网络对抗实验2010-11.docVIP

《网络对抗技术》课程 实验讲义 目 录 实验1信息搜集 3 实验2端口扫描 19 实验3漏洞扫描法 28 实验4网络嗅探 31 实验5缓冲区溢出 48 实验6拒绝服务攻击 56 实验7网络后门 61 实验8后门启动技术 70 实验9特洛伊木马 75 实验1信息搜集 前言 生存时间（TTL）：指定数据报被路由器丢弃之前允许通过的网段数量。TTL是由发送主机设置的，以防止数据包在网络中循环路由。转发IP数据包时，要求路由器至少将TTL减小1。 TTL字段值可以帮助我们猜测操作系统类型，如表13-1-2所示。 表13-1-2 各操作系统ICMP回显应答TTL对照 三．Nmap介绍 nmap是一个网络探测和安全扫描程序，系统管理者和个人可以使用这个软件扫描大型的网络，获取哪台主机正在运行以及提供什么服务等信息。nmap支持很多扫描技术，例如：UDP、TCP connect()、TCP SYN(半开扫描)、ftp代理(bounce攻击)、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。nmap还提供了一些高级的特征，例如：通过TCP/IP协议栈特征探测操作系统类型，秘密扫描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口映射)，碎片扫描，以及灵活的目标和端口设定。 nmap运行通常会得到被扫描主机端口的列表。nmap总会给出well known端口的服务名(如果可能)、端口号、状态和协议等信息。每个端口的状态有：open、filtered、unfiltered。open状态意味着目标主机能够在这个端口使用accept()系统调用接受连接。filtered状态表示：防火墙、包过滤和其它的网络安全软件掩盖了这个端口，禁止nmap探测其是否打开。unfiltered表示：这个端口关闭，并且没有防火墙/包过滤软件来隔离nmap的探测企图。通常情况下，端口的状态基本都是unfiltered状态，只有在大多数被扫描的端口处于filtered状态下，才会显示处于unfiltered状态的端口。 根据使用的功能选项，nmap也可以报告远程主机的下列特征：使用的操作系统、TCP序列、运行绑定到每个端口上的应用程序的用户名、DNS名、主机地址是否是欺骗地址、以及其它一些东西。 四．Nmap常用命令选项 执行命令：nmap［扫描类型］［扫描选项］。常用命令选项见表13-1-3。 表13-1-3 nmap命令常用选项 【实验步骤 图13-1-1 HTTP会话分析 由图13-1-1可判断目标主机web服务使用的软件类型是 。 请探测目标主机FTP服务使用的软件类型是 。 （4）对活动主机IP协议进行探测 主机A使用Nmap命令对主机B进行IP协议探测： Nmap命令 ； 查看扫描结果 。 3. 探测总结 根据上述实验所得结果，填写表13-1-1。 表13-1-1 探测结果 【思考问题】 1.137/UDP端口提供的是什么服务？Linux系统是否提供此服务? 实验1.2 主机发现 【实验目的】 1.了解IP助手函数 2.掌握SendARP函数的使用方法 3.理解利用ARP协议实现主机发现的原理 【实验安排】 1学时 ；每组1人 【系统环境】 Windows；交换网络结构 ；主机支持的IP协议 【实验原理】 一.主机发现 任何网络探测任务的最初几个步骤之一就是把一组IP范围(有时该范围是巨大的)缩小为一列活动的或者你所感兴趣的主机。扫描每个IP的每个端口很慢，通常也没必要。当然，什么样的主机令你感兴趣主要依赖于扫描的目的。网络管理员也许只对运行特定服务的主机感兴趣，而从事安全的人士则可能对每一个细节都感兴趣。一个系统管理员也许仅仅使用Ping来定位内网上的主机，而一个外部入侵测试人员则可能绞尽脑汁用各种方法试图突破防火墙的封锁。 二.利用ARP协议实现主机发现 1．ARP协议简介 Internet是由各种各样的物理网络通过使用诸如路由器之类的设备连接在一起组成的。主机发送一个数据包到另一台主机时可能要经过多种不同的物理网络。主机和路由器都是在网络层通过逻辑地址来识别的，这个地址是在全世界内唯一的。然而，