中国人民公安大学
Chinese people’ public security university
网络对抗技术
实验报告
|
实验二 |
|
网络嗅探与欺骗 |
|
学生姓名 |
周旸昊 |
|
年级 |
2018级 |
|
区队 |
网络安全与执法实验班 |
|
指导教师 |
高见 |
信息技术与网络安全学院
2016年11月7日
实验任务总纲
2016—2017 学年 第 一 学期
一、实验目的
1．加深并消化本课程授课内容，复习所学过的互联网搜索技巧、方法和技术；
2．了解并熟悉常用的网络嗅探方式，掌握常用抓包软件的使用方法和过滤技巧，能够对给定的数据包分析网络基本行为；掌握ARP欺骗的基本原理，以及基于ARP欺骗的DNS攻击方式；
3．达到巩固课程知识和实际应用的目的。
二、实验要求
1．认真阅读每个实验内容，需要截图的题目，需清晰截图并对截图进行标注和说明。
2．文档要求结构清晰，图文表达准确，标注规范。推理内容客观、合理、逻辑性强。
3．软件工具可使用office2003或2007、CAIN、Wireshark等。
4．实验结束后，保留电子文档。
三、实验步骤
1．准备
提前做好实验准备，实验前应把详细了解实验目的、实验要求和实验内容，熟悉并准备好实验用的软件工具，按照实验内容和要求提前做好实验内容的准备。
2．实验环境
描述实验所使用的硬件和软件环境（包括各种软件工具）；
开机并启动软件office2003或2007、浏览器、Wireshark、CAIN。
工具下载地址：
CAIN https://pan.baidu.com/s/19qDb7xbj1L_2QnoPm71KzA
Wireshark 链接：https://pan.baidu.com/s/1BeXghjVV9Mll_cAmeMCTPg 密码：mbpv
迷你FTP https://pan.baidu.com/s/16ms4hXVOmMHhDEe3WraRHQ
NetworkMiner https://pan.baidu.com/s/14e3VluLPjWFKxqNhdpYO9Q
3．实验过程
1）启动系统和启动工具软件环境。
2）用软件工具实现实验内容。
4．实验报告
按照统一要求的实验报告格式书写实验报告。把按照模板格式编写的文档嵌入到实验报告文档中，文档按照规定的书写格式书写，表格要有表说图形要有图说。
第一部分 ARP欺骗
1.两个同学一组，进行实验拓扑环境如下图所示。
2.欺骗攻击前后，通过Arp-a命令验证欺骗是否成功（附截图）
3.欺骗过程中，在主机A开启Wireshark进行抓包，分析APR欺骗攻击过程中的数据包特点。（附截图）
4.欺骗过程中，在主机C开启Wireshark进行抓包，分析FTP协议的登录过程（附流程图）
5.欺骗完成后，主机C成功获取FTP用户名和密码（附截图）
ARP欺骗攻击过程展示
此攻击通过3个虚拟机实现，172.22.165.64为攻击者，172.22.161.59 、172.22.166.82为受害主机。
查询受害主机被欺骗前的状态：
ARP欺骗前172.22.161.59机正常缓存表
ARP欺骗前172.22.166.82机正常缓存表
2、在172.22.165.64号机器上运行cain,选择要嗅探的网卡（单网卡，默认就可以）
3、点选工具栏中的网卡图标，之后选择sniffer页，再选择左下角的hosts,右键选择“scan MAC address”，扫描局域网中的活动主机IP及MAC地址
除网关和主机外，扫描到了攻击目标172.22.161.59和172.22.166.82
3、选中ARP页-》点下列表栏空白处，大加号变为可选-》点大加号，在弹出的窗口中选择要嗅探的目标主机（注意这里的选择和单击欺骗嗅探不一样，左面直接点网关，其它机器自动出现在右侧列表中，这时需要按住ctrl键在右侧选择你需要嗅探的主机，如图所示）
点oK按钮，回到软件主窗体，如图所示（这是欺骗两台机器）
4、点击工具栏第三个图标（start ARP）就可以ARP欺骗了
下图为欺骗开始后在172.22.161.59 机器上用arp –a命令查询本机arp缓存表的情况，会发现缓存表中的网关对应的MAC地址变成了172.22.165.64号机（实施ARP欺骗的机器）的IP地址
下图为欺骗开始后在192.168.1.30机器上用arp –a命令查询本机arp缓存表的情况，会发现缓存表中的网关对应的MAC地址变成了192.168.1.50号机（实施ARP欺骗的机器）的IP地址
验证欺骗成功。
欺骗过程中，在172.22.161.59受害机开启Wireshark进行抓包，分析APR欺骗攻击过程中的数据包特点。（附截图）
172.22.165.64向被害主机发很多的ARP包，数据包伪装应答包，包括网关的IP地址和攻击者的mac地址。主机接收到一个应答包之后，并不会验证自己是否发送过对应的arp请求包，也不会验证这个arp请求包是否可信，而是直接用应答包里的IP地址和mac地址的对应关系替换掉arp缓存表里原有的对应关系，进而被欺骗。
欺骗过程中，在主机C开启Wireshark进行抓包，分析FTP协议的登录过程（附流程图）
FTP连接过程分析：
建立TCP连接
客户呼叫服务器21端口，客户端自已选一个端口如：50232
三次握手建立TCP连接
服务器发回FTP欢迎信息
220 ........... slyar FTPservice.
客户端登录
端口：50232－－21 客户－－服务器
客户端发送用户名niming，
FTP服务器回复： 331 Please specify the password.
客户端发送密码1，
服务器效验用户名和密码
1、用户名和密码正确服务器回复
230 Login successful. Have fun...
2、用户名或密码错误回复
530 Login incorrect.
欺骗完成后，主机192.168.31.240成功获取FTP用户名和密码（附截图）
可以得到：
用户名：niming
密码：1
第二部分 DNS
1. 两个同学一组，A和B。
2.A同学正常访问网站www.ppsuc.edu.cn
3.B同学扮演攻击者，设计攻击方法，使用CAIN，通过DNS欺骗的方式，让A同学访问www.ppsuc.edu.cn网址的时候，访问到另外一台机器上的伪造网站
重点步骤
在CAIN中添加DNS欺骗选项
欺骗成功后，在被害机器上查看www.ppsuc.edu.cn的IP 查看是否被解析到了，指定的IP地址上。
发现被害机器上www.ppsuc.edu.cn的IP被解析到了指定的IP地址上，欺骗成功。
第三部分 FTP协议分析
1. 两个同学一组，A和B。
2.A同学架设FTP服务器，并设置用户名和密码，例如gao / gao
3.B同学在机器中安装Wireshark，并将其打开；之后用用户名和密码登陆A同学的FTP服务器，并上传一张图片和一个压缩包。
4.B同学停止Wireshark抓包，并和A同学一起分析数据包中的FTP登录过程，还原登录用户名和密码，以及上传文件。
主机B的ftp命令登录过程：
主机A的FTP服务器收到测试图片和压缩包：
抓包后过滤，追踪流：
流分析
FTP登录过程分析：
建立TCP连接
客户呼叫服务器21端口，客户端自已选一个端口如：50232
三次握手建立TCP连接
服务器发回FTP欢迎信息
220 ........... slyar FTPservice.
客户端登录
端口：50232－－21 客户－－服务器
客户端发送用户名niming，
FTP服务器回复： 331 Please specify the password.
客户端发送密码1，
服务器效验用户名和密码
1、用户名和密码正确服务器回复
230 Login successful. Have fun...
2、用户名或密码错误回复
530 Login incorrect.
通过流分析：
得到用户名为niming
密码为1
上传的文件为ceshitupian.jpg图片和ceshiyasuobao.zip压缩包。
接下来还原FTP传输文件：
还原成功：
