安全工具研究
1.五种安全工具介绍
Metasploit
Metasploit是一个免费的、可下载的框架，通过它可以很容易地获取、开发并对计算机软件漏洞实施攻击。它本身附带数百个已知软件漏洞的专业级漏洞攻击工具。当H.D. Moore在2003年发布Metasploit时，计算机安全状况也被永久性地改变了。仿佛一夜之间，任何人都可以成为黑客，每个人都可以使用攻击工具来攻击那些未打过补丁或者刚刚打过补丁的漏洞。软件厂商再也不能推迟发布针对已公布漏洞的补丁了，这是因为Metasploit团队一直都在努力开发各种攻击工具，并将它们贡献给所有Metasploit用户。
Metasploit的设计初衷是打造成一个攻击工具开发平台，本书稍后将讲解如何开发攻击工具。然而在目前情况下，安全专家以及业余安全爱好者更多地将其当作一种点几下鼠标就可以利用其中附带的攻击工具进行成功攻击的环境。
Metasploit框架使Metasploit具有良好的可扩展性，它的控制接口负责发现漏洞、攻击漏洞，提交漏洞，然后通过一些接口加入攻击后处理工具和报表工具。Metasploit框架可以从一个漏洞扫描程序导入数据，使用关于有漏洞主机的详细信息来发现可攻击漏洞，然后使用有效载荷对系统发起攻击。所有这些操作都可以通过Metasploit的Web界面进行管理，而它只是其中一种种管理接口，另外还有命令行工具和一些商业工具等等。
攻击者可以将来自漏洞扫描程序的结果导入到Metasploit框架的开源安全工具Armitage中，然后通过Metasploit的模块来确定漏洞。一旦发现了漏洞，攻击者就可以采取一种可行方法攻击系统，通过Shell或启动Metasploit的meterpreter来控制这个系统。
Wireshark
Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。
网络封包分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵的，或是专门属于盈利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。
Nessus
Nessus 是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75,000个机构使用Nessus 作为扫描该机构电脑系统的软件。
1998年, Nessus 的创办人 Renaud Deraison 展开了一项名为 "Nessus"的计划，其计划目的是希望能为因特网社群提供一个免费、威力强大、更新频繁并简易使用的远端系统安全扫描程序。经过了数年的发展, 包括 CERT 与 SANS 等著名的网络安全相关机构皆认同此工具软件的功能与可用性。
2002年时, Renaud 与 Ron Gula, Jack Huffard 创办了一个名为 Tenable Network Security 的机构。在第三版的Nessus 发布之时, 该机构收回了 Nessus 的版权与程序源代码 (原本为开放源代码), 并注册成为该机构的网站。 目前此机构位于美国马里兰州的哥伦比亚。
Aircrack
Aircrack是一套用于破解WEP和WPA的工具套装，一般用于无线网络的密钥破解，从而非法进入未经许可的无线网络。
只要一旦收集到足够的加密数据包，利用它就可以破解40到512位的WEP密匙，也可以通过高级加密方法或暴力破解来破解WPA1或2网络。Aircrack-ng是由6个不同部分组成的套件:
1.aircrack-ng 用于破解WEP以及WPA-PSK密钥。一旦aircrack-ng工具收集了足够的信息，aircrack-ng将会分析这些数据，并试图确定使用中的密钥。
2.airdecap-ng 解读被破解的网络数据包
3.airmon-ng 为使用整个aircrack-ng套件配置一个网卡
4.aireplay-ng 在无线网络中产生可能在恢复中的WEP密钥所需的流量
5.airodump-ng 捕获被aircrack-ng用于破解WEP密钥的802.11帧
6.tools 为微调提供分类工具箱
ophcrack
Ophcrack是一个使用Rainbow table来破解视窗操作系统下的LAN Manager散列（LM hash）的计算机程序，它是基于GNU通用公共许可证下发布的开放源代码程序。
它接受不同格式的散列，包括视窗作业系统的SAM档案。使用作者免费提供的Rainbow table，可以在短至几秒内破解最多14个英文字母的密码，有99.9%的成功率。包含更多文字（包括符号和空格）的Rainbow table可以在Objectif Securite购买。
从2.3版开始可以破解 NT 散列，这功能对已经关闭 LAN Manager 散列的系统（Windows Vista 的预订设定）或是长于14个字母的密码特别有用。 它另有一个自生系统的版本，可以自动破解视窗作业系统的密码。
使用Ophcrack破解系统Hash密码。在密码破解上，平时用的最多的是它，可以在很短的时间内控制并渗透内部网络。
2.两种安全工具使用教程
Metasploit
- 使用nmap进行端口扫描
检查系统漏洞的关键，就是检测端口的开放，这个也是metasploit种exploit模块经常要设置参数的原因，所以nmap很好的解决了这个需求，通常使用：nmap –sV IP(或者域名)，如果机器设置有防火墙禁ping，可以使用nmap -P0(或者-Pn) –sV IP(或者域名)，通过这两个命令可以查看主机的开放情况：
可以看到靶机开放的端口，开放状态，服务类型，和版本号，其中渗透最重要的两个参数是开放状态和版本号。如果端口是关闭的，那就不可能渗透了，一般是防火墙过滤了，但如果是过滤的话，还是可以尝试攻击；版本号也就是系统扫描中，在开发安全扫描件里经常提及的漏洞指纹，因为大部分漏洞的产生就是某一版本的问题。 - 使用search命令查找相关模块
就之前锁定的139端口的版本信息，可以通过search命令查找相关的扫描脚本。命令格式：search Name。
如图，jiaoben 也有很多属性，其中最重要的就是等级，一般优先选择excellent和great两种等级，因为稳定且效果明显，其次重要的就是后面的描述是否和我们攻击的服务有关，最后记住需要的模块，在后面攻击时使用。 - 使用use调度模块
找到了需要攻击的目标模块，就使用它，通过命令：use ExploitName。该例就是：use exploit/multi/samba/usermap_script。
如图，出现该提示，就是说明模块加载成功。 如果是知道使用哪个模块，可以输入每个 / 后的前2-4个字母使用table补齐，或者直接复制找到的模块。 - 使用info查看模块信息
输入info命令，查看描述，确定是否针对漏洞
- 选择payload作为攻击
选择payload，首先我们要看能使用哪些参数，通过命令show payloads
在选择攻击载荷的时候，建议选用和meterpreter和reverse相关的载荷，使用命令：set payload PayloadName（路径名）。出现下图，表示设置成功。
- 设置攻击参数
首先通过show options或者options，查看需要填写的参数：
其中标红处如果是yes，表示这行参数必须填写，如果是no，就是选填，其中有LHOST和RHOST是空，我们根据后面的描述，填上靶机和本地主机的信息。
RHOST 填写目标机IP，LHOST填写本机IP。 - 渗透攻击
确保参数完整，然后使用exploit或者run。
Wireshark
1.认识界面
常用按钮从左到右的功能依次是：
- 列出可用接口。
- 抓包时需要设置的一些选项。一般会保留最后一次的设置结果。
- 开始新的一次抓包。
- 暂停抓包。
- 继续进行本次抓包。
- 打开抓包文件。可以打开之前抓包保存后的文件。不仅可以打开wireshark软件保存的文件，也可以打开tcpdump使用-w参数保存的文件。
- 保存文件。把本次抓包或者分析的结果进行保存。
- 关闭打开的文件。文件被关闭后，就会切换到初始界面。
- 重载抓包文件。
2.设置数据抓取选项
点击常用按钮中的设置按钮，就会弹出设置选项对话框。在这个对话框中我们可以选中需要监听的接口，设置混杂模式，设置抓取数据包的过滤条件。如下图：
首先，选中需要监听获取数据包的接口。接口列表区列出了所有可以使用的接口。如果接口前面的复选框被选中，说明对这个接口监听捕获数据包。
其次，设置混杂模式。设置混杂模式的作用是将网卡设置到混杂模式。如果不设置混杂模式，你的计算机只能获取数据包发往的目标是你计算机和从你计算机出去的数据包。如果设置了混杂模式，你就可以捕获局域网中所有的数据包。如果窗口中的 "Use promiscuous mode on all interfaces"前面的复选框被选中，说明对所有的接口使用混杂模式。如果想单独设置，可以双击接口列表中的接口，会弹出如下的对话框。然后选中或者去掉“Capture packets in promiscuous mode”前面复选框。然后点ok按钮。
再次，设置捕获过滤条件。在点设置按钮弹出的主设置对话框中和双击接口列表弹出的对话框中都会有“Capture Filter”项。在文本框中我们可以设置捕获过滤条件。如，我们只捕获http相关的数据包，我们就可以设置捕获条件为“port 80”。因为http使用的是80端口。
最后，所有的设置完毕后，点击设置主窗口中的“Start”按钮，开始捕获数据。数据捕获完后，可以点常用按钮中的“保存”按钮保存数据。
3.使用显示过滤器
显示过滤器应用于捕获文件，用来告诉wireshark只显示那些符合过滤条件的数据包。显示过滤器比捕获过滤器更常用。他可以用来过滤不想看到的数据包，但是不会把数据删除。如果想恢复原状，只要把过滤条件删除即可。
过滤器表达式对话框，是的wireshark的可以很简单的设置过滤表达式。点击“Expression”按钮就可以打开这个对话框。如下图：
对话框分左中右三部分。左边为可以使用的所有协议域。右边为和协议域相关的条件值。中间为协议域与条件值之间的关系。过滤器表达式对于初学者很有用。如上图，我们创建的表达式的作用是，只显示http协议包中包含关键词“bo56.com”的所有数据包。
- Field name说明：
这个列表中展示了所有支持的协议。点击前面的三角标志后，可以列出本协议的可过滤字段。当选中“Field name”列表中的任何一项，只需要输入你想要的协议域，就会自动定位到相应的协议域选项。 - Relation说明：
is present 如果选择的协议域存在，则显示相关数据包。
contains 判断一个协议，字段或者分片包含一个值
matches 判断一个协议或者字符串匹配一个给定的Perl表达式。 - Value（Protocol）说明：
此处输入合适的值。如果选择的协议域和这个值满足Relation中指定的关系，则显示相关数据包。 - Predefined values说明：
有些协议域包含了预先定义的值，有点类似于c语言中的枚举类型。如果你选择的协议域包含这样的值，你可以在这个列表中选择。 - Function函数说明：
过滤器的语言还有下面几个函数：
upper(string－field)－把字符串转换成大写
lower(string－field)－把字符串转换成小写
upper((和lower((在处理大小写敏感的字符串比较时很有用。例如：
upper(ncp.nds_stream_name) contains "BO56.COM"
lower(mount.dump.hostname) =="BO56.COM"
如果熟悉了这个规则之后就会发现手动输入表达式更有效率。当时手动在flter文本框中输入表达时，如果输入的语法有问题，文本框的背景色会变成红色。这时候，你可以继续输入或者修改，知道文本框中的表达式正确后，文本框的背景色又会变成绿色。
4.使用图表
图形分析是数据分析中必不可少的一部分。也是wireshark的一大亮点。wireshark有不同的图形展现功能，以帮助你了解捕获的数据包。下面我们对经常使用的IO图，双向时间图做下介绍。
- IO图
wireshark的IO图让你可以对网络上的吞吐量绘图。让你了解网络数据传输过程中的峰值和波动情况。通过“Statistics”菜单中的“IO Graphs”选项可以打开这个IO图对话框。如下图：
可以看到IO图表对话框中会分为三个区。
过滤器区：设置过滤条件，用于图形化展示过滤条件相关数据包的变化情况。而且可以为每个不同的条件指定不同的颜色。过滤条件的语法和之前介绍的显示过滤器的语法一致。过滤条件为空，此图形显示所有流量。
坐标区：在这里可以设置图表的x轴和y轴。x轴为时间，y轴为包的数量。如图，我们设置Y轴的单位是Bytes/Tick。
趋势图区：根据过滤器设置的条件和坐标区设置，数据分析后回在这个区域以图形化方式展示。点击图形中的点，会自动定位到相应的数据包。点击趋势图中的低谷点，你会发现大量的数据包重传。 - 双向时间图
wireshark还有一个功能就是可以对网络传输中的双向时间进行绘图。双向时间（round-trip time, RTT）,就是一个数据包被确认正常接收所花费的时间。以tcp协议为例，就是你push一个数据到一台主机，主机回应一个ack给你的主机，你的主机并成功接收ack回应。这两个过程花费的时间总和就是双向时间。双向时间通常用来寻找网络传输过程中的慢点和瓶颈，用以判断网络传输是否有延迟。
5.跟踪tcp流
Wireshark分析功能中最不错的一个功能是它能够将TCP流重组。重组后的数据格式更容易阅读。跟踪TCP流这个功能可以将接收到的数据排好顺序使之容易查看，而不需要一小块一小块地看。这在查看HTTP、FTP等纯文本应用层协议时非常有用。
我们以一个简单的HTTP请求举例来说明一下。打开wireshark_bo56_pcap.pcapng，并在显示过滤器中输入“http contains wireshark”，点击“apply”按钮后，在数据包列表框中就会只剩下一条记录。如下图。
右键单击这条记录并选择Follow TCP Stream。这时TCP流就会在一个单独的窗口中显示出来。如下图：
我们看到这个窗口中的文字会有两种颜色。其中红色用于表示从源地址到目标地址的流量。在我们的例子里面就是从我们本机到web服务器的流量。你可以看到最开始的红色部分是一个GET请求。蓝色部分是和红色部分相反的方向，也就是从目标地址到源地址的流量。在我们的例子中，蓝色部分的第一行是“HTTP/1.1 200 OK”，是来自服务器的一个http成功响应。
在这个窗口中除了能够看到这些原始数据，你还可以在文本间进行搜索，将其保存成一个文件、打印，或者以ASCII码、EBCDIC、十六进制或者C数组的格式去查看。这些选项都可以在跟踪TCP流窗口的下面找到。