《网络安全技术与实施》教案项目二

1、网络安全技术与实 施课程教案201 -201 学年度学期所属系部：任课教师：系 别授课对象 本次课学时 2 年级班次章节题目 项目二 协议分析 ARP协议目的要求 ( 含技能要 了解 ARP协议的报文格式；理解 ARP协议的作用；掌握 ARP协议的工作原理。求 ) 本节重点 ARP协议的工作原理本节难点 ARP协议的工作原理教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问 题 TCP/IP 协议。由于 TCP/IP 协议在最初设计时没有考虑到安全性问题而

2、只是用于科学研究，因此引 它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之门，入使得基于这些缺陷和漏洞的攻击形式多样。难 点 与 重 点 利用 Packet Tracer 分析 ARP协议的工作原理。讲 解 方 法课 程 小 1ARP协议的作用 2 ARP协议的报文格式 3 ARP协议的工作原理本 节次 课 小 节 教 后 通过本次授课使学生理解 ARP协议的作用及工作原理，利用 Packet Tracer 抓包软件分析札 ARP。记讨 论、思 考 题、作 尝试利用 GNS3软件分析 APR协议。业 ( 含 实 训 作 业 ) 授课教师：年月日教学过程： 引入新

3、课 ：随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议在最初设计时没有考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企业长春总部网络管理人员，工作之初，他时常会听到

4、领导、员工的责问：网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、 ARP协议 1ARP协议简介ARP全称为 Address Resolution Protocol，地址解析协议的缩写。所谓“ 地址解析”就是主机在发送数据包前将目标主机IP地址转换成目标主机MAC地址的过程。2ARP报文格式目的 MAC地址源 MAC地址0X8006 数据FCS 硬件类型协议类型硬件长度协议长度操作类型源主机的 MAC地址源主机的 IP 地址目的主机的 MAC地址目的主机的 IP 地址3ARP工作原理（1）首先， 每台主机都会在自己的ARP缓冲区中建立一个ARP列表

5、， 以表示 IP 地址和 MAC地址的对应关系。（2）当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP 地址对应的 MAC地址， 如果有， 就直接将数据包发送到这个 MAC地址； 如果没有，就向本地网段发起一个 ARP请求的广播包，查询此目的主机对应的 MAC地址。（3）网络中所有的主机收到这个 ARP请求后， 会检查数据包中的目的 IP 是否和自己的 IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送方的 MAC地址和 IP 地址添加到自己的 ARP列表中， 如果 ARP表中已经存在该 IP 的信息， 则将其覆盖， 然后给源主机发送一个

6、 ARP响应数据包，告诉对方自己是它需要查找的 MAC地址。（4）源主机收到这个 ARP响应数据包后，将得到的目的主机的 IP 地址和 MAC地址添加到自己的 ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到 ARP响应数据包，表示 ARP查询失败。4ARP的安全及防范从影响网络连接通畅的方式来看，分为二种，一种是对路由器ARP表的欺骗；另一种是对内网 PC的网关欺骗。（1）对路由器 ARP表的欺骗其原理是截获网关数据。它通知路由器一系列错误的内网 不断进行， 使真实的地址信息无法通过更新保存在路由器中，送给错误的 MAC地址，造成正常 PC无法收到信息。（2）对内网 PC的网

7、关欺骗MAC地址，并按照一定的频率 结果路由器的所有数据只能发其原理是伪造网关。通过建立假网关， 让被它欺骗的 PC向假网关发数据， 而不是通过正常的路由器途径上网。在 PC看来，就是上不了网了，“ 网络掉线了” 。作为企业的网管人员，为防范第一种 ARP欺骗，可以在路由器中把所有 PC的IP-MAC输入到一个静态表中，这叫路由器 IP-MAC绑定；同时为防范第二种 ARP欺骗，可以在内网所有 PC上设置网关的静态 ARP信息，这叫 PC机IP-MAC绑定。三、使用 Packet Tracer 模拟软件抓包 ARP分析1. 本任务的实验拓扑及设备 IP 地址如下图所示。2. 打开 PC1，在命

8、令行下运行“arp -a ” 命令，查看 ARP缓存表。如下图所示，此时在没有任何通信的情况下，ARP缓存表是空的。3. PC1为源主机， PC3为目标主机，使用 换机转发的过程。Ping 命令测试网络连通性，观察数据经交（1）由实时模式切换至模拟模式，单击 PT软件右下角的【 Simulation】按钮，即可进入模拟模式，在模拟模式下，单击【Edit Filters】按钮，打开捕获窗口设置过滤条件（提取 ARP、 ICMP），如下图所示。（2）单击“ PC1” ，选择【Desktop】|【Command Prompt 】在命令行提示符下，输入“ Ping ” 。如下图所示。（3）在模拟模式下

9、单击“Auto Capture/Play ” 按钮。观察数据传送过程，如下图所示。4. 在右侧的“Event List” 中分析 PC1发往 PC3的第一个 ARP数据，如下图所示，源IP 为 ，目的 IP 为 ，数据链路层为数据进行封装，类型字段（TYPE）值为“0 x806” 表示封装的是 ARP协议，源 MAC为 0001.6465.8B74 （即 PC1），目的 MAC为即 FFFF.FFFF.FFFF（即广播地址），“OPCODE” （操作码）字段中为“0 x1” ，表示此次操作为“ARP请求” 。5. 数据经由交换机 S1 到达 PC3，经对比发现，目的 IP 与自己的 IP 一致

10、，进而 PC3向PC1 进行回应。如下图所示，此时从 PC3 发出的数据包的源 IP 变为 ，目的 IP变为 ，源 MAC变为 0002.4AEE.98A4 ，目的 MAC变为 0001.6465.8B74 ，“ OPCODE字段中为“0 x2” ，表示此次操作为“ARP响应” 。6. PC3 回应的数据到达 PC1，如下图所示为 PC1收到的回应。7. 在 PC1上再次执行 ARP-a命令， 即可查看到 ARP高速缓存表中增加了一条记录。如下图所示， IP 地址为 的主机，其MAC地址为 0002.4AEE.98A4 ，类型为动态。8. ping 命令可用于测试网络连通性。通过访问其它设备，

11、ARP 关联会被动态添加到ARP 缓存中。在 PC 1 上 ping 地址 55，并发出 arp -a 命令查看获取的 MAC 地址。此时局域网中所有的 MAC 地址全部存在其 ARP 缓存表中。如下图所示。9. 为了防止 ARP欺骗攻击，可以使用 ARP S命令，将网关的 IP 及MAC地址进行绑定。需要注意的是 Packet Tracer 模拟器不支持此命令。 课堂小结 ：本次课主要介绍ARP协议作用、 报文格式及工作原理，同时利用 Packet Tracer模拟软件抓包进行 ARP分析。系 别授课对象 本次课学时 2 年级班次章节题目 项目二 协议分析 ICMP协议目的要求 ( 含技能要

12、 了解 ICMP协议的报文格式；理解 ICMP协议的作用；理解 ICMP协议的安全及防求 ) 范。本节重点 ICMP协议的安全及防范本节难点 ICMP协议的安全及防范教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问 题 TCP/IP 协议。由于 TCP/IP 协议在最初设计时没有考虑到安全性问题而只是用于科学研究，因此引 它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之门，入使得基于这些缺陷和漏洞的攻击形式多样。难 点 与

13、 重 点 利用 Packet Tracer 分析 ICMP协议的安全及防范。讲 解 方 法课 程 小 1ICMP协议的作用 2 ICMP协议的报文格式 3 ICMP协议的安全及防范本 节次 课 小 节 教 后 通过本次授课使学生理解 TCP协议的作用及三次握手工作原理，利用 GNS3抓包软件分析札 ICMP。记讨 论、思 考 题、作 尝试利用 PT软件分析 ICMP协议。( 业 含 实 训 作 业 ) 教学过程： 引入新课 ：随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议在最初设计时没有

14、考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企业长春总部网络管理人员，工作之初，他时常会听到领导、员工的责问：网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、 ICMP 协议 1ICMP协议简介 ICMP全称为 Inter

15、net Control Message Protocol ，Internet 控制消息协议的缩写。它是 TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。该协议属于网络层。控制消息是指网络通不通、主机是否可达、 路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。在网络中经常会使用到 ICMP协议，如经常使用的用于检查网络通不通的 Ping命令，这个“Ping” 的过程实际上就是 ICMP协议工作的过程。还有其他的网络命令如跟踪路由的 2ICMP报文格式Tracert命令也是基于 ICMP协议的。（1）类型字段（ 8 位）

16、：有 15 个不同的值用来标识报文。（2）代码字段（ 8 位）：提供报文类型的进一步信息。（3）校验和字段（16 位）：提供整个ICMP 报文的校验和。（4）数据区：包括出错数据报的报头及该数据报的前 源主机确定出错数据报。64bit 数据，这些信息可以帮助每个 ICMP 报文放在 IP 数据报的数据部分中通过互联网传递，即将 ICMP报文加上 IP 报头，其中 IP报头中的协议域 络传递。3ICMP的安全及防范protocol 1，而 IP 数据报本身放在帧的数据部分中通过物理网ICMP 协议对于网络安全具有极其重要的意义。ICMP 协议本身的特点决定了它非常容易被用于攻击网络上的路由器和主

17、机。可以利用操作系统规定的ICMP 数据包最大尺寸不超过64KB 这一规定，向主机发起“Ping of Death ” （死亡之 Ping）攻击。“ Ping of Death ” 攻击的原理是：如果 ICMP 数据包的尺寸超过 64KB 上限时，主机就会出现内存分配错误，导致 TCP/IP堆栈崩溃，致使主机死机。此外，向目标主机长时间、连续、大量地发送ICMP 数据包，也会最终使系统瘫痪。大量的 ICMP 数据包会形成 “ ICMP 风暴” ，使得目标主机耗费大量的 CPU资源处理， 疲于奔命。对于“Ping of Death ” 攻击，可以采取两种方法进行防范：第一种方法是在路由器上对IC

18、MP 数据包进行带宽限制，将 ICMP 占用的带宽控制在一定的范围内，这样即使有 ICMP 攻击，它所占用的带宽也是非常有限的，对整个网络的影响非常少；第二种方法就是在主机上设置 ICMP 数据包的处理规则，最好是设定拒绝所有的 ICMP 数据包。三、使用 GNS3软件配置两台路由器利用 wireshark 抓包 ICMP 分析 1 本任务的实验拓扑及设备 IP 地址如下图所示。2配置 R1和 R2两台路由器的接口地址，如下图所示。R2侧也做同样的配置，IP 地址为 。3在 R2上使用 PING 命令，测试与R1的连通性，如下图所示。4. 右击 R1 与 R2间的链路，如下图所示。5. 选择“

19、 开始抓包” 后，选择一个R2作为源，如下图所示。6. 选择“ OK” 后，在右上角的 “ 抓取” 位置，右击被抓包的端口， 选择“ 运行 Wireshark ” ，如下图所示。7. 在 R2 上重复执行“ping ” 命令，查看Wireshark上的抓包信息，如下图所示。8. 可以查看到 ICMP协议的详细信息，如下图所示。根据上图中的 ICMP协议部分，可以看到ICMP协议字段中，类型为8，表示的是 ICMP的请求报文，代码为 0。这是一个 WINDOWS系统下的 PING命令 Echo Request报文。 课堂小结 ：本次课主要介绍ICMP 协议作用、报文格式及工作原理，同时利用GNS

20、3模拟软件抓包进行 ICMP 分析。系 别授课对象 本次课学时 2 年级班次章节题目 项目二 协议分析 TCP协议目的要求 ( 含技能要 了解 TCP协议的报文格式；理解 TCP协议的作用；掌握 TCP协议的工作原理。求 ) 本节重点 TCP协议的工作原理本节难点 TCP协议的工作原理教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问 题 TCP/IP 协议。由于 TCP/IP 协议在最初设计时没有考虑到安全性问题而只是用于科学研究，因此引 它自身存在许多

21、固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之门，入使得基于这些缺陷和漏洞的攻击形式多样。难 点 与 重 点 利用 Packet Tracer 分析 TCP协议的三次握手工作原理。讲 解 方 法课 程 小 1TCP协议的作用 2 TCP协议的报文格式 3 TCP协议的三次握手工作原理本 节次 课 小 节 教 后 通过本次授课使学生理解 TCP协议的作用及三次握手工作原理，利用 Packet Tracer 抓包札 软件分析 TCP三次握手原理。记讨 论、思 考 题、作 尝试利用 GNS3软件分析 TCP协议。( 业 含 实 训 作 业 ) 教学过程： 引入新课 ：随着 Int

22、ernet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议在最初设计时没有考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企业长春总部网络管理人员，工作之初，他时常会听到领导、员工的责问：

23、网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、 TCP协议 1TCP协议简介TCP全称为 Transmission Control Protocol 传输控制协议的缩写。TCP是一种面向连接的、可靠的、基于字节流的传输层通信协议，由IETF 的RFC 793说明。 TCP在IP报文的协议号是6。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能，UDP是同一层内另一个重要的传输协议。2TCP报文格式TCP数据被封装在一个 IP 数据报中，格式如下：IP 首部 20 TCP首部 20 TCP首部16 位源端口号 16 位目的端口号32

24、位序号32 位确认序号4 位首保留 6 位URG ACK PSH RST SYN FIN 16 位窗部长度口大小16 位检验和16 位紧急指针选项数据3TCP连接的建立与终止（1）TCP三次握手采用三次握手确认建立一次连接。第一次握手： 主机 A 发送标志位为SYN 1，随机产生Seq Number=X 的数据包到服务器，主机 B 由 SYN=1知道， A 要求建立联机；第二次握手：主机 B 收到请求后要确认联机信息，向 A 发送 Ack Number=X+1，SYN=1，ACK=1，随机产生 Seq=Y的数据包；第三次握手： 主机 A 收到后检查 Ack Number 是否正确， 即第一次发

25、送的 X+1，以及 ACK是否为 1，若正确，主机A 会再发送 Ack Number=Y+1，ACK=1，主机 B 收到后确认Seq 值与工 ACK=1则连接建立成功。完成三次握手，主机A 与主机 B 开始传送数据。即一个完整的三次握手也就是请求 -应答 -再次确认。举例说明，主机A 和主机 B 建立 TCP 连接，过程如下图所示：主机 A（连接请求者）主机 B（被连接者）SYN=1，ACK=0；Seq=X；我可以连接你吗？SYN=1，ACK=1；Seq=Y，AckSeq=X+1 当然可以！SYN=0， ACK=1；AckSeq=Y+1 好，那我就开始连接了！（2）TCP四次挥手由于 TCP连

26、接是全双工的， 因此每个方向都必须单独进行关闭。这原则是当一方完成它的数据发送任务后就能发送一个 FIN来终止这个方向的连接。收到一个 FIN 只意味着这一方向上没有数据流动，一个 TCP连接在收到一个 FIN 后仍能发送数据。 首先进行关闭的一方将执行主动关闭，而另一方执行被动关闭。第一次挥手： 当主机 A 完成数据传输后， 将控制位 FIN 置 1，提出停止 TCP连接的请求；第二次挥手：主机B 收到 FIN 后对其作出响应，确认这一方向上的TCP连接将关闭， 将ACK置 1；第三次挥手：由主机 B 再提出反方向的关闭请求，将 FIN 置 1；第四次挥手：主机 A 对主机 B 的请求进行确

27、认，将 ACK置 1，双方向的关闭结束。主机 A（连接请求者）主机 B（被连接者）FIN=1 我要结束连接！ACK=1 当然可以！FIN=1 终止了！ACK=1 好！收到4TCP的安全与防范（1）TCP洪流攻击TCP洪流攻击也就是 SYN-Flood。SYN-Flood不会完成 TCP三次握手的第三步，也就是不发送确认连接的信息给服务器。（2）IP 欺骗 DOS攻击这种攻击利用 RST位来实现。假设现在有一个合法用户（1 ）已经同服务器建立了正常的连接，攻击者构造攻击的 TCP数据，伪装自己的 IP 为 1，并向服务器发送一个带有 RST位的 TCP数据段。（3）DDOS攻击的防范方法到目前为

28、止，进行 DDoS攻击的防御还是比较困难的。首先，这种攻击的特点是它利用了 TCP/IP协议的漏洞，除非你不用 TCP/IP，才有可能完全抵御住 DDoS攻击。下面就是一些防御方法：1）确保服务器的系统文件是最新的版本，并及时更新系统补丁。2）关闭不必要的服务。3）限制同时打开的 SYN半连接数目。4）缩短 SYN半连接的 time out 时间。5）正确设置防火墙。6）禁止对主机的非开放服务的访问。7）限制特定 IP 地址的访问。8）启用防火墙的防 DDoS的属性。9）严格限制对外开放的服务器的向外访问。10）运行端口映射程序祸端口扫描程序，要认真检查特权端口和非特权端口。11）认真检查网络

29、设备和主机 那这台机器就可能遭到了攻击。/服务器系统的日志。只要日志出现漏洞或是时间变更，12）限制在防火墙外与网络文件共享。这样会给黑客截取系统文件的机会，主机的信息暴露给黑客，无疑是给了对方入侵的机会。 课堂小结 ：本次课主要介绍TCP协议作用、 报文格式及工作原理，同时利用 Packet Tracer模拟软件抓包进行TCP分析。系 别授课对象 本次课学时 2 年级班次章节题目 项目二 协议分析 Telnet 协议目的要求 ( 含技能要 理解 Telnet 协议的作用、安全及防范；掌握 Telnet 协议的工作原理。求 ) 本节重点 Telnet 协议的工作原理本节难点 Telnet 协议

30、的工作原理教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问 题 TCP/IP 协议。由于 TCP/IP 协议在最初设计时没有考虑到安全性问题而只是用于科学研究，因此引 入 它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。难 点 与 重 点 利用 GNS3抓包软件分析 Telnet 协议的工作原理。讲 解 方 法课 程 小 1Telnet 的作用 2 Telnet 的安全及防范 3

31、Telnet 协议的工作原理本 节次 课 小 节 教 后 通过本次授课使学生理解 Telnet 协议的作用、 安全及防范，利用 GNS3抓包软件分析 Telnet札 记 协议。讨 论、思 考 题、作 尝试利用 PT 软件分析 Telnet 协议。业 ( 含 实 训 作 业 ) 教学过程： 引入新课 ：随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议在最初设计时没有考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，

32、使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企业长春总部网络管理人员，工作之初，他时常会听到领导、员工的责问：网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、 Telnet 协议 1Telnet 协议简介Telnet是 Internet 的远程登录协议的意思，工作的能力。在终端使用者的计算机上使用它为用户提供了在本地计算机上完成远程主机 telne

33、t 程序，用它连接到服务器。终端使用者可以在 telnet 程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输 入一样。可以在本地就能控制服务器。该协议属于应用层。要开始一个 telnet 会话，必须输 入用户名和密码来登录服务器。2Telnet 协议工作过程（1）本地与远程主机建立连接。该过程实际上是建立一个 程主机的 Ip 地址或域名。TCP连接，用户必须知道远（2）将本地终端上输入的用户名和口令及以后输入的任何命令或字符以 NVT（Net Virtual Terminal ）格式传送到远程主机。该过程实际上是从本地主机向远程主机发送一个 IP数据报。（3）将远程主机输

34、出的NVT 格式的数据转化为本地所接受的格式送回本地终端，包括输入命令回显和命令执行结果。（4）最后，本地终端对远程主机进行撤消连接。该过程是撤销一个 TCP连接。3Telnet 协议的安全及防范 Telnet 本身的缺陷是：远程用户的登陆传送的账号和密码都是明文，使用普通的抓包软件都可以截获； 由于没有完整性检查，且传送的数据都没有加密，所以传送的数据没有办法知道是否完整的，而不是被篡改过的数据。通过抓包工具获取 TELNET用户名及密码后，就可以顺利地进入远程主机。从而可以尽可能多的了解系统，为装后门摸底；也可以使用tftp 传送文件；或是修改远程主机的主页。SSH是一个很好的telnet

35、 安全保护系统，SSH的英文全称是Secure SHell?通过使用 SSH，你可以把所有传输的数据进行加密，这样“ 中间人” 这种攻击方式就不可能实现了，而且也能够防止 DNS和 IP 欺骗 ?还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度 ? SSH有很多功能，它既可以代替 telnet ，又可以为 ftp ?pop?甚至 ppp 提供一个安全的“ 通道”?三使用 GNS3模拟软件抓包 Telnet 分析1本任务的实验拓扑及设备 IP 地址如图所示。2R1和 R2 两台路由器的接口配置方法可参照前面的配置。3在 R2路由器上配置TELNET服务，配置方法如下图所示。允

36、 许 同 一 时 刻 最 多 有 5 个 TELENTE 用户登录登录密码为 cisco4在 R1上使用“telnet ” 命令，在出现的“Password：” 后，输入R2上设置的 telnet的密码“cisco ” ，即可进入R2 路由器的配置界面。5启动 Wireshark ，查看 TELNET协议信息，如下图所示。前 3个以太网帧即为“TCP 三次握手” 的数据由于 TELNET是基于传输层的TCP连接，所以上图中前三个TCP协议包表示TCP的三次握手过程。 课堂小结 ：本次课主要介绍TELNET协议作用、报文格式及工作原理，同时利用GNS3模拟软件抓包进行 TCP分析。系 别授课对象

37、 本次课学时 2 年级班次章节题目 项目二 协议分析 FTP协议目的要求 ( 含技能要 理解 FTP协议的作用、安全及防范；掌握 FTP协议的工作原理。求 ) 本节重点 FTP协议的工作原理本节难点 FTP协议的工作原理教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问 题 TCP/IP 协议。由于 TCP/IP 协议在最初设计时没有考虑到安全性问题而只是用于科学研究，因此引 它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之

38、门，入使得基于这些缺陷和漏洞的攻击形式多样。难 点 与 重 点 利用 PT抓包软件分析 FTP协议的工作原理。讲 解 方 法课 程 小 1FTP的作用 2 FTP的安全及防范 3 FTP协议的工作原理本 节次 课 小 节 教 后 札 通过本次授课使学生理解 FTP协议的作用、安全及防范，利用 PT抓包软件分析 FTP协议。记讨 论、思 考 题、作 尝试利用 GNS3软件分析 FTP协议。( 业 含 实 训 作 业 ) 教学过程： 引入新课 ：随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议

39、在最初设计时没有考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企业长春总部网络管理人员，工作之初，他时常会听到领导、员工的责问：网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、 FTP协议 1FTP协议简介 FTP FTP全

40、称为 File Transfer Protocol文件传输协议的缩写。使得主机间可以共享文件。是应用层的协议， 它基于传输层， 为用户服务， 它们负责进行文件的传输。FTP 使用 TCP 生成一个虚拟连接用于控制信息，然后再生成一个单独的 使用类似 TELNET协议在主机间交换命令和消息。该协议是在TCP 连接用于数据传输。控制连接 TCP/IP网络和 INTERNET上最早使用的协议之一，FTP客户机可以给服务器发出命令来下载文件，上传文件， 创建或改变服务器上的目录。2FTP协议工作原理FTP服务一般运行在 20 和 21 两个端口。端口 20 用于在客户端和服务器之间传输数据流，而端口

41、21 用于传输控制流，并且是命令通向 ftp 服务器的进口。当数据通过数据流传输时， 控制流处于空闲状态。而当控制流空闲很长时间后，客户端的防火墙会将其会话置为超时，这样当大量数据通过防火墙时，会产生一些问题。此时，虽然文件可以成功的传输，但因为控制会话会被防火墙断开，传输会产生一些错误。在 FTP的使用当中， 经常遇到两个概念： “ 下载” （Download ）和“ 上传” （Upload）。“ 下载” 文件就是从远程主机拷贝文件至自己的计算机上；算机中拷贝至远程主机上。3FTP协议的安全及防范（1）防范反弹攻击 (The Bounce Attack) 1）漏洞“ 上传” 文件就是将文件从

42、自己的计FTP规范 PR85定义了“ 代理 FTP” 机制，即服务器间交互模型。支持客户建立一个 FTP控制连接，然后在两个服务间传送文件。同时 FTP规范中对使用 TCP的端口号没有任何限制，而从 01023 的 TCP端口号保留用于众所周知的网络服务。所以，通过“ 代理 FTP” ，客户可以命令 FTP服务器攻击任何一台机器上的众所周知的服务。2）反弹攻击客户发送一个包含被攻击的机器和服务的网络地址和端口号的FTP“ PORT” 命令。这时客户要求 FTP服务器向被攻击的服务发送一个文件，这个文件中应包含与被攻击的服务相关的命令（例如：SMTP、NNTP）。由于是命令第三方去连接服务，而不

43、是直接连接，这样不仅使追踪攻击者变得困难，还能避开基于网络地址的访问限制。3）防范措施最简单的办法就是封住漏洞。首先，服务器最好不要建立TCP端口号在 1024 以下的连接。如果服务器收到一个包含 TCP端口号在 1024 以下的 PORT命令，服务器可以返回消息504（PR85中定义为“ 对这种参数命令不能实现”）。其次，禁止使用 PORT命令也是一个可选的防范反弹攻击的方案。大多数的文件传输只需要 PASV命令。这样做的缺点是失去了使用“ 代理 不需要“ 代理 FTP” 。4）遗留问题 仅控制 1024 以下的连接，仍会使用户定义的服务（攻击。（2）有限制的访问 (Restricted A

44、ccess) 1）需求FTP” 的可能性，但是在某些环境中并TCP端口号在 1024 以上）遭受反弹对一些 FTP服务器来说， 基于网络地址的访问控制是非常渴望的。例如， 服务器可能希望限制来自某些地点的对某些文件的访问（例如为了某些文件不被传送到组织以外）。另外，客户也需要知道连接是有所期望的服务器建立的。2）攻击攻击者可以利用这样的情况，控制连接是在可信任的主机之上，而数据连接却不是。3）防范措施在建立连接前， 双方需要同时认证远端主机的控制连接，（如在组织之内） ，4）遗留问题数据连接的网络地址是否可信基于网络地址的访问控制可以起一定作用，但还可能受到“ 地址盗用（spoof）” 攻击。

45、在 spoof 攻击中，攻击机器可以冒用在组织内的机器的网络地址，从而将文件下载到在组织之外的未授权的机器上。（3）保护密码（ Protecting Passwords）1）漏洞第一、在 FTP标准 PR85中， FTP服务器允许无限次输入密码。第二、“PASS” 命令以明文传送密码。2）攻击强力攻击有两种表现：在同一连接上直接强力攻击；和服务器建立多个、并行的连接进行强力攻击。3）防范措施对第一种中强力攻击，建议服务器限制尝试输入正确口令的次数。在几次尝试失败后，服务器应关闭和客户的控制连接。在关闭之前，服务器可以发送返回码 421（服务不可用，关闭控制连接） 。另外，服务器在相应无效的“P

46、ASS” 命令之前应暂停几秒来消减强力攻击的有效性。若可能的话，目标操作系统提供的机制可以用来完成上述建议。对第二种强力攻击，服务器可以限制控制连接的最大数目，或探查会话中的可疑行为并在以后拒绝该站点的连接请求。密码的明文传播问题可以用 4）遗留问题FTP扩展中防止窃听的认证机制解决。然而上述两种措施的引入又都会被“ 业务否决”攻击， 攻击者可以故意的禁止有效用户的访问。三、使用 PT 模拟软件抓包 FTP分析1本任务的实验拓扑及设备 IP 地址如下图所示。2单击 FTP服务器，配置 FTP服务，用户名和密码均为：test ，设置读写权限，同时点击后侧的“+” 按钮，成功地增加了 FTP 的用

47、户名。配置如下图所示。3在 PC的命令提示符下，使用 FTP命令去连接远端的 FTP服务器， 前提网络一定是可达的。如下图所示。4输入刚刚创建的用户名和密码“test ” , 即可登录 FTP服务器。当然也可用默认的用户名和密码“cisco ” 进行登录。如下图所示。5进入 FTP服务器后，可以利用“ ？” 帮助功能，查看可以使用的相关命令，如可以将 FTP服务器中的 2800 系列的最新的 IOS 文件（试先在 FTP服务器上查看， 使用“ Ctrl+C ”快捷键复制）备份到本地 PC上，出现如下图所示表示成功下载。6终止 FTP连接，回退到PC1，验证文件的下载。如下图所示。7PC1在连接

48、 FTP服务器时， 切换至模拟模式， 打开捕获窗口设置过滤条件（提取 TCP、FTP），输入合法用户名“test ” 后，开始捕获数据，打开进入交换机 S1 时的数据包，会看到 FTP用户名是以明文方式传输的。如下图所示。8在数据包转发到FTP服务器时 S1 时，会看到 FTP访问的用户名通过的验证，需要输入密码验证，如下图所示。 9 接下来，输入FTP登录的密码“test ” , 在网关 R1 对捕获到的数据包进行分析，会看到 FTP的密码也是以明文方式转发的。如下图所示。 课堂小结 ：本次课主要介绍FTP协议作用、工作原理、安全与防范，同时利用PT 模拟软件抓包进行 TCP分析。系 别授课

49、对象 本次课学时 2 年级班次章节题目 项目二 协议分析抓包软件的介绍目的要求 ( 含技能要 理解 Wireshark 软件的作用、认识 Wireshark 软件的主界面；掌握 Wireshark 的求 ) 首选配置及与 GNS3关联抓包。本节重点 Wireshark 的首选配置及与 GNS3关联抓包本节难点 Wireshark 的首选配置及与 GNS3关联抓包教学方法 引导文教学、任务驱动、案例教学、教学做一体化教学模式教学用具 实训室随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采用了问题 TCP/IP 协议。由于 TCP/IP 协

50、议在最初设计时没有考虑到安全性问题而只是用于科学研究，因此引入 它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。难点与重点 通过 Wireshark 软件实例讲解。讲解方法课程 1Wireshark 软件的作用 2 Wireshark 软件的主界面 3 Wireshark 的首选配置及与 GNS3小 关联抓包本 节次课小节 教后 通过本次授课使学生认识 Wireshark 软件的主界面，理解 Wireshark 的作用，能对札记 Wireshark 进行首选配置及与 GNS3关联抓包。讨论、思考题、作 完成本项目对应的项

51、目习作。业 (含实训作业) 教学过程： 引入新课 ：随着 Internet/Intranet 的发展， TCP/IP 协议得到了广泛的应用，几乎所有的网络均采 用了 TCP/IP协议。由于 TCP/IP协议在最初设计时没有考虑到安全性问题而只是用于科学研 究，因此它自身存在许多固有的安全缺陷，这就为欺骗、否认、拒绝、篡改、窃取等行为开 了方便之门，使得基于这些缺陷和漏洞的攻击形式多样。讲授新课 ：一、项目背景A企业是一个跨地区的大型企业，它由 A企业长春总部、 A企业上海分公司、 A企业北京办事处组成， A企业三个分部处于不同城市，具有各自的内部网络，并且都已经连接到互联网 中。小杨作为 A企

52、业长春总部网络管理人员，工作之初，他时常会听到领导、员工的责问：网管，怎么又掉线了？！同时，内网文件服务器也偶尔会出现死机、系统崩溃和内容被篡改 的现象。二、抓包软件介绍1Wireshark 软件简介FTP全称为 File Transfer Protocol文件传输协议的缩写。使得主机间可以共享文件。FTP 是应用层的协议， 它基于传输层， 为用户服务， 它们负责进行文件的传输。FTP 使用 TCP 生成一个虚拟连接用于控制信息，然后再生成一个单独的 使用类似 TELNET协议在主机间交换命令和消息。该协议是在TCP 连接用于数据传输。控制连接 TCP/IP网络和 INTERNET上最早使用的协议之一，FTP客户机可以给服务器发出命令来下载文件，上传文件， 创建或改变服务器上的目录。2Wireshark 软件主界面（1）MENUS（菜单）下面