网络攻防技术综合实训-课件 第11章 网络安全运维实训

第十一章网络安全运维实训11.1主机发现与端口扫描实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5主机扫描主机扫描（hostscan）是指对目标网络（通常为一个或多个IP网段）中的主机IP地址进行探测，以确定其中处于活动状态的主机。该技术通常基于ICMP、TCP或UDP等协议的工作机制，通过发送特定类型的探测报文并分析响应，来判断目标主机是否在线，并识别其可用资源（如开放端口、运行服务等）。常用的主机扫描方法包括以下三类。主机扫描(1)基于ICMP的扫描：ICMP（InternetControlMessageProtocol，互联网控制报文协议）是TCP/IP网络中用于传递控制与错误信息的协议，利用其回送请求与回送应答报文实现主机探测（如ping），通过向目标主机发送ICMP请求并等待响应来判断其网络连通性。主机扫描（2）基于TCP的主机扫描：TCP是一种面向连接、可靠的传输层协议，通信前需通过“三次握手”建立连接。扫描时可利用这一机制，向目标主机发送TCP连接请求（如SYN包），若收到响应（如SYN/ACK），则说明目标主机活跃且相应端口可能开放。主机扫描（3）基于UDP的主机扫描：UDP是一种无连接、不可靠但资源占用少的传输层协议。扫描时向目标主机的特定端口发送UDP数据包，若该端口未开放，则可能收到ICMP端口不可达报文；若无响应，则可能说明端口开放或报文被过滤。该方法效率较高，但可靠性低于TCP扫描。端口扫描端口扫描（portscan）是一种针对运行中的主机的TCP或UDP端口进行探测的技术。端口是传输层与应用层进程之间的逻辑接口，用于标识通信中的不同服务。主机之间通信除需知道对方的IP地址外，还必须指定端口号。TCP和UDP使用16位端口号，范围为0~65535。端口可分为两大类：服务器端口和客户端端口。服务器端口包括以下几种。（1）熟知端口（well-knownports）：0~1023，由IANA统一分配。端口扫描（1）熟知端口（well-known

ports）：0~1023，由IANA统一分配。（2）登记端口（registeredports）：1024~49151，使用需在IANA注册。（3）客户端使用临时端口（ephemeral

ports）：范围是49152-65535，仅在会话期间临时分配。由于TCP和UDP相互独立，同一端口号可能分别用于两种协议，因此端口扫描需分别针对TCP和UDP进行。TCP机制较为复杂，扫描方式多样，主要包括连接扫描、SYN扫描、窗口扫描、FIN扫描、ACK扫描等，UDP扫描则相对简单。常见的端口扫描方法有以下几种。端口扫描端口扫描（1）连接扫描（connectscanning）：攻击者通过调用connect（）函数尝试与目标端口完成TCP的“三次握手”。若端口开放，则目标主机回复SYN/ACK，扫描端再回应ACK，以建立连接；若端口关闭，则返回RST报文。该方法实现简单，但会在目标主机中留下连接日志，易被安全系统检测到。端口扫描（2）SYN扫描（半开连接扫描，SYNscanning）：扫描端发送SYN报文后，若目标端口开放并回复SYN/ACK，则扫描端即返回RST报文终止连接，不完成第三次握手。由于未建立完整连接，该方法比连接扫描更隐蔽，不易被记录。（3）UDP扫描：通过向目标端口发送定制UDP报文进行探测，若端口关闭，则通常返回ICMP“端口不可达”报文；若端口开放，则可能收到UDP响应或无响应（取决于服务行为）。该方法虽然效率较高，但对未知服务的适应性有限，可能出现误判。端口扫描内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验目的（1）掌握主机活跃性检测、网络拓扑检测、端口检测及开放服务与系统识别的检测。（2）掌握利用漏洞检测工具进行基本的系统漏洞扫描。内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验内容和环境安装和使用Nmap工具进行主机扫描、端口扫描和操作系统识别。根据扫描结果分析主机开放的端口类型和对应的服务程序，查看主机的详细信息。实验过程中相关环境的IP地址如下。（1）Kali：33。（2）Windows7：28。（3）Metasploitable：31。主机发现与端口扫描实验实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验步骤1.Metasploitable靶机的IP地址（1）登录Metasploitable官网，下载Metasploitable镜像压缩包，将压缩包解压缩到一个文件里，如图11-1所示。图11-1解压缩的文件实验步骤（2）双击VMX文件，自动弹出VM应用，单击“我已复制虚拟机”按钮，等待安装，如图11-2所示。实验步骤图11-2安装Metasploitable靶机实验步骤（3）输入账户和密码：这里，账户和密码都是靶机msfadmin，输入时密码可能不显示内容，如图11-3所示。实验步骤图11-3登录Metasploitable靶机实验步骤（4）使用命令ifconfig查看Metasploitable靶机的IP地址，本机的IP地址为31，如图11-4所示。实验步骤图11-4查看Metasploitable靶机的IP地址实验步骤2.检查连通性分别验证Kali与Windows靶机（若ping不通，关闭win7防火墙）、Kali与Metasploitable靶机的连通性，如图11-5和图11-6所示。实验步骤图11-5pingWindows靶机的IP地址实验步骤图11-6pingMetasploitable靶机的IP地址实验步骤3.利用Nmap对Windows和Metasoploitable靶机所处C段IP地址进行主机活跃性检测（1）ICMP扫描：使用命令nmap-sn-PEIP地址（使用-PE参数可以实现ICMP的主机发现），如图11-7所示。实验步骤图11-7ICMP扫描实验步骤（2）SYN扫描：使用命令nmap-sSIP地址（使用TCP的SYN进行扫描）进行SYN半开放扫描，如图11-8和图11-9所示。半开放扫描使Nmap不需要通过完整的握手就能获得远程主机的信息。Nmap发送SYN包到远程主机，不会产生任何会话，因此不会在目标主机上产生任何日志记录。如果Nmap命令中没有指出扫描类型，默认为TCPSYN。实验步骤图11-8SYN扫描Windows靶机实验步骤图11-9SYN扫描Metasploitable靶机实验步骤（3）ACK扫描：使用命令nmap-sAIP地址进行ACK扫描，如图11-10所示。发送一个ACK包给目标主机，无论目标主机的端口是否开启，都会返回相应的RST包，通过判断RST包中的TTL可判断端口是否开启。图11-10对同一局域网的ACK扫描实验步骤（4）UDP扫描：使用命令nmap-sUIP地址进行扫描。其中，T5为加快扫描进度，默认为T3，如图11-11所示。图11-11UDP扫描Windows靶机实验步骤4.利用Nmap对攻防实验环境中的Windows和Metasploitable靶机进行开放端口扫描、开放服务检测、系统指纹识别（1）TCP扫描：使用命令nmap-sTIP地址-p1-65535扫描全端口，如图11-12和图11-13所示。实验步骤图11-12TCP扫描Windows靶机实验步骤图11-13TCP扫描Metasploitable靶机实验步骤（2）SYN扫描：命令如图11-14和图11-15所示。图11-14SYN扫描Windows靶机实验步骤图11-15SYN扫描Metasploitable靶机实验步骤（3）UDP扫描：命令如图11-16和图11-17所示。其中，-A表示高级，-T5表示加快扫描速度；-P表示端口。实验步骤图11-16UDP扫描Windows靶机图11-17UDP扫描Metasploitable靶机实验步骤5.Kali靶机安装Nessus（1）下载Nessus程序并安装：访问Nessus官网DownloadNessus|Tenable®，执行命令dpkg-iNessus-10.7.3-debian10_amd64.deb进行安装。安装成功界面如图11-18所示。图11-18Nessus安装成功实验步骤（2）启动Nessus：执行命令service

nessusd

start和service

nessusd

status，如图11-19所示。图11-19启动Nessus实验步骤（3）访问Nessus的Web网站：执行命令ifconfig//lookupkaliip，访问https：//192.168.×.×:8834/#/，如图11-20所示。实验步骤图11-20访问Nessus的Web网站实验步骤（4）Nessus登录：选择ManagedScanner选项，单击Continue按钮，选择Tenable.SecurityCenter，输入用户名admin，输入密码123456，单击Submit，等待配置插件，出现图11-21所示画面时，说明登录成功。实验步骤图11-21登录成功实验步骤6.离线激活Nessus（1）获取激活码：Nessus官网申请激活码，“姓名”可任意填写，电子邮箱必须填写正确，用于接收激活码。注册成功后，该邮箱会收到一封内含激活码的电子邮件，如图11-22所示。实验步骤图11-22获取激活码实验步骤（2）获取质询码（challengecode）：执行命令/opt/nessus/sbin/nessusclifetch--challenge，可获取质询码，如图11-23所示。图11-23获取质询码实验步骤（3）获取离线插件包地址及激活证书。在浏览器中搜索“TenableNessusOfflineRegis-tration”或“NessusOfflineregistrationpage”，找到并进入由Tenable官网提供的Nessus离线注册页面，确认页面显示PluginRegistration或与NessusOfflineRegistration相关的内容。根据页面提示输入Nessus设备生成的ChallengeCode（挑战码），并填写对应的ActivationCode（激活码），然后，获取最新Nessus插件包下载地址及激活证书，如图11-24和11-25所示。实验步骤图11-24提交激活码和挑战码实验步骤图11-25最新Nessus插件包下载地址及激活证书实验步骤（4）单击插件包下载地址，可下载插件包all-2.0.tar.gz；往下滑动，单击蓝色按钮可直接下载激活证书nessus.license，如图11-26所示。实验步骤图11-26下载激活证书nessus.license实验步骤（5）将下载的激活证书和插件包复制到Kali靶机，并执行命令ls查看，如图11-27所示。图11-27执行命令ls实验步骤（6）离线激活Nessus：执行命令/opt/nessus/sbin/nessusclifetch--register-offline./nes-sus.license完成离线激活，如图11-28所示。图11-28离线激活实验步骤（7）安装插件：执行命令/opt/nessus/sbin/nessuscliupdate./all-2.0.tar.gz安装插件，如图11-29所示。图11-29安装插件实验步骤（8）重启Nessus：执行命令servicenessusdrestart，重新输入网址进入Nessus，如图11-30所示。图11-30重启Nessus实验步骤7.Nessus解除IP限制（1）访问Tenable官网的插件库，获取当前已安装plugins插件版本，执行命令servicenessusdstop，停止Nessus服务，如图11-31所示。图11-31停止Nessus服务实验步骤（2）创建并编辑plugin_feed_info.inc：执行命令viplugin_feed_info.inc，创建plugin_feed_info.inc，如图11-32和图11-33所示；编写完成后，输入“：wq”保存并退出。实验步骤图11-32创建plugin_feed_info.inc图11-33编辑plugin_feed_info.inc实验步骤（3）重启Nessus服务：执行命令cpplugin_feed_info.inc/opt/nessus/var/nessus/，将plugin_feed_info.inc替换到/opt/nessus/var/nessus/plugin_feed_info.inc。执行命令rm-rf/opt/nessus/lib/nessus/plugins/plugin_feed_info.inc，将/opt/nessus/lib/nessus/plugins/plugin_feed_info.inc文件删除。执行servicenessusdstart，如图11-34所示，启动Nessus服务。实验步骤图11-34启动Nessus服务（4）打开浏览器，访问Nessus，Nessus初始化插件完成后，若设置页面显示unlimited，表示解除IP限制成功。实验步骤实验步骤8.利用Nessus对攻防实验环境中的Windows和Metasploitable靶机进行漏洞检测并生成漏洞检测报告（1）在Windows靶机中，新建检测，如图11-35所示。图11-35新建检测实验步骤（2）填写要检测主机的IP地址，如图11-36所示。图11-36检测Windows靶机实验步骤（3）单击Launch开始检测，如图11-37所示。图11-37开始检测实验步骤（4）检测完成后，单击Report按钮可自动生成检测报告，如图11-38和图11-39所示。图11-38单击Report按钮实验步骤图11-39选择网页版实验步骤（5）打开下载的检测报告，可进行查看，如图11-40所示。实验步骤图11-40查看检测报告实验步骤（6）Metasploitable靶机的检测步骤同上，如图11-41~图11-43所示。实验步骤图11-41检测Metasploitable靶机实验步骤图11-42选择网页版实验步骤图11-43查看检测报告内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5总结与思考攻击者要确定一个网络的整体架构，可以使用ping扫描和TCPSYN扫描。ping扫描通过发送ICMP回应请求数据包和TCP应答数据包，确定主机的状态，非常适合检测指定网段内正在运行的主机数量。总结与思考使用TCPSYN扫描时，扫描器向目标主机的一个端口发送请求连接的SYN包，扫描器收到SYN/ACK后，不是发送ACK应答，而是发送RST包请求断开连接。这样，TCP的“三次握手”就没有完成，无法建立正常的TCP连接，因此这次扫描就不会被记录到系统日志中。这种扫描技术一般不会在目标主机上留下扫描痕迹，但是需要有root权限。11.2安全事件应急响应实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5预备知识安全事件应急响应（incidentresponse）是指针对可能造成组织运行、服务（或功能）丧失或削弱的安全事件所采取的即时处置行为。此类响应旨在第一时间抑制、消除乃至根除事件带来的危害，防止其演变为重大事故、危机或灾难。与自然灾害、公共卫生事件及社会公共安全事件的应急响应类似，针对网络安全事件也需建立包括预案制定、机构设置和资源调配在内的系统性响应机制。网络安全事件特指针对网络资源、服务及基础设施的安全威胁，本节将聚焦于此类事件的应急响应方法。预备知识预备知识目前广泛采用的应急响应模型是PDCERF模型，由美国匹兹堡软件工程研究所于1987年提出。该模型将应急响应划分为六个阶段：准备（preparation）、检测（detection）、抑制（containment）、根除（eradication）、恢复（recovery）和跟踪（follow-up）。应急响应团队可基于该模型，依据总体安全策略明确各阶段目标与流程，并制定事件处理预案。预备知识具体而言，在入侵检测系统识别安全事件后，抑制阶段致力于限制攻击影响范围，防止损失扩大，属于临时性控制措施。随后，根除阶段彻底消除事件根源，包括分析系统漏洞并阻断同类攻击再次发生的可能。接下来进入恢复阶段，将受影响的系统、应用及数据等恢复至正常状态。应注意，抑制并不代表威胁完全解除，因此在完成根除前不宜执行恢复操作，否则系统仍处于不可信状态。最后，跟踪阶段全面总结事件处理过程，以优化安全管理策略、提升防护能力，并进一步完善应急响应方案。预备知识预备知识应急响应模型的这六个阶段是循环的，每个阶段都在为下个阶段做准备，如图11-44所示。图11-44应急响应模型六阶段的循环内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验目的（1）通过模拟真实网络安全事件，帮助读者系统掌握应急响应的流程、方法和技术，提升应对实际威胁的能力。（2）熟悉标准框架（如NIST

SP

800—61）：准备→检测→抑制→根除→恢复→总结。（3）实践从事件发现到处理的完整闭环。内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验内容和环境（1）将挖矿程序伪装成一个正常文件植入受害者的计算机（2）证据收集：安全获取日志、内存镜像、磁盘快照等（3）威胁分析：使用工具（如Wireshark等）分析恶意行为（4）抑制与根除：隔离受感染主机，清除恶意进程，修复漏洞实验内容和环境（5）系统恢复：重建受损服务，验证环境安全性（6）虚拟机平台：VmwareWorkstationPro，虚拟机登录信息为Administrator（账户）和Admin@123！（密码）（7）登录WindowsServer2008官网，下载WindowsServer2008R2x64.mf、WindowsServer2008R2x64.ovf、Windows_Server_2008_R2_x64-disk1.vmdk，将这些文件放入OVF-WindowsServer2008文件夹，如图11-45所示实验内容和环境图11-45WindowsServer2008文件内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验步骤1.导入虚拟机（1）打开VMwareStationPro，依次单击“文件→打开”，如图11-46所示。图11-46VmwareStationPro界面实验步骤（2）双击OVF-WindowsServer2008文件夹中的WindowsServer2008R2x64.ovf文件，如图11-47所示。实验步骤图11-47双击WindowsServer2008R2x64.ovf实验步骤（3）设置该虚拟机相关信息，如图11-48所示，设置完成后单击“导入”按钮。实验步骤图11-48设置虚拟机信息实验步骤（4）导入结束后，打开该虚拟机，使用Administrator账户登录，输入密码Admin@123！。2.问题排查（检查是否感染挖矿病毒）（1）打开任务管理器，发现有一个可疑进程javs.exe占用了较多内存，如图11-49所示。实验步骤图11-49任务管理器实验步骤（2）此时，计算机的CPU使用率高达100%。从图11-50中可以看出，CPU的使用率持续稳定在100%的状态，判断可能感染了挖矿病毒。打开javs.exe进程，发现可疑访问域名，如图11-51所示。实验步骤图11-50CPU使用情况实验步骤图11-51发现可疑访问域名实验步骤（3）在任务管理器中右击javs.exe，选择“文件位置”，如图11-52所示；弹出窗口显示文件位置，如图11-53所示。图11-52选择“打开文件位置”实验步骤图11-53javs.exe文件位置实验步骤（4）用写字板打开配置文件config.json，找到如图11-54所示可疑域名，和步骤（2）中看到的域名一致。实验步骤图11-54可疑域名实验步骤（5）打开威胁分析与情报共享社区，检索域名，研判得出该域名属于矿池地址，javs.exe是挖矿病毒，如图11-55所示。实验步骤图11-55查询结果实验步骤3.结束javs.exe进程（1）尝试结束javs.exe，如图11-56所示。图11-56结束进程实验步骤（2）javs.exe进程结束一段时间后，自动重启，如图11-57和图11-58所示，CPU使用率又迅速上升，如图11-59所示，猜测服务器内可能存在计划任务。实验步骤图11-57javs.exe进程刚结束时实验步骤图11-58javs.exe进程结束一段时间后实验步骤图11-59CPU使用情况实验步骤（3）查看任务计划程序：如图11-60所示，打开“任务计划程序”，然后选择“任务计划程序库”。实验步骤图11-60打开“任务计划程序”实验步骤（4）发现start、system两个计划任务启动的文件均是挖矿病毒javs.exe，如图11-61和图11-62所示。实验步骤图11-61start任务计划程序实验步骤图11-62system任务计划程序实验步骤（5）获取更多信息：start、system的创建时间分别为“2023/2/2819:23:52”和“2022/3/239:46:17”，如图11-63所示。图11-63更多信息实验步骤（6）彻底删除javs.exe：在“任务计划程序”中将start、system删除，并将javs.exe所在目录下的所有文件删除，如图11-64和图11-65所示。注意：javs.exe可能会删除不成功（提示正在运行），可先单击“跳过”按钮，在任务管理器中结束该进程，再回到该目录中删除javs.exe。实验步骤图11-64删除start、system实验步骤图11-65删除javs.exe目录下的所有文件实验步骤（7）完成上述操作后，进入“任务管理器”查看，CPU使用情况恢复正常，如图11-66所示。图11-66CPU使用情况实验步骤4.排查后门（1）查看控制面板：依次单击“控制面板→用户账户→管理账户”，发现只有Adminis-trator和Guest两个账户，未发现可疑账户，如图11-67所示。图11-67管理账户实验步骤（2）查看注册表项：按Win+R键，输入regedit，按Enter键，打开注册表。首先发现一个镜像劫持（计算机/HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\Cur-rentVersion\ImageFileExecutionOptions\sethc.exe），如图11-68所示；直接删除，如图11-69所示。实验步骤图11-68镜像劫持实验步骤图11-69删除镜像劫持实验步骤（3）计算机\HKEY_LOCAL_MACHINE\SAM\SA