网络安全技术及应用实训报告

1、网络安全技术及应用实训报告项目一：网络渗透攻击实训项目 学号： 09011506姓名： 刘旭信息分院计算机网络技术目录第一章 任务1 社会工程学11.1“社会工程学”概述11.2“社会工程学”的3个欺骗步骤11.3实现步骤1第二章 任务2 木马免杀32.1 木马免杀概述32.2 木马免杀原理32.3 内容目的42.4 具体实验步骤4第三章 任务3 木马捆绑63.1 木马捆绑概述63.2 木马捆绑原理63.3 实验步骤6第四章 任务4 木马植入84.1木马植入的方式84.2 木马的运行方式84.3 实验步骤8第五章 任务5 缓冲区益处115.1 缓冲区益处概述115.2 缓冲区益处危害115.3

2、 实验步骤12第六章 任务6 远程控制146.1 远程控制基本原理146.2 实验步骤14第七章 任务7 主机发现157.1 主机发现概述157.2 主机发现原来157.4 主机发现157.5 实验步骤16第八章 任务8 端口扫描178.1端口扫描概述178.2 端口扫描原理178.3 实验步骤18第九章 任务9 漏洞扫描199.1 漏洞扫描概述199.2 漏洞扫描原理199.3 漏洞扫描工具199.4 实验步骤19第十章 任务10 arp欺骗2110.1 arp 欺骗定义2110.2 arp 欺骗原理2110.3 apr命令解释2210.4 实验步骤2225第一章 任务1 社会工程学第一章

3、任务1 社会工程学1.1“社会工程学”概述 “社会工程学（social engineering）”是一种通过对受害者的心理弱点、本能反应、好奇心、信任和贪婪等心理陷阱，来骗取用户的信任以获取机密信息和系统设置等不公开资料，为黑客攻击和病毒感染创造了有利条件。1.2“社会工程学”的3个欺骗步骤利用“社会工程学”进行攻击，主要分为以下3个步骤。(1) 信息刺探尽量收集利用所有可能会用到的信息，以便在欺骗过程中可以应对各种突发事件。例如，在对某公司网络进行入侵时，需要了解此公司的各种规章、制度、职能和人事信息等。以免在欺骗过程中由于犯下常识性的错误而被目标识破。攻击者大多采取各种手段进入目标内部，然

4、后利用各种便利条件进行观察或窃听，以得到自己所需要的信息，或者与相关人员进行侧面沟通，逐步取得信任，从而获取情报。(2) 心理学的应用由上面的内容可知人性的弱点在“社会工程学”中是重要的一部分。实际上，这是一种心理学的应用。攻击者通过获得的各种信息来制定种种针对性的欺骗方案，并且利用各种手段获取目标的信任，从而达成自己的目的。(3) 反查技术所谓反查技术，就是反侦查技术。在基于技术的入侵攻击中，最重要的内容不仅是成功侵入主机，还包括清除痕迹，不要让管理者发现被入侵及数据被伪造。同理，“社会工程学”也有这样的概念，如何在欺骗目标后，让目标根本就不将攻击者作为怀疑对象，或者让目标无法再联系或追查到

5、攻击者。1.3实现步骤主机a1. 启动tomcat服务控制台下进入c:program filestomcat5bin目录，执行以下命令启动tomcat服务：主机b2. 网站对比(1) 在ie地址栏中输入http:/主机a ip:8080/bank/t1login.jsp登录正常网站，观察页面信息与域名信息。(2) 在ie地址栏中输入http:/主机a ip:8080/bank/tllogin.jsp登录钓鱼网站，观察页面信息与域名信息。(3) 对比正常网站与钓鱼网站在页面信息的内容上的异同与域名信息上的异同。正常网站与钓鱼网站在页面信息的内容上一模一样，而在域名的对比上也只有一个字母之差，因此

6、两个域名间是非常相似的。3. 钓鱼网站(1) 关闭正常网站页面。(2) 在钓鱼网站输入自己的账号与密码信息（账号与密码相同，账号分配规律为00010040），如0004，单击“提交”按钮。钓鱼网站提示“您输入的卡号或者查询密码错误，请重新输入”。(3) 单击“返回华新银行”链接确认该信息。(4) 钓鱼网站引导用户到正常网站，此时观察域名的变化（由tllogin.jsp跳转为t1login.jsp）。主机a4. 查看盗号(1) 浏览钓鱼网站服务目录（c:program filestomcat5webappsetpnssbank），查看盗号文件user_00xx.txt。就这样钓鱼网站轻松地获取到

7、了网银用户的账号。第二章 任务2 木马免杀第二章 任务2 木马免杀2.1 木马免杀概述免杀，也就是反病毒（antivirus）与反间谍（antispyware）的对立面，英文为anti-antivirus（简写virus av），逐字翻译为“反-反病毒”，我们可以翻译为“反杀毒技术”。木马免杀可以将其看为一种能使木马避免被杀毒软件查杀的技术。木马免杀技术的涉猎面非常广，涉及反汇编、逆向工程甚至系统漏洞的发掘等其他顶级黑客技术。 2.2 木马免杀原理(1) 杀毒原理当前杀毒软件对病毒的查杀主要有特征代码法和行为监测法两种。特征码就是能识别一个程序是病毒的一段不大于64字节的特征串。特征码定位法分

8、为文件查杀和内存查杀，杀毒软件公司拿到病毒的样本以后，定义一段病毒特征码到病毒库中，然后与扫描的文件比对，如果一致则认为是病毒。内存查杀则是载入内存后再比对。行为检测法是新出现的一种定义病毒的方法，它利用的原理是某些特定的病毒会有某些特定的行为来做出是否为病毒的判断。(2) 木马免杀原理免杀在某种程度上可以说是杀毒软件的对立面。杀毒软件通过特征码查杀病毒，相应的，通过修改特征码的方法来实现木马免杀。特征码修改方法：方法一：直接修改特征码的十六进制法 修改方法：把特征码所对应的十六进制改成数字差1或差不多的十六进制。 适用范围：一定要精确定位特征码所对应的十六进制，修改后一定要测试一下文件能否正

9、常使用。方法二：修改字符串大小写法 修改方法：如果特征码所对应的内容是字符串，只要把大小字互换一下就可以了。 适用范围：特征码所对应的内容必须是字符串，否则不能成功。方法三：等价替换法 修改方法：把特征码所对应的汇编指令，替换成功能类似的指令。 适用范围：特征码中必须有可以替换的汇编指令，比如je，jne 换成jmp等。方法四：指令顺序调换法 修改方法：把具有特征码的代码顺序互换一下。 适用范围：具有一定的局限性，代码互换后必须不能影响程序的正常执行。方法五：通用跳转法 修改方法：把特征码移到零区域（指代码的空隙处）执行后，使用jmp指令无条件调回原代码处继续执行下一条指令。 适用范围：通用的

10、改法，建议大家要掌握这种改法（在【学习模式】的【应用再现】中使用的就是该方法）。2.3 内容目的黑客通过相关工具来对生成的木马安装程序进行免杀，达到使用杀毒软件无法查杀出木马程序的目的，在将免杀的木马安装程序发送给被攻击者。此时，即使被攻击者安装了杀毒软件，并对发送来的程序进行杀毒，杀毒软件也会熟视无睹。由于用户对杀毒软件的信任，他会大大降低对此程序的戒心，一旦运行此软件，被攻击者就立即沦陷为肉鸡。2.4 具体实验步骤实验操作前各实验主机需从web资源库下载实验所需木马程序（灰鸽子）、特征码定位工具（myccl）、偏移量转化器（oc）及汇编分析调试器（ollydbg）。注实验过程两主机可同步进

11、行，即主机b同时进行免杀操作，并最终将免杀的安装程序发送给主机a，主机a运行免杀后的安装程序。主机b对主机a进行控制。主机a1. 配置木马服务器程序(1) 运行“灰鸽子”木马程序，点击工具栏“配置服务程序”按钮，弹出“服务器配置”对话框，单击“自动上线设置”属性页，在“ip通知http访问地址、dns解析域名或固定ip”文本框中输入本机ip地址，在“保存路径”选项中将木马生成在桌面，单击“生成服务器”按钮，生成木马“服务器程序”（默认文件名为server_setup.exe）。2. 定位木马服务器程序特征码位置(1) 启动avg反病毒软件（保证avg服务启动，开启方法：点击“开始”|“运行”，

12、输入services.msc，启动“avg anti-spyware guard”服务；保证avg主界面打开，方法：依次单击“程序avg anti-spyware 7.5avg anti-spyware”）。(2) 打开myccl，点击“文件”按钮，选择生成木马安装程序。在“开始位置”填入程序的起始位置“00000400”， 分块个数中填入“100”，其它选择默认。点击“生成”按钮，弹出“confirm”提示框选择“yes”，生成“output”文件夹。(3) 右键点击output文件夹，在弹出菜单中选择“用avg anti-spyware扫描”进行查杀。查杀结束后，点击“应用所有操作”按钮，

13、清除病毒。(4) 点击“myccl”中“二次处理”按钮，重新对生成文件进行分析，myccl会提示文件0009a509_00001db3出现特征码。(5) 再次对“output”文件夹进行病毒查杀，此时杀毒软件提示没有病毒。(6) myccl再次进行二次处理，这时会产生特征码分布示意图，证明含有特征码的区段已经定位完毕。(7) 点击“特征区间”按钮，打开“填充/特征码 区间设定”页签。特征0009a509_00001db3即为特征码的位置区间，选择特征 0009a509_00001db3，点击右键，选择“复合定位此处特征”，回到myccl主界面，再次设定分块个数为100，点击“生成”按钮。重新生

14、成output文件夹，对output文件夹进行病毒查杀。(8) 查杀完成后，清除病毒，再次进行myccl的二次处理。再次对output进行病毒查杀。myccl再次进行二次处理，这时会产生特征码分布示意图，证明含有特征码的模块已经定位完毕，其它位置无特征码。(9) 选择特征 0009b985_0000004c，点击右键，选择“复合定位此处特征”，回到myccl主界面，设定分块个数为38，点击“生成”按钮。重新生成output文件夹，对output文件夹进行病毒查杀。(10) 对output文件夹进行病毒查杀，直到定位完毕，步骤和前面相同。得到特征0009b9c3_00000002即为特征码的精确

15、位置，如图所示。3. 修改特征码(1) 关闭myccl，打开oc工具，选择木马安装程序，将定位到特征码的物理地址0009b9c3填入文件偏移框中，转换为内存地址_。(2) 关闭oc，打开ollydbg工具，依次点击“文件”|“打开”选择木马安装程序。(3) 通过操作“ctrl+g”|“内存地址”|“确定”，找到特征码地址（内存地址），如图所示。向上滚动鼠标滑轮，自动归位到指令首址0049c5c1，内容为“mov eax,dword ptr ss:ebp-101c ”（特征码包含在该段指令中）。(4) 在程序的最下方找到一段“00”空白区，本练习以004a21e4为例。单击鼠标右键，选择“汇编”

16、，在弹出窗口填入特征码段内容“mov eax,dword ptr ss:ebp-101c ”，点击“汇编”保存设置。此时会自动跳至下一地址进行编辑，输入“jmp 0049c5c7”跳转到代码“mov eax,dword ptr ss:ebp-101c ”的下一个地址。(5) 返回到0049c5c1处，右键点击代码，选择汇编，写入跳转指令“jmp 004a21e4”，点击“汇编”保存设置。右键点击空白处，依次选择“复制到可执行文件”|“所有修改”|“全部复制”，在弹出界面空白处点击右键，选择“保存文件”，文件名称为“setup.exe”，退出ollydbg。(6) 对“setup.exe”进行扫

17、描，若杀毒软件查杀不到，则证明免杀成功。4. 将免杀的木马安装程序发送给主机b(1) 将经过免杀的木马安装程序setup.exe发送给同组主机b（可通过网络共享，或从web资源库下载feiq通信工具等方法进行数据传输）。(2) 在灰鸽子中观察文件目录浏览视图，等待被控制主机出现。主机b5. 运行木马被控制端安装程序(1) 接收主机a发来的setup.exe和未免杀的server_setup.exe文件。使用avg反病毒软件对主机a发送的两个安装程序进行病毒扫描。扫描结果如何？(2) 运行反病毒软件未报警（无异常）的安装程序。主机a6. 查看肉鸡是否上线并尝试对其进行控制(1) 在主机b运行免杀

18、后的木马安装程序后，在木马程序的“文件目录浏览”视图中会出现上线主机。(2) 选择上线主机b，点击“捕获屏幕”按钮，查看主机b屏幕信息。第三章 任务3 木马捆绑(3) 点击“远程屏幕”中“传送鼠标和键盘”按钮，对主机b进行远程控制。第三章 任务3 木马捆绑3.1 木马捆绑概述鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，其中捆绑文件是常用的手段之一。这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件即exe

19、、com一类的文件。3.2 木马捆绑原理为了将两个可执行程序结合在一起，攻击者会使用一个包装工具。这些工具包括包装工具（wrappers）、绑定工具（binders）、打包工具（packers）、exe绑定工具（exe binders）和exe结合工具（exe joiner）等。下图说明了攻击者如何使用包装程序。本质上，这些包装器允许攻击者使用任何可执行后门程序，并将其与任何的合法程序结合起来，不用写一行新代码就可以创建一个特洛伊木马。3.3 实验步骤实验操作前实验主机需从web资源库下载实验所需木马程序（灰鸽子）、zsoft软件程序（一个即时通信工具）及捆绑工具（学生可以选择使用系统自带的i

20、express或专门用于打包的软件）。注实验过程两主机可同步进行，即主机b同时进行木马捆绑，并最终将捆绑的程序发送给主机a，主机a运行打包后的程序。主机b对主机a进行控制。主机a1. 生成木马服务器程序参考知识点二，运行木马并生成木马服务器程序。2. 捆绑过程实现运行捆绑工具，通过设置将zsoft软件程序与木马被控制端程序打包在一起，并设置打包后的程序属性为：只显示正常程序；木马程序在后台隐藏运行；运行后删除木马程序在系统中的痕迹等。本实验以iexpress为例实现捆绑过程。(1)主机a登陆，下载并解压zsoft文件到本地。(2) 主机a打开“开始”|“运行”，输入“iexpress”，点击“

21、确认”，进入iexpress向导。(3) 选择“create new self extraction directive file”，点击“下一步”。(4) 进入“package purpose”页签，选择“extract files and run an installation command”，点击“下一步”按钮。(5) 进入“package title”页签，在空白处输入“ ”（空格），点击“下一步”按钮。(6) 进入“confirmation prompt”页签，选择“no prompt”，点击“下一步”按钮。(7) 进入“license agreement”页签，选择“do not

22、 display a license”，点击“下一步”按钮。(8) 进入“packaged files”页签，点击“add”按钮，添加木马程序和zsoft软件程序，点击“下一步”按钮。(9) 进入“install program to”页签，在“install program”选择木马程序，在“post install command”中选择zsoft软件程序。点击“下一步”按钮。(10) 进入“show window”页签，选择“hidden”选项，点击“下一步”按钮。(11) 进入“finished message”页签，选择“no message”选项，点击“下一步”按钮。(12) 进入

23、“package name and options”页签，填入捆绑后程序路径，文件名为software.exe。在“options”选项中选择“hide file extracting progress animation from user”，点击“下一步”按钮。(13)进入“configure restart”页签，选择“no restart”选项，点击“下一步”按钮。(14) 进入“save self extraction directive”页签，选择“dont save”选项，点击“下一步”按钮。(15) 进入“create package”页签，点击“下一步”按钮，完成操作。生成捆

24、绑完成的文件“software.exe”。3. 将打包生成的程序software.exe发送给主机b主机b4. 运行打包程序(1) 主机b运行主机a发送过来的软件程序software.exe。(2) 观察软件运行过程中出现的现象，能否发现除zsoft软件外其它程序的运行过程。主机a5. 查看肉鸡是否上线，若上线尝试对其进行控制第四章 任务4 木马植入第四章 任务4 木马植入4.1木马植入的方式使用木马程序的第一步是将木马的“服务器程序”放到远程被监控主机上，这个过程成为木马的植入过程。常见的植入过程有如下几种方法。 邮件收发：将木马的“服务器程序”放入电子邮件中植入到远程主机。 网页浏览：将木

25、马的“服务器程序”放入网页中植入到远程主机。 文件下载：将木马的“服务器程序”和被下载的文件捆绑到一起植入到远程主机。4.2 木马的运行方式服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到windows的系统文件夹中（c:windows或c:windowssystem目录下），然后在注册表，启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。安装后就可以启动木马了。1. 自启动激活木马(1) 注册表：打开hkey_local_machinesoftwaremicrosoftwindows currentversion下的run主键，在其中寻找可能是启动木

26、马的键值。(2) win.ini：c:windows目录下有一个配置文件win.ini，用文本方式打开，在windows字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。(3) system.ini：c:windows目录下有个配置文件system.ini，用文本方式打开，在386enh，mci，drivers32中有命令行，在其中寻找木马的启动命令。(4) autoexec.bat和config.sys：在c盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件

27、才行。(5) *.ini：即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。(6) 启动菜单：在“开始-程序-启动”选项下也可能有木马的触发条件。(7) 通过将自身注册成系统服务，并添加注册表服务项，常驻内存。4.3 实验步骤实验操作前实验主机需从web资源库下载实验所需木马程序（灰鸽子）和恶意网页模板。方法一 ：网页木马与木马植入注实验过程两主机可同步进行，即主机b同时制作网页木马，最后主机a访问主机b制作的网页木马，实现中马的过程。1. 生成网页木马(1) 生成木马的“服务器程序”。

28、主机a运行“灰鸽子”木马，参考知识点二配置生产木马被控制端安装程序server_setup.exe，并将其放置于internet信息服务(iis) 默认网站目录“c:inetpubwwwroot”下。(2) 编写生成网页木马的脚本。主机a在web资源库中下载恶意网页模板trojan.htm，并编辑内容，将脚本第15行“主机ip地址”替换成主机a的ip地址。主机a将生成的“trojan.htm”文件保存到“c:inetpubwwwroot”目录下(“c:inetpubwwwroot”为“默认”的网站空间目录)，“trojan.htm”文件就是网页木马程序。注注意查看生成的server_setup

29、.exe和trojan.htm文件是否允许internet来宾账户的读权限访问。(3) 启动www服务。鼠标右键单击“我的电脑”，选择“管理”。在“计算机管理（本地）”中选择“服务和应用程序”“服务”，启动“world wide web publishing service”服务。2. 木马的植入主机b启动ie浏览器，访问http:/主机a的ip地址/trojan.htm。观察实验现象是否有变化。3. 查看肉鸡是否上线，并尝试进行控制主机a等待“灰鸽子远程控制”程序主界面的“文件管理器”属性页中“文件目录浏览”树中出现“自动上线主机”。尝试对被控主机b进行远程控制。4. 主机b验证木马现象(1

30、)主机b查看任务管理器中有几个“iexplore.exe”进程。(2) 主机b查看服务中是否存在名为“windows xp vista”的服务。5. 主机a卸载掉主机b的木马器程序主机a通过使用“灰鸽子远程控制”程序卸载木马的“服务器”程序。具体做法：选择上线主机，单击“远程控制命令”属性页，选中“系统操作”属性页，单击界面右侧的“卸载服务端”按钮，卸载木马的“服务器”程序。方法二：缓冲区溢出与木马植入攻击者通过远程缓冲区溢出攻击受害者主机后，得到受害者主机的命令行窗口，在其命令行窗口下使用vbe脚本程序实现木马植入。下面，由主机b来重点验证利用vbe脚本上传木马的过程。（远程缓冲区溢出部分内

31、容将在后续知识学习中进行详细介绍）1. 生成下载脚本主机b在命令行下逐条输入如下命令生成木马自动下载脚本down.vbs。 该脚本的作用是：使主机b自动从主机a的web服务器上下载server_setup.exe到主机b的c:windowssystem32目录下，并重命名为down.exe，而该程序就是主机a要植入的灰鸽子服务器端。2. 下载木马后门主机b运行down.vbs脚本，使用命令形式如下：主机b运行灰鸽子服务器程序，使用命令如下：3. 主机b验证木马现象(1)主机b查看任务管理器中有几个“iexplore.exe”进程。(2) 主机b查看服务中是否存在名为“windows xp vi

32、sta”的服务。4. 主机b卸载木马程序(1) 主机b启动ie浏览器，单击菜单栏“工具”“internet 选项”，弹出“internet 选项”配置对话框，单击“删除文件”按钮，在弹出的“删除文件”对话框中，选中“删除所有脱机内容”复选框，单击“确定”按钮直到完成。(2) 双击“我的电脑”，在浏览器中单击“工具”|“文件夹选项”菜单项，单击“查看”属性页，选中“显示所有文件和文件夹”，并将“隐藏受保护的操作系统文件”复选框置为不选中状态，单击“确定”按钮。(3) 关闭已打开的web页，启动“windows 任务管理器”。单击“进程”属性页，在“映像名称”中选中所有“iexplore.exe”

33、进程，单击“结束进程”按钮。(4) 删除“c:windowsh.ini”文件。(5) 启动“服务”管理器。选中右侧详细列表中的“windows xp vista”条目，单击右键，在弹出菜单中选中“属性”菜单项，在弹出的对话框中，将“启动类型”改为“禁用”，单击“确定”按钮。(6) 启动注册表编辑器，删除“hkey_local_machinesystemcurrentcontrolsetserviceswindows xp vista”节点。(7) 重新启动计算机。第五章 任务5 缓冲区溢出第五章 任务5 缓冲区益处5.1 缓冲区益处概述缓冲区是程序员为保存特定的数据而在计算机内存中预分配的一块

34、连续的存储空间。缓冲区溢出是指在向缓冲区内填充数据时，数据位数超过了缓冲区本身的容量，致使溢出的数据覆盖在合法数据上，而引起系统异常的一种现象。操作系统所使用的缓冲区又被称为“堆栈”。 在各个操作进程之间，指令会被临时储存在“堆栈”当中，“堆栈”也会出现缓冲区溢出。缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。一些高明的“黑客”或者病毒制造者利用缓冲区溢出漏洞，精心编制出“木马”程序或者病毒，伴随覆盖缓冲区的数据侵入被攻击的电脑，造成系统破坏、数据泄密、甚至可以取得系统特权，给用户造成重大的损失。在缓冲区溢出中，最为危险的是堆栈溢出，因为入侵者可以利用堆栈溢出，

35、在函数返回时改变返回程序的地址，让其跳转到任意地址，带来的危害一种是程序崩溃导致拒绝服务，另外一种就是跳转并且执行一段恶意代码，比如得到shell，然后为所欲为。缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权。为了达到这个目的，攻击者必须达到如下的两个目标：在程序的地址空间里安排适当的代码；通过适当的初始化寄存器和内存，让程序跳转到入侵者安排的地址空间执行。5.2 缓冲区益处危害缓冲区溢出漏洞的危害性非常大，与其他一些黑客攻击手段相比更具破坏力和隐蔽性。主要体现在如下几个方面：(1) 漏洞普遍存在，而且极容易使服务程序停止运行、死机甚至删除数据。(

36、2) 漏洞在发现之前，一般程序员是不会意识到自己的程序存在漏洞，从而疏忽监测。(3) 黑客通过缓冲区溢出嵌入的非法程序通常都非常短，而且不像病毒那样存在多个副本，因此，很难在执行过程中被发现。(4) 由于漏洞存在于防火墙内部，攻击者所发送的字符串一般情况下不会受到防火墙的阻拦，而且，攻击者通过执行核心级代码所获得的本来不运行或没有权限的操作，在防火墙看来是合法的，因此，防火墙是无法检测远程缓冲区溢出攻击的。(5) 一个完整的核心代码的执行并不一定会使系统报告错误，并可能完全不影响正常程序的运行，因此，系统和用户都很难觉察到攻击的存在。(6) 缓冲区溢出攻击在没有发生攻击时攻击程序并不会有任何变

37、化，攻击的随机性和不可预测性都使得防御缓冲区溢出攻击变得异常困难。知识应用1. 黑客渗透视角利用缓冲区溢出对目标机进行攻击，获取超级用户权限，进而控制目标机。例如：黑客李某在入侵某公司管理员的主机后，为了获得更多“肉鸡”，对内网中的其他主机进行漏洞扫描，并发现了缓冲区溢出漏洞，他立即根据这些漏洞精心设计了获取超级用户权限的溢出程序，开始对存在漏洞的主机实施攻击，在很隐蔽的情况下得到了超级用户的权限，从而实现了对其他主机的控制。2. 网络运维视角加强网络安全意识，采取有效地防范措施，避免系统受缓冲区溢出的攻击。例如：要完全避免缓冲区溢出造成的安全威胁是不可能的，但系统管理员可以构建完善的防范体系

38、来降低缓冲区溢出攻击的威胁。目前，有效地防范措施主要有：(1) 通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码(shellcode)。(2) 程序开发人员书写正确的、安全的代码。(3) 利用编译器的边界检查来实现缓冲区的保护，使得缓冲区溢出不可能出现，从而完全消除缓冲区溢出的威胁。5.3 实验步骤实验操作前实验主机需从web资源库下载ms06040漏洞攻击工具和netcat工具。注实现过程中，主机a和主机b可同时进行以下步骤。1. 远程缓冲区溢出(1) 主机a利用netcat在本地监听60350端口。当溢出成功后，漏洞服务会通过60350端口与远程主机建立连接。单击“开始”|“运行

39、”，输入“cmd”。进入netcat目录。使用命令：执行效果如下：(2) 主机a发起溢出攻击主机b，单击“开始”|“运行”|“cmd”。新建一个命令行窗口，进入溢出攻击目录。利用工具输入如下命令进行远程溢出：上面命令实现向远程主机发起远程溢出攻击，溢出成功后与本地主机通过60350端口建立连接程序。(3) 获取cmdshell。当主机a成功实现溢出攻击后，步骤3中的控制台窗口出现如下图所示界面。此时，已经获得了远程主机的cmdshell。输入“ipconfig”命令验证主机b的ip配置信息。确认此时控制台为远程主机b的cmdshell（溢出cmdshell）。2. 溢出cmdshell的利用(

40、4) 主机a实现文件上传到主机b。主机a在溢出cmdshell下执行如下命令，新建一个用户。(5) 将新添加的用户加入管理组。在溢出cmdshell下执行如下命令：(6) 将主机b的c盘添加默认共享。在溢出cmdshell下执行如下命令：(7) 建立与主机b的连接。在本机的命令行下执行如下命令：(8) 上传文件。主机a在本机的命令行下执行如下命令：(9) 删除在主机b上新建用户。主机a在溢出cmdshell下执行如下命令：(10) 主机b查看在本地c盘根目下是否有主机a上传的文件。第六章 任务6 远程控制第六章 任务6 远程控制6.1 远程控制基本原理远程控制是在网络上由一台电脑（主控端 re

41、mote/客户端）远距离去控制另一台电脑（被控端 host/服务器端）的技术，主要通过远程控制软件实现。远程控制软件工作原理：远程控制软件一般分客户端程序(client)和服务器端程序(server)两部分，通常将客户端程序安装到主控端的电脑上，将服务器端程序安装到被控端的电脑上。使用时客户端程序向被控端电脑中的服务器端程序发出信号，建立一个特殊的远程服务，然后通过这个远程服务，使用各种远程控制功能发送远程控制命令，控制被控端电脑中的各种应用程序运行。6.2 实验步骤实验操作前实验主机需要从网络拟攻击系统下载实验所需的远程控制程序（灰鸽子）。1. 配置木马服务器程序主机a运行灰鸽子木马程序，点

42、击“配置服务程序”按钮，进入“服务器配置”界面，在“ip通知http访问地址、dns解析域名或固定ip”文本框中输入本机ip地址。点击“安装选项”页签，选中“程序安装成功后提示安装成功”和“程序运行时在任务栏显示图标”两个复选框。最后在“保存路径”选项中将木马生成在桌面，单击“生成服务器”按钮，生成木马服务器程序。2. 远程控制连接的建立主机a将生成的被控制端安装程序发送给主机b。主机b运行安装程序，并观察本机有何现象。（弹出提示窗口“灰鸽子远程控制服务端安装成功”；在系统托盘区出现如下图标）3. 进行远程控制主机a等待“灰鸽子远程控制”程序主界面的“文件管理器”属性页中“文件目录浏览”树中出

43、现“自动上线主机”后，对主机b进行远程控制。在“自动上线主机”中选择主机b，选择d盘，点击右侧的“上传文件”按钮（若上传按钮为灰色，请单击右侧空白处），在新弹出的窗口中选择要上传的文件，点击“确定”按钮即可完成文件的上传。主机a浏览找到主机b的“c:windowssystem32”目录,单击选中cmd.exe程序，单击按钮将其删除。主机a通知主机b验证。主机b单击“开始”|“运行”|“cmd”。查看cmd.exe程序删除后的效果。第七章 任务7 主机发现4. 获取屏幕主机a再次在“自动上线主机”中选择主机b，点击“捕获屏幕”按钮。在弹出的“远程屏幕”界面中，点击“传送鼠标和键盘操作”按钮后，即

44、可通过鼠标来进行远程控制了。5. 卸载被控制端主机a退出远程屏幕功能，选择“自动上线主机”中的主机b，点击“远程控制命令”页签，点击“卸载服务端”按钮，即可完成被控制端程序的卸载。主机b观察本机有何变化。（系统托盘区小图标消失）第七章 任务7 主机发现7.1 主机发现概述任何网络探测任务的最初几个步骤之一就是把一组ip范围(有时该范围是巨大的)缩小为一列活动的或者你所感兴趣的主机，这个过程称之为“主机发现”。什么样的主机令你感兴趣主要依赖于扫描的目的。网络管理员也许只对运行特定服务的主机感兴趣，而从事安全的人士则可能对每一个细节都感兴趣。一个系统管理员也许仅仅使用ping来定位内网上的主机，而

45、一个外部入侵测试人员则可能绞尽脑汁用各种方法试图突破防火墙的封锁。7.2 主机发现原来主机发现有时候也叫做ping扫描，但它远远超越用世人皆知的ping工具发送简单的icmp回显请求报文，也可以使用arp扫描、tcp syn/ack、udp等多种扫描与连接探测。这些探测的目的是获得响应以显示某个ip地址是否是活动的(正在被某主机或者网络设备使用)。 在许多网络上，在给定的时间，往往只有小部分的ip地址是活动的。这种情况在基于rfc1918的私有地址空间如/8尤其普遍。那个网络有16,000,000个ip，然而，在使用它的大多数公司中连1000台机器都没有。主机发现就是要找到零星

46、分布于ip地址海洋上的那些机器。7.4 主机发现1. 利用arp协议实现主机发现向目的主机发送arp请求报文后，如果接收到目的主机返回的arp应答报文，那么说明目的主机处于活动状态；否则，说明目的主机处于不活动状态。利用arp协议实现主机发现的过程如下图所示：2. 利用icmp协议实现主机发现向目的主机发送icmp回显请求报文后，如果接收到目的主机返回的icmp回显应答报文，那么说明目的主机处于活动状态；否则，说明目的主机处于不活动状态。【注】利用icm进行主机发现时，应注意防火墙存在的现象，如果目标主机进行了防火墙设置，禁止icmp回显请求数据包通过，则主机发现失败。7.5 实验步骤实验操作

47、前实验主机需从web资源库下载实验所需局域网扫描器软件。1 主机扫描(1) 主机a运行“局域网扫描器”，在“扫描地址”栏中输入扫描的ip范围。（注意：需与本机同网段），扫描方式为默认方式“普通扫描”，点击“扫描”按钮开始扫描目标ip段内存活主机。(2) 扫描结果包括“ip地址”、 “mac地址”和“主机名”三部分。2. 结果对比(3) 扫描完成后，主机a将扫描结果与扫描到的同组主机进行对比，并针对当前网络环境验证其正确性。第八章 任务8 端口扫描第八章 任务8 端口扫描8.1端口扫描概述网络中的每一台计算机如同一座城堡，在这些城堡中，有的对外完全开放，有的却是紧锁城门。入侵者们是如何找到，并打

48、开他们的城门的呢？在网络技术中，把这些城堡的“城门”称之为计算机的“端口”。一个端口就是一个潜在的通信通道，也就是一个入侵通道。端口扫描是入侵者收集信息的常用手法之一，也正是这一过程最容易使入侵者暴露自己的身份和意图。通常扫描端口有如下目的：a) 判断目标主机上开放了哪些服务；b) 判断目标主机的操作系统。对目标计算机进行端口扫描的方法很多，可以是手工进行扫描，也可以用端口扫描软件进行。在手工进行扫描时，需要熟悉各种命令，对命令执行后的输出进行分析。用扫描软件进行扫描时，许多扫描器软件都有分析数据的功能。 通过端口扫描，入侵者能够掌握目标主机开放了哪些服务，运行何种操作系统，进而发现系统的安全

49、漏洞，就可以使用相应的手段实现入侵。8.2 端口扫描原理1. 全tcp连接扫描这种扫描方法使用三次握手，与目标计算机建立标准的tcp连接。如果端口处于侦听状态，那么连接就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的优点是不需要任何权限，但这种方法的缺点是很容易被发觉，并且被过滤掉。 2. 半打开式扫描（syn扫描）在这种扫描技术中，扫描主机自动向目标主机的指定端口发送syn数据段，表示发送建立连接请求。a. 如果目标计算机的回应tcp报文中syn=1，ack=1，则说明该端口是活动的，接着扫描主机传送一个rst给目标主机拒绝建立tcp连接，从而导致三次握手过程的失败。b. 如果

50、目标计算机的回应是rst，则表示该端口为“死端口”，扫描主机不用做任何回应。由于扫描过程中，全连接尚未建立，所以大大降低了被目标主机记录的可能性，并且加快了扫描的速度。但这种方法的一个缺点是，必须要有root权限才能建立自己的syn数据包。3. fin扫描在tcp报文中有一个字段为fin，fin扫描则依靠发送fin来判断目标计算机的指定端口是否活动。发送一个fin=1的tcp报文到一个关闭的端口时，该报文会被丢掉，并返回一个rst报文，但如果当fin报文到一个活动的端口时，该报文只是简单的丢掉，不会反回任何回应。可以看出，fin扫描没有涉及任何tcp连接部分，因此比前两种扫描都安全，称之为秘密

51、扫描。4. 第三方扫描第三方扫描又称“代理扫描”，是利用第三方主机来代替入侵者进行扫描。这个第三方主机一般是入侵者通过入侵其他计算机而得到的，该第三方主机常被入侵者称之为“肉鸡”。8.3 实验步骤实验操作前实验主机需从web资源库下载实验所需nmap软件、winpcap软件程序（nmap需要winpcap支持）。1. 主机a默认安装winpcap程序。2. 主机a利用工具，发起端口扫描，扫描远程主机的特定端口。对扫描软件的更细致说明，请参考web资源库中相关工具使用手册。(1) 单击“开始”|“运行”|“cmd”，并进入nmap扫描工具所在目录。(2) 执行nmap命令，对远程主机开放的tcp

52、端口同步扫描（范围1-150），将结果保存到c盘tcp.txt中。(3) 执行nmap命令，对远程主机开放的udp端口同步扫描（范围110-140），将结果保存到c盘udp.txt中。(4) 执行nmap命令，探测远程目标主机的操作系统。(5) 执行nmap命令，对局域网进行ping探测扫描，并将结果保存在c盘host.txt文件中。(6) 执行nmap命令，探测局域网开放指定端口服务主机，包括80、21、23、1433和3306端口。将结果保存到c盘service.txt中。 (7) 主机b同时进行步骤(1)-(6)对主机a进行端口扫描。3. 根据扫描结果，完成下表网络地址开放端口mac地址

53、提供服务操作系统第九章 任务9 漏洞扫描第九章 任务9 漏洞扫描9.1 漏洞扫描概述漏洞扫描是一种网络安全扫描技术，它基于局域网或internet远程检测目标网络或主机安全性。通过漏洞扫描，系统管理员能够发现所维护的web服务器的各种tcp/ip端口的分配、开放的服务、web服务软件版本和这些服务及软件呈现在internet上的安全漏洞。漏洞扫描技术采用积极的、非破坏性的办法来检验系统是否含有安全漏洞。网络安全扫描技术与防火墙、安全监控系统互相配合使用，能够为网络提供很高的安全性。漏洞扫描分为利用漏洞库的漏洞扫描和利用模拟攻击的漏洞扫描。利用漏洞库的漏洞扫描包括：cgi漏洞扫描、pop3漏洞扫

54、描、ftp漏洞扫描、ssh漏洞扫描和http漏洞扫描等。利用模拟攻击的漏洞扫描包括：unicode遍历目录漏洞探测、ftp弱口令探测、openrelay邮件转发漏洞探测等。9.2 漏洞扫描原理1. 漏洞库匹配法基于漏洞库的漏洞扫描，通过采用漏洞规则匹配技术完成扫描。漏洞库是通过以下途径获取的：安全专家对网络系统的测试、黑客攻击案例的分析以及系统管理员对网络系统安全配置的实际经验。漏洞库信息的完整性和有效性决定了漏洞扫描系统的功能，漏洞库应定期修订和更新。2. 插件技术（功能模块技术）插件是由脚本语言编写的子程序，扫描程序可以通过调用它来执行漏洞扫描，检测系统中存在的漏洞。插件编写规范化后，用户

55、可以自定义新插件来扩充漏洞扫描软件的功能。这种技术使漏洞扫描软件的升级维护变得相对简单。9.3 漏洞扫描工具名称描述特点mysfindmysfind是一个命令行程序，它采用多线程扫描系统漏洞。主要用于扫描printer漏洞和unicode漏洞。目前的扫描方式支持3种：-all 扫描所有的漏洞-e 扫描printer漏洞-u 扫描unicode漏洞速度快、结果准。x-scanx-scan采用多线程方式对指定ip地址段(或单机)进行安全漏洞扫描，支持插件功能，提供了图形界面和命令行两种操作方式。扫描内容包括：远程操作系统类型及版本、cgi漏洞、rpc漏洞、sql-server默认帐户、ftp弱口令

56、，nt主机共享信息、用户信息、组信息等。x-scan可以自定义扫描端口，可以自定义nt、ftp、sql server的默认帐号，还可以自己维护cgi漏洞列表，给用户很大的自由空间。rangescanrangescan是一款开放式多网段扫描器，可以自定义扫描内容，根据加入的扫描内容来扫描特定主机。与x-scan相比，大大加快了扫描速度。9.4 实验步骤实验操作前实验主机需从web资源库下载实验所需漏洞扫描工具xscan及ms06040漏洞扫描工具，并从网络拟攻击系统下载ms06040漏洞补丁。注实现过程中，主机a和主机b可同时进行以下步骤。1. 主机a扫描漏洞(1) 主机a双击xscan文件夹下xsc