基于netwox/netwag 工具的网络协议攻防实验

实验目的:

理解基于网络协议的攻击原理, 掌握一些基于网络协议攻击的方法, 掌握 netwox/netwag 的使用方法。 实验环境: netwox/netwag 工具, wireshark 工具, Telnet 服务器, Telnet 客户端

实验准备:

1. 安装 netwox/netwag 工具:先安装 ActiveTcl,再解压安装

2. 安装配置 Telnet 服务器, Telnet 客户端

实验内容:

  1.  使用 netwox/netwag 工具伪造 TCP 包并进行抓包分析

2. 使用 netwox/netwag 工具对 Telnet 服务器进行 SYN flood 攻击,并进行抓包分析

3. 使用 netwox/netwag 工具对 Telnet 服务器进行 TCP RST 攻击,并进行抓包分析。

实验步骤记录:

实验准备:安装 Activetcl 和Netwox/Netwag工具

实验正式进行:

  1. 使用 netwox/netwag 工具的方法38伪造 TCP 包并进行抓包分析

基于netwox/netwag 工具的网络协议攻防实验

基于netwox/netwag 工具的网络协议攻防实验

2.使用 netwox/netwag 工具对 Telnet 服务器进行 SYN flood 攻击,并进行抓包分析

(1)在本地机器上配置激活 Telnet 服务器与 Telnet 客户端,以自己的学号创建新的用户;

1.1) 打开 Telnet 功能:控制面板-程序-程序和功能-打开或关闭 Windows 功能,勾选 Telnet 服务器, Telnet 客户端。

1.2)启动本地 Telnet 服务器,搜索-服务,点击服务,选择 Telnet,更改启动类型为 手动

1.3)增加 Win7 用户1515300024并将其加入 到Telnet 群组

1.4)手动启动 Telnet 服务器:net start Telnet

(2)启动本地 Wireshark;

(3)在第二台机器上登录有自己学号帐户的 Telnet 服务器,截屏及捕获登录踪迹;

从客户端命令行上输入 telnet IP 地址,之后输入帐号/口令字,登入 Telnet 服务器。同时在客户端开启Wireshark抓包工具,抓取客户端 192.168.1.130 登录到Telnet 服务器192.168.1.131 的数据包

下图为客户端登陆并执行一次dir命令的截图:

基于netwox/netwag 工具的网络协议攻防实验

下图为客户端Wireshark抓取的Telnet流量包截图截图:

基于netwox/netwag 工具的网络协议攻防实验

基于netwox/netwag 工具的网络协议攻防实验

使用Wireshark的流追踪功能还原出本次明文传输的Telnet通信过程,可以看出这些信息和客户端上的过程基本一致

基于netwox/netwag 工具的网络协议攻防实验

(4)退出登录,从第三台机器上利用 netwox/netwag 工具对Telnet服务器进行 SYN flood 攻击。捕获 DDOS 攻击踪迹。尝试再次登录 Telnet 服务器,解释现象。

 构造SYN flood攻击包如下:

基于netwox/netwag 工具的网络协议攻防实验

启动攻击:

基于netwox/netwag 工具的网络协议攻防实验

抓取的DDOS 攻击踪迹如下,可以发现这些攻击包高度相似,目的地址都是Telnet服务器的IP:192.168.1.131,类型都是SYN请求包,但是源地址没有任何规律

基于netwox/netwag 工具的网络协议攻防实验

此时在第二台机器上再次连接Telnet服务器,会出现以下无法连接的情况,因为在服务器的 23 端口积累了大量的SYN请求包需要服务器来处理,服务器向SYN包的源地址发送SYN/ACK 包并等待源地址的ACK包回复,但是由于源地址是伪造的,无法回复 ACK 包,服务器因此陷入等待状态,从而导致无法接收正常主机发起的 TCP 连接,造成拒绝服务现象。

基于netwox/netwag 工具的网络协议攻防实验

3.使用 netwox/netwag 工具对 Telnet 服务器进行 TCP RST 攻击,并进行抓包分析。

(1) 以你的学号创建一个 Telnet 账户,以这个账户为基础进行后继的实验。

 这一步只需使用之前配置好的账户即可

(2) 验证 TCP RESET 理论上的可行性

A 先在二主机之间建立一个 TCP 连接,通过抓包程序获得当前二主机的 ip 地址,端口号,序列号。 B 通过获得的信息伪造 TCP RESET 报文并发送。

C 观察原有 TCP 连接是否断开。

建立TCP 连接:Telnet 192.168.1.131

抓包获得当前二主机的 ip 地址,端口号,序列号如下:

源ip地址: 192.168.1.137, 目的ip地址: 192.168.1.131

源端口: 1056,  目的端口: 23,

序列号(Seq): 563773297, 确认号(Ack): 2245100282

基于netwox/netwag 工具的网络协议攻防实验

伪造的数据包发送完成后,Telnet客户端立即断开了连接,同时wireshark上也抓到了对应的伪造的RST数据包,结果截图如下:

基于netwox/netwag 工具的网络协议攻防实验

 

实验至此可以证明 TCP RESET 是可行的

(3) 验证窗口对 TCP RESET 攻击的影响

A 先在二主机之间建立一个 TCP 连接,通过抓包程序获得当前二主机的 ip 地址,端口号,序列号,另外就是记录下窗口的大小。

B 通过获得的信息伪造 TCP RESET,填写伪造的序列号时,使伪造序号大于准确的序列号但是与准确序列号的差小于窗口大小,发送 TCP RESET 报文。

C 观察原有 TCP 连接是否断开。 改动伪造的序列号,使其刚与准确的序列号之差刚好为窗口大小,重复以上实验。

3.1)伪造序号大于准确的序列号但是与准确序列号的差小于窗口大小

建立TCP 连接:Telnet 192.168.1.131

构造欺骗客户端的RST包:

抓取客户端发往服务器的TCP包获得当前二主机的 ip 地址,端口号,序列号,窗口大小如下:

源ip地址: 192.168.1.137, 目的ip地址: 192.168.1.131

源端口: 1146,  目的端口: 23,

序列号(Seq): 2649478470, 确认号(Ack): 3142715117,窗口的大小(win):62847

伪造欺骗客户端的TCP RESET 报文并发送:

使用确认号(Ack): 3142715117+10=3142715127作为伪造数据包的序列号(Seq),构造如下RST数据包:

基于netwox/netwag 工具的网络协议攻防实验

连接没有断开,而且可以看到,在RST包发出去以后,客户端立刻发了一个重传包给服务器,该重传包的数据和105号包是一致的,现在客户端仍然可以正常发送数据.

实验没有达到预期效果顺利断开,接着我尝试减少确认号(Ack)增加的值,结果发现+10,+5,+2,+1都不能断开连接,由此推测这样简单地构造RST包是不可行的,或许需要辅以其他手段。

3.2)改动伪造的序列号,使其刚与准确的序列号之差刚好为窗口大小基于netwox/netwag 工具的网络协议攻防实验

RST包发送后,客户端重传958号数据包,连接没有断开

基于netwox/netwag 工具的网络协议攻防实验

结果和3.1一样,无法中断telnet连接。

上一篇:centos7 使用telnet


下一篇:浏览器兼容性--new Date