝WindowsServer2003、FTP服務器，并在系統(tǒng)中開設一個帳戶ftp-user，密碼設置為ftp-user-password本實例要實現(xiàn)使用網絡監(jiān)視器對本主機進行監(jiān)聽，捕獲主機B訪問本主機FTP服務器的用戶名和密碼。1）添加網絡監(jiān)視器在主機A系統(tǒng)中單擊"開始"一"控制面板"一"添加或刪除程序"一"添加/刪除Windows組件3）",在【Windows組件向導】窗口中選中"管理和監(jiān)視工具"，然后單擊"詳細信息（D）...",在【管理和監(jiān)視工具】窗口中將其他自組件取消，只保留"網絡監(jiān)視工具"一項，如圖5所示。單擊"確定”按鈕，關閉【管理和監(jiān)視工具】窗口，在Windows組件向導】窗口單擊"下一步"按鈕，將WindowsServer2003安裝光盤放入，完成網絡監(jiān)視工具組件安裝。最后關閉所有相關窗口。2）啟動網絡監(jiān)視工具在主機A上單擊"開始"一"所有程序"一"管理工具"一"網絡監(jiān)視器"，出現(xiàn)提示

信息窗口，單擊"確定"按鈕，出現(xiàn)【選擇一個網絡】窗口，選擇本地連接，如圖6所圖5添加網絡監(jiān)視工具圖6選擇監(jiān)聽網絡單擊"確定”后出現(xiàn)【本地連接捕獲窗口】，單擊工具欄中的圖標啟動捕獲。在主機B中單擊"開始"一"運行”，在對話框中輸入"cmd"，打開DOS輸入窗口，在此窗口中用已經設置好的用戶名和密碼連接主機A上運行的FTP服務器，瀏覽站點內容后退出。如圖7所示。在主機B對主機A訪問的過程中可以看到網絡監(jiān)視器在進行數據捕獲，如圖8所示。FTP服務斷開后，單擊主機A[Microsoft網絡監(jiān)視器】窗口菜單中的"捕獲"一"停止并查看"，顯示【捕獲：2（總結）】窗口，如圖9所示。

圖7遠程FTP訪問圖8數據捕獲窗口MWEaotwei心Atn□O1E3LflTiLTCixmjiiJ>]■gS.」即回虹WIF^?TCraudfi.liAF□OLD38LOCU.EEulUiItLliA.lu10CAL,loptufwi50016.，地XHU3&MWEaotwei心Atn□O1E3LflTiLTCixmjiiJ>]■gS.」即回虹WIF^?TCraudfi.liAF□OLD38LOCU.EEulUiItLliA.lu10CAL,loptufwi50016.，地XHU3&LDTALTCnniJrilEi^iJe*10.1：帥tzi5?UMr-L55.ILmqEWHJBWICNMik?uiuflJFTfZtrnct<5LMEEE=TIH性rw-I'lrEls*HIrIiM咨曠人.-inKr.ArR5H_“1|>I、4.*菱J-g.ll-UM-l-r口成mu.u.M.Mmn.MH.^mTft.n..lv.mmmmnn.7r?.ST?Tn-—■:145日p?H1IY#■■?『1?;1>Tc-勺叮117JUJ111J1111III-■=k-F\-J1■UXHixjiuisj.mgurnME*時】naeurw-PQgIWMDUIJTiaUeal|￡i~*LIXIM而ID：ALUXALUTALrwio001UMUCMEguxuUJJJDDflIJU1UMLflCllCH?300頃MLXALnilnW：UKU頌ILffiSKIK皿<L啊頃UMZdWlUKUIUL⑹上如I^0li3KmmWCKLn&^WlUUC4LC0II3WLDCKLLULkL則日皿啊IWJhi|?5El叮"％Ji?*j^iradJ￥1『Cg*.Lti1Hn%.,Icii.Ui?4fmt?i50015,"TiSflir^vivr^iniUTarfH■中HFwt洶吟JXUmf*r^riErJ?Et?4iIl'CnJilFil*i“1.?.|ifl.10t』曲“(\Th*t?lTT1第I聞l。3?用虬TtfC?4邛1擇IfA±MJrr白切l(wèi)oti弦ns讓h「l9TO15.打hI』"EM[5.$.4幻IE?**II.曜JI-1JllffImFhtIrmlrilfillf"irn.Urilxi.1z『.HU〕！!!.■iFtiiIjilI'mCrriiltnllitAEuN!i■i已:m，jIImirw博皿"惦TNO忤iWT*lmk&4BL5T膊」I「,4X^3i8l~11“虹illfli」認1”幅E)glB5Smq口莒暗瀝FTOfllix?y就imuiM?-娩Udi■牝平煩*nSemi.Hit漏?KUni<vii]4乓卻￡也-4g

Oi5"a,t?it砌迎ftiAjg.Ivii

jr%.L,:郵瀚,ZQ?響葉囪汕m嘩InftriWlft■2??Tf^fii5眄X*gIL…tMWlMrV-lD-lfertl5M15,FUTT■■邛1?fnrl5CHJ$3|rratiTiJfiI■aT，T.聽左岫155664^^1-155,C?mn?1tilt4Cahxrtlfl11虹11-^11-rEIIIET!*-一1^-TJ-l皿騷澄潘睬皿皿噩IKS蚤Fitf，iiL#^tl——wr(i/3TIrlf登IFIr_Z1￡n-TTilZTITIFIrun-IPnlfIrTfJTTiTTTF，、盡舊］.」喝』回［Wj言忘商土］釗司旬姓g|岫旦j*J|1?■nHuaniirI國存由―iraJiftJt..~-13?一I■■圖9顯示捕獲數據可以看到遠程主機B訪問主機A上的FTP服務時輸入的用戶名"ftp-user"，密碼"ftp-user-password",登錄成功后做的操作"NLST",以及退出操作"QUIT"。圖10表達式篩選如果監(jiān)聽的數據量很大，則可單擊【Windows網絡監(jiān)視器】窗口菜單"顯示"一"篩選器(F)...",選中左側對話框中的“Protocol==Any”，單擊"編輯表達式(P)..."一"全部禁用"；在右側"被禁用的協(xié)議"對話框中選擇"FTP”協(xié)議，單擊"啟用(E)”按鈕，運行結果如圖10所示。?nis.-■si里單擊"確定”按鈕回到【顯示篩選器】窗口，再單擊"確定”按鈕，出現(xiàn)篩選后的FTP訪問信息，可以清楚地看到完整的遠程訪問FTP?nis.-■si里迎霓隹些宣也曲側.母UP量童5郵JiMfruiiMcF而Rl*仇|州l曰襯_L萱項！JJt§Jt*,_JhliLSit四U._L萱項！JJt§Jt*,_JhliLSit四U.i214151跆LOthLfi.i410it&miir^ofM.sMKJ伽嘲UCALFS4V31蝦也ilt?F際岫unoaiKBUKdrSSENI1L3S0r際即[Lg.Ml"tLKALr虹qH<□LXjkLQtrLk^Q.ttin弗峭10：AL他1fEHM'<變iMM偷i皿ir后叩a>1伽*聘UMKLfm里初ccm#rm￡rnfcr!'lr^E￡ftjf—iltin'Hjniru.il.rII?M訝Ht=fftft￡f-d*fra-i5WCS1'iUS(uf-?Jii*r-pti!■?irilw“fthl」「必U-|?rJtji--Uiiiirt升網Fzg%mir1財加：」尊m外JirtJOTFtEftT-iMuidimccwiifqj.Ejmtut^XQSflLST■、J--I15d￡E&lkJSt1處EBU￡JLSZtl?-￡iJl.li-TrkfixirrT*dJuni.'Ti-rP~WE，niv'BlI*frtrt5tH￡N*iiTpMisrirrD?|ilrlp'<ce?hrt4?B9rflHTmWCS9KI,:?-r-.=IXttIStMIK1成1-?r.湖促函LIK}成1迥VIsZJuIrTTrIfMjTlrLJ-nn由此可見，用網絡監(jiān)聽技術可以捕獲多數明文數據的敏感信息。3、系統(tǒng)服務入侵與防范基于認證的網絡服務攻擊主要有針對IPC$、Telnet和計算機管理三種入侵技術，攻擊的前提是，使用這些服務的用戶名和密碼過于簡單，已經被入侵者掌握。常用的DOS網絡入侵命令如下：netuser:系統(tǒng)帳號類操作；netlocalgroup:用來管理工作組；netuse:遠程連接、映射操作；netsend:信使命令；?nettime:查看目標計算機的系統(tǒng)時間；>at:用來建立計劃任務；netstat-n:查看本機網絡連接狀態(tài)；nbtstat-aIP:查看指定IP主機的NetBIOS信息?？梢詤⒄誛indows系統(tǒng)F1幫助文件中的"命令行"來了解這些命令的詳細描述和參數。4、木馬實例入侵實例灰鴿子是國內第三代木馬的標準軟件，也是國內首次成功地使用反彈端口技術中第二種方式創(chuàng)建的木馬，同時也支持傳統(tǒng)方式連接，具有強大的遠程控制功能，并且能夠方便地控制動態(tài)IP地址和局域網內的遠程主機。灰鴿子的主界面如圖12所示。圖12灰鴿子主界面灰鴿子可以控制系統(tǒng)為Windows9X/me/NT/2000/XP/2003的遠程主機，當服務端設置成自動上線型時，可以有外網控制外網、夕卜網控制內網及同在一局域網三種控制方式；當服務端配置為主動連接型時，可以有外網控制外網、內網控制外網及同在一局域網三種控制方式。其中外網為有互聯(lián)網IP地址的計算機，內網為在局域網內部可以上網的計算機，如網吧中的普通計算機。使用灰鴿子"反彈端口"進行連接的一般思路為：設置中間代理，配置服務程序，種植木馬