20169215 2016-2017-2 《网络攻防实践》/《网络攻击与防范》第四周学习总结
教材学习内容总结
1、网络嗅探是一种黑客常用的窃听技术，通过网络嗅探器利用计算机的网络接口截获目的地为其他计算机数据报文。结合网络协议分析技术将得到的封包处理的二进制数据恢复成应用层信息。
2、网络嗅探作为最常用的内网渗透技术，其被动性和非干扰性使其具有很强的隐蔽性。同时也可以用于实际捕获与分析所开发应用程序的网络报文收发情况，从中分析可能的错误和问题。
3、网络嗅探技术可以按照所监听的链路层网络分类。以太网和Wi-Fi是目前有线局域网与无线局域网最流行的链路层协议。tcpdump支持对以太网的嗅探，Kismet支持对Wi-Fi网络的监听。无线嗅探器可以读取和分析如IEEE 802.11等无线传输协议的数据包。
4、网络嗅探器可以按照实现形式分为软件嗅探器和硬件嗅探器。硬件嗅探器也称为协议分析仪，通过专用硬件对网络数据进行捕获和分析，优点是速度快。软件嗅探器时限为不同类型操作系统上的应用软件，通过对网卡编程实现，速度慢。
5、以太网即 802.3 协议，共享信道，采用载波监听/冲突检测技术避免共享链路上的通信冲突。数据在以太网上以“帧”为单位传播。网卡驱动程序一般只接收目标MAC地址与网卡自身MAC地址相匹配的数据帧，在混在模式下接收一切通过它连接共享通信媒介的数据帧。
6、利用以太网部署有线局域网时根据部署方式不同分为共享式网络和交换式网络。在交换式网络中的网络嗅探方式：MAC地址洪泛攻击、MAC欺骗、ARP欺骗（最常用）。
7、类UNIX平台的网络嗅探技术主要通过内核态的BPF和用户态的libpcap抓包工具库实现。BPF支持“过滤”封包，过滤功能以BPF虚拟机机器语言的解释器形式实现。Libpcap是类UNIX平台用户态下的抓包工具。不活的数据包保存在pcap记录文件中。
8、wireshark以前的名称为ethereal，是当前类UNIX平台下最好的基于图形界面的嗅探器软件。tcpdump是通用的命令行网络嗅探与数据包分析程序，允许用户能够从主机所在网络上截取和显示特定的TCP/IP数据包。
9、Snort是用C语言编写的基于libpcap的网络入侵检测/防御系统，源码中实现网络协议分析的主要支持文件是decode.c和decode.h，最重要的数据结构是Packet，定义了Snort的处理对象，包含内容可以分为三类：指示原始数据的字段pkth，pkt（分别指向包头与数据包的指针）；用于存放当前数据包进行协议解析后信息的字段；标示字段。
使用tcpdump访问www.tianya.cn
嗅探从自己的IP发出并且目的端口号是80的数据包：
可以看到它访问了很多服务器，这只是其中一部分：
视频学习中的问题和解决过程
漏洞分析扫描工具
golismero
查看其帮助，有一些使用命令例子和参数信息、插件选项：
通过命令golismero plugins查看插件列表：
通过golismero scan http://172.16.69.153/扫描靶机：
Nikto.pl
Nikto是一款开源的（GPL）网页服务扫描器。
扫描参数：
简单扫描：目标基本WEB基本配置信息，服务器，PHP解析器等版本信息
perl nkito.pl -h {target-IP}
刚开始扫描靶机时候出现了0 host的情况，后来在网上查了下，降命令改成了nkito -h http://172.16.69.153/：
对多个端口进行扫描命令:
perl nikto.pl -h 192.168.0.1 -p 80, 88, 443
更新插件和数据库：
perl nikto.pl -update
Lynis 系统信息收集整理工具
对L牛膝操作系统详细配置等信息进行枚举收集，生成易懂的报告文件。相比之下，比nikto生成的报告直观。
通过命令lynis --check-all查看系统信息，使用-Q参数避免交互：
unix-privesc-check
unix-privesc-check也是一个信息收集工具，由pentestmonkey网站开发。有两个模式：standard和detailed。
也可以通过unix-privesc-check > log.txt将生成结果重定向到文件中。
WEB爬行
网站页面和路径枚举字典在/usr/share/wordlists中
apache-users
用户枚举脚本：
apache-users -h 172.16.69.153 -l /usr.share/wordlists/dirbuster/apache-user-enum-2.0.txt -p 80 -s 0 -e 403 -t 10
CutyCapt
网站截图工具：
DIRB
强大的目录扫描工具：
一些用法:
直接指定一个地址和目录进行扫描：
这个工具还可以指定后缀名进行扫描。
Dirbuster
Kali下的图形化目录扫描器，拥有直观的扫描结果。
WEB漏洞扫描
Cadaver
Cadaver是一个用来浏览和修改WebDAV共享的Unix命令行程序，使用了neon的HTTP库，在http://www.webdav.org/cadaver/上。它很适合基本的WebDAV调试，可以以压缩方式上传和下载文件，也会检验属性、拷贝、移动、锁定和解锁文件。
查看其参数：
但是在靶机上找不到dav目录：
DAVTest
测试对支持WebDAV的服务器上传文件等。
davtest -url <target-IP>
Deblaze
针对FLASH远程调用等的枚举。
Fimap
文件包含漏洞利用工具。
环境好像有点问题，所以没做成功。
Grabber
Grabber是一个WEB应用漏洞扫描器，可以指定扫描漏洞类型结合爬虫对网站进行安全扫描。
joomscan
css扫描工具。
SkipFish
由google出品的一款自动化的网络安全扫描工具。Skipfish通过HTTP协议处理且占用较低的CPU资源。
扫描方式，其中-o表示生成文件：
Skipfish -o /tmp/1.report heep://url/
扫描结果：
Uniscan-gui
有图形界面的扫描工具。
W3AF
w3af是一个应用程序攻击和检查的框架，插件包括检查网站爬虫、SQL注入、跨站、本地文件包含、远程文件包含等。
Wapiti
工作方式与nikto想死，采用黑盒的方式主动对被测Web应用进行扫描。它是由python语言卡发的，支持的协议有HTTP/HTTPS 1.0/1.1，HTTPS要求安装ssl库。
学习进度条
- 学习教材第四章内容
- 学习kali视频11-15