网络攻防技术综合实训-课件 第12章 互联网协议攻击实训

第十二章互联网协议攻击实训12.1LocalDNS攻击实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5域名系统域名系统（DomainNameSystem，DNS）是一个用于实现域名与IP地址相互映射的分布式数据库系统，采用客户端/服务器架构。域名由一系列标号（label）组成，各标号之间以点“.”分隔。标号可由英文字母（不区分大小写）、数字和连字符“-”构成，长度不超过63个字符。整个域名总长度（包括末尾根点）不超过254个字符。例如，的完整形式（完全限定域名，FQDN）为“.”，末尾的“.”代表根域。域名系统域名服务器是运行域名解析服务程序的设备，多个域名服务器共同协作完成域名与IP地址的解析任务。根据功能和管辖范围，可将其分为以下几类。(1)根域名服务器：处于最高层级，存储所有顶级域名服务器的域名与IP地址。(2)顶级域名服务器：负责管理在该顶级域下注册的所有二级域名。域名系统(3)权威域名服务器：管理特定区（zone）内的域名解析，每个主机都必须在其管辖的某个权威域名服务器中注册。(4)本地域名服务器：主机发起DNS查询时首先访问的服务器。若本地服务器无法解析，则会向根域名服务器发起迭代查询。域名系统区是DNS管理的实际单位，指某个权威域名服务器所管辖的范围。一个区内所有主机的域名与IP地址的映射关系均存储于该区的权威服务器中。需注意区与域（domain）的区别：DNS以区为管理单元，一个区通常是域的子集，如图12-1所示。域名系统图12-1DNS域名服务器树状结构DNS查询过程DNS的查询过程如图12-2所示。图12-2DNS查询过程DNS查询过程(1)客户端浏览器中输入某域名，首先搜索浏览器的DNS缓存，如果命中则调用该IP地址映射完成域名解析，否则继续。(2)搜索本地hosts文件，如果命中则调用，否则继续。(3)如果浏览器本地DNS缓存和hosts文件都没有相应的映射关系，则操作系统将DNS请求发送至本地DNS服务器。本地DNS服务器收到DNS查询请求时，查找本地配置资源，如果命中则返回解析结果给客户端，完成域名解析，此解析具有权威性，否则继续。DNS查询过程DNS查询过程(4)如果命中本地DNS服务器的高速缓存，则调用该IP地址映射给客户端，完成域名解析，此解析不具有权威性，否则继续。(5)如果本地DNS服务器的本地区域文件与高速缓存解析都未命中，则本地DNS服务器迭代查询根域名服务器。(6)本地DNS服务器将查询结果缓存，返回给客户端。(7)客户端浏览器得到域名对应的IP地址，将其缓存，完成域名解析。DNS查询过程本地DNS攻击思路当用户尝试访问某个域名时，系统首先会查询本地缓存（cache）。如果该域名对应的IP地址已存在缓存中，则直接返回结果；否则将向本地DNS服务器发送解析请求。本地DNS服务器在接收到查询请求后，会先检查自身缓存，若存在相应记录，则直接向用户返回IP地址；若不存在，则代表用户向其他DNS服务器发起迭代查询，最终将获取的IP地址返回给用户，并将该结果缓存至本地。本地DNS攻击思路基于上述流程，DNS攻击的核心在于向用户返回伪造的IP地址。常见的本地DNS攻击主要包括以下三种方式。(1)篡改本地缓存：攻击者利用系统优先查询本地缓存的机制，直接入侵用户主机并修改本地hosts文件或缓存记录，将指定域名指向恶意IP地址。(2)伪装成本地DNS服务器：攻击者通过监听网络，在用户发出DNS查询请求后、本地DNS服务器返回响应之前，抢先向用户发送伪造的DNS响应包，其中包含虚假的IP地址。本地DNS攻击思路本地DNS攻击思路(3)污染本地DNS服务器缓存（DNS服务器缓存投毒）：攻击者监听本地DNS服务器发出的递归查询请求，并伪造响应报文，诱使服务器将错误的域名-IP映射关系存入缓存，从而影响后续所有对该域名的查询请求。本实验将模拟实现上述三种攻击场景，如图12-3和图12-4所示。本地DNS攻击思路图12-3伪装成本地DNS服务器本地DNS攻击思路图12-4本地DNS服务器缓存投毒内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验目的通过本实验，熟悉域名系统及其工作过程的基础上掌握本地DNS的攻击思路。内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验内容和环境使用Bind9搭建一个DNS服务器，并完成三种本地DNS攻击实验：(1)攻击者直接入侵用户机并修改本地hosts文件。(2)攻击者伪装成本地DNS服务器欺骗用户。(3)本地DNS服务器缓存投毒。为了简化过程，让攻击机、用户机、DNS服务器处于同一个LAN中。实验工具如表12-1所示。实验内容和环境表12-1实验工具信息内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验步骤1.配置攻击环境将攻击机、用户机、DNS服务器三台虚拟机的网络均设置为NAT模式。图12-5所示为NAT模式的配置。其中，攻击机IP为，用户机IP为，DNS服务器IP为，分别如图12-6~图12-8所示。实验步骤图12-5NAT模式的配置实验步骤图12-6攻击机IP地址实验步骤图12-7用户机IP地址实验步骤图12-8DNS服务器IP地址实验步骤2.使用Bind9配置DNS服务器(1)这里使用Ubuntu（）作为DNS服务器，使用sudo

apt

install

bind9命令安装Bind9，如图12-9所示。图12-9DNS服务器安装Bind9实验步骤(2)创建dump.db文件：使用cd命令进入Bind9配置文件named.conf所在的目录/etc/bind/，使用ls命令可以看到配置文件named.conf，使用vi编辑器打开named.conf.options，如图12-10所示。图12-10打开named.conf.options实验步骤(3)按照图12-11所示添加指定内容。其中，/var/cache/bind/dump.db这个文件用来作为DNS服务器的缓存。实验步骤图12-11为named.conf.options添加内容实验步骤(4)创建zones：假设服务器会提供一个地址为的DNS解析功能，将在/etc/bind/named.conf文件中加入相关信息。按照图12-12和图12-13所示添加指定内容。file后面跟的文件名称为zonefile，实际的DNS解析就是放在zonefile中。这里定义了两个DNS区：正向DNS区和反向DNS区。实验步骤图12-12打开named.conf实验步骤图12-13为named.conf添加内容实验步骤(5)创建zonefile：在/var/cache/bind/目录下分别创建.db文件（DNS正向查询记录文件）和192.168.2文件（DNS反向查询记录文件），并写入对应内容，如图12-14和图12-15所示。实验步骤图12-14.db文件内容实验步骤图12-15192.168.2文件内容实验步骤(6)进入/var/cache/bind/目录，使用ls命令查看刚刚创建的两个文件是否存在，如图12-16所示。图12-16查看新建的两个文件实验步骤(7)使用sudo

service

bind9

restart命令重启DNS服务，如图12-17所示。使用sudoserv-icebind9status命令查看Bind9运行状态，如图12-18所示。图12-17重启DNS服务实验步骤图12-18查看Bind9运行状态实验步骤3.配置用户机在Kali（）上配置用户机，设置默认DNS服务器，修改resolv.conf文件，如图12-19和图12-20所示。该文件在/etc/目录下。验证设置DNS服务器是否成功，这里介绍以下三种方法。实验步骤图12-19打开resolv.conf图12-20resolv.conf修改内容实验步骤(1)在用户机命令行使用nslookup命令验证，如图12-21和图12-22所示。实验步骤图12-21使用nslookup命令查看和实验步骤图12-22使用nslookup命令查看和实验步骤(2)使用dig命令验证，如图12-23所示。图12-23使用dig命令查看实验步骤(3)在用户机中打开Wireshark进行抓包，在命令行执行命令，如图12-24所示。从图12-25所示抓包结果可以看到，用户机（）向DNS服务器（）发出了DNS查询请求，且DNS服务器成功回复用户机。上述三种方法中的任一种的结果都能说明用户机上设置指定DNS服务器成功。实验步骤图12-25抓包结果图12-24执行curl命令实验步骤4.攻击者直接入侵用户机攻击者如果成功入侵用户机，便可以通过修改hosts文件实现本地DNS攻击。(1)使用sudovi/etc/hosts命令可修改hosts文件。hosts文件在/etc/目录下，用于本地DNS查找。实验步骤(2)在hosts文件中添加一条映射关系：，如图12-26所示。用户机在访问时将不会访问任何DNS服务器，而是直接访问这个IP地址。实验步骤图12-26在hosts文件中添加内容实验步骤(3)在用户机中打开Wireshark进行抓包，并在命令行中执行命令。从图12-27和图12-28可以看到，用户机访问时，访问的IP地址为，说明已成功实施了本地DNS攻击。（注意：这里使用nslookup/dig命令无意义，因为nslookup和dig两个命令都是使用DNS服务器解析域名的，无法反映用户命中本地hosts文件的过程）。实验步骤图12-27执行ping命令图12-28抓包结果实验步骤5.攻击者伪装成本地DNS服务器进行攻击(1)攻击机与用户机处于相同的网段中，因此攻击者可以监听用户的DNS请求。在用户机的命令行中执行命令，如图12-29所示。在攻击机上，在用户机执行curl命令前打开Wireshark进行抓包。图12-29执行curl命令实验步骤(2)从图12-30所示抓包结果可以看到，攻击者成功监听了用户机的DNS请求。首先，用户机（）向本地DNS服务器（）发送一个DNS请求，然后本地DNS服务器返回给用户查询结果。如果攻击者赶在正确的DNS回复之前发送给用户一个伪造的数据包，便可成功实施DNS欺骗。这个虚假的DNS回复需要满足如下条件。实验步骤图12-30抓包结果实验步骤源IP地址是DNS服务器的地址。目的IP地址是用户机的地址。源端口是DNS请求的目的端口（一般是53端口）目的端口是DNS请求的来源端口。UDP校验和正确。业务ID和DNS请求一致。QUESTIONSECTION中的域名和DNS请求中的QUESTIONSECTION一致。实验步骤ANSWERSECTION中的域名和DNS请求中的QUESTIONSECTION一致。用户机必须在收到正确的DNS回复之前收到攻击者伪造的DNS回复。满足前8条后，攻击者预先得到DNS请求并分析，进行伪造，并赶在正确的DNS回复之前发送给用户。Netwag的105号工具（Tool105：SniffandsendDNSanswers）可以实现这个过程。实验步骤(3)在攻击机上安装Netwag(使用sudoaptinstallnetwag命令），如图12-31所示。使用sudonetwag命令打开Netwag，如图12-32所示。图12-31安装Netwag实验步骤图12-32打开Netwag实验步骤(4)找到105号工具，双击打开，如图12-33所示。图12-33打开105号工具实验步骤(5)如图12-34和图12-35所示进行配置，注意filter中的内容填写srchost，后面的IP地址为用户机的IP地址（表示监听用户机发出的DNS请求）。设置完成后单击Runit按钮（单击Generate按钮可以预览设置信息）。实验步骤图12-34Netwag设置（一）实验步骤图12-35Netwag设置（二）实验步骤(6)在用户机中打开Wireshark进行抓包，执行命令。从图12-36中可以看到，对的查询结果依然是01，没有欺骗成功。从图12-37所示抓包结果可以看到，DNS欺骗行为确实存在。因此，怀疑是由于内网网络太通畅，导致用户机（）发出DNS请求后，本地DNS服务器（）能够很快进行回复。而攻击者需要先监听到用户机的DNS请求包然后进行分析，再伪造一个DNS回复包（假冒DNS服务器）发送给用户。实验步骤实验步骤图12-36执行nslookup命令图12-37抓包结果实验步骤可见，此过程慢于DNS服务器的回复速度，未能赶在DNS服务器之前发送给用户欺骗包，导致nslookup查询结果错误。但通过抓包结果仍能发现DNS欺骗较为成功。同时，在Netwag中能够看到攻击机伪造的DNS包，如图12-38所示。实验步骤图12-38伪造的DNS包实验步骤6.攻击者进行本地DNS服务器缓存投毒(1)使用命令sudo

rndc

flush清空DNS服务器的缓存，如图12-39所示。图12-39清空DNS服务器的缓存实验步骤(2)攻击机按照图12-40和图12-41所示进行设置：将filter中的IP值改为DNS服务器的IP地址（表示监听DNS服务器发出的DNS请求）。当用户发出www.example.hcc请求时，DNS服务器查询缓存失败，于是向其他DNS服务器发出DNS请求，这时攻击者便能嗅探到DNS请求包，分析该包并构造虚假的回复包发送给DNS服务器，完成本地DNS服务器缓存投毒攻击。设置完成后单击Runit按钮。实验步骤图12-40Netwag设置（一）实验步骤图12-41Netwag设置（二）实验步骤(3)在用户机上打开Wireshark进行抓包，执行nslookupwww.example.hcc命令。从图12-42中可以看到，查询结果为，欺骗成功。从图12-43中可以看到，DNS服务器（）向其他DNS服务器（0）发出了DNS请求，攻击机假冒该DNS服务器（0）向DNS服务器（）回复了一个虚假的回复包，DNS服务器将虚假的DNS查询结果返回给用户（）。此过程完成了本地DNS服务器缓存投毒。实验步骤图12-42执行nslookup命令图12-43抓包结果内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5总结与思考本实验揭示了互联网基础协议的脆弱性，即安全是持续对抗的过程，而非一劳永逸的状态。防御的核心在于分层加固（协议层DNSSEC、传输层DoH/DoT、应用层HTTPS）与纵深防御（网络监控+用户教育）。在未防护的局域网中，DNS欺骗（如ARP投毒+DNS响应伪造）的成功率超过90%，协议设计缺陷（TransactionID地址随机性不足、无响应验证）仍可被低成本利用。通过本实验，读者能直观理解DNS安全生态，从而推动从协议设计到运维防护的全链路安全实践。12.2SMTP攻击实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5SMTPSMTP称为简单邮件传输协议（SimpleMailTransferProtocal），目标是向用户提供高效、可靠的邮件传输。它的一个重要特点是它能够接力传输邮件，即邮件可以通过不同网络中的主机进行接力式传输。通常它工作在两种情况下：一是邮件从客户机传输到服务器；二是邮件从某个服务器传输到另一个服务器。SMTP是一个请求/响应协议，它监听25号端口，用于接收用户的邮件请求，并与远端邮件服务器建立SMTP连接。SMTPSMTP通常有两种工作模式：发送SMTP和接收SMTP。具体工作过程为：发送SMTP在接收到用户的邮件请求后，判断此邮件是否为本地邮件，若是则直接投送到用户的邮箱，否则向DNS查询远端邮件服务器的MX记录，并与远端接收SMTP建立一个双向传输通道，此后的SMTP命令由发送SMTP发出，由接收SMTP接收，而应答则反方向传输。一旦传输通道建立，发送SMTP发送MAIL命令指明邮件发送者，如果接收SMTP可以接收邮件则返回OK应答；SMTP发送SMTP再发出RCPT命令，确认邮件是否接收到，如果接收SMTP接收，则返回OK应答，否则发出拒绝接收应答（但不终止整个操作），双方将如此反复多次。当接收者收到全部邮件后会，接收到特别的序列，如果接收者成功处理了邮件，则返回OK应答。ARPARP（AddressResolutionProtocol，地址解析协议）用于将网络层的IP地址解析为数据链路层的物理地址（如以太网中的MAC地址），以实现同一局域网内设备之间的通信。ARPARP的工作原理为：当主机需要向同一局域网内的某个IP地址发送数据时，首先查询本地的ARP缓存，若缓存中存在该IP地址对应的MAC地址，则直接使用该地址封装帧进行发送，否则广播发送一个ARP请求报文；拥有该IP地址的设备会回应其MAC地址，该主机接收后将其存入ARP缓存，以供后续使用。ARPARP欺骗（ARP

spoofing）包括以下内容。(1)攻击者发送虚假ARP响应包：攻击者向局域网中发送伪造的ARP响应包，声称某IP地址（如网关或某台主机）对应的MAC地址为攻击者控制的MAC地址。(2)目标更新ARP缓存表：收到该响应的主机会错误地将攻击者的MAC地址与合法IP地址关联，并更新其ARP缓存表。ARP(3)流量重定向：由于ARP缓存表中记录了错误的映射关系，发往该IP地址的数据帧将被发送至攻击者的设备。(4)中间人攻击（man-in-the-middle）：攻击者可借此拦截、窃听，甚至篡改通信数据，从而获取敏感信息（如用户名、密码），或者对通信内容进行恶意操纵。内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验目的通过模拟真实的网络攻击场景，掌握SMTP的安全漏洞和防御措施，提升网络安全意识和应急响应能力。具体来说，通过本实验，可以熟悉相关工具的使用方法，了解SMTP的基本通信情况，并掌握如何利用开放的SMTP实施攻击。内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验内容和环境首先使用Ettercap工具完成ARP欺骗实验，然后在攻击机上对欺骗成功后的受害者进行流量监视。本实验包括两个小实验：监视受害者上网流量；窃听受害者发送的邮件信息。实验工具信息如表12-2所示。实验内容和环境Kali为攻击者，利用ARP欺骗成为受害者Ubuntu和VMware网关之间的中间人，从而获取Ubuntu访问的SMTP服务器的数据流，再进一步分析、利用。表12-2实验工具信息内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5实验步骤1.在Kali中查看局域网内的主机信息(1)如图12-44所示，使用su

root命令提权，并在Kali中执行ifconfig命令，Kali的IP地址为/24，MAC地址为00:0c:29:f6:fc:08，如图12-45所示。实验步骤图12-44提权实验步骤图12-45Kali的相关信息实验步骤(2)在Ubuntu中执行ifconfig命令，Ubuntu的IP地址为/24，MAC地址为00:0c:29:dd:8a:9c，如图12-46所示。实验步骤图12-46Ubuntu的相关信息实验步骤(3)在Kali和Ubuntu中分别执行iprouteshow命令，查看局域网的网关为/24，如图12-47和图12-48所示。实验步骤图12-47Kali中的网关信息图12-48Ubuntu中的网关信息实验步骤(4)在Kali和Ubuntu中分别使用arp命令，查看ARP缓存信息，网关的MAC地址为00:50:56:f1:5e:b8，如图12-49和图12-50所示图12-49Ubuntu中的ARP缓存信息图12-50Kali中ARP缓存信息实验步骤(5)测试Ubuntu和Kali的连通性：在Kali和Ubuntu中分别执行ping和ping命令（、分别为Ubuntu和Kali的IP地址）。从图12-51和图12-52可以看出，两台虚拟机是连通的。实验步骤图12-51Ubuntu对Kali执行ping命令图12-52Kali对Ubuntu执行ping命令实验步骤注意：(1)Kali

和

Ubuntu在同一个局域网内，且Kali和Ubuntu连通。(2)Kali的IP地址为/24，MAC地址为00:0c:29:f6:fc:08。(3)Ubuntu的IP地址为/24，MAC地址为00:0c:29:dd:8a:9c。(4)局域网的网关为/24，MAC地址为00:50:56:f1:5e:b8。实验步骤2.实施ARP欺骗攻击（1）在Kali中执行echo1>/proc/sys/net

/ipv4/ip_forward命令，开启Kali端口转发功能，系统会启用IPv4数据包转发功能，允许Kali将接收到的数据包转发到其他接口；执行命令cat/proc/sys/net/ipv4/ip_forward，查看IP地址转发功能处于启用(1)还是禁用（0）状态，如图12-53所示。如果不开启Kali端口转发功能，在后续完成ARP欺骗后，Ubuntu将出现无法访问互联网的现象。实验步骤图12-53开启端口转发功能实验步骤(2)在Kali中执行ettercap-G命令，启动Ettercap工具，打开Ettercap图形化界面，单击右上角的对勾符号按钮，如图12-54所示。实验步骤图12-54启动Ettercap工具实验步骤(3)单击左上角的放大镜按钮，进行ARP扫描，用于发现局域网中存活的主机；等待扫描完毕，单击放大镜右边类似清单符号的按钮，查看扫描的结果，如图12-55所示。实验步骤图12-55ARP扫描实验步骤ARP扫描结果如图12-56所示，这里选择以下两个目标：(1)192.168.2.2：局域网的网关。(2)：受害者Ubuntu的IP地址。分别将它们添加为Target1、Target2，如图12-57所示。实验步骤图12-56ARP扫描结果实验步骤图12-57添加目标实验步骤(4)单击ARPpoisoning按钮进行ARP欺骗攻击，如图12-58所示；勾选Sniff

remote

connections.，再单击OK按钮，如图12-59所示。实验步骤图12-58ARP欺骗实验步骤图12-59勾选相关选项实验步骤(5)在Ubuntu中执行arp命令，查看ARP缓存信息。从图12-60中可以看到，Ubuntu的网关（gateway）的MAC地址已经变为攻击机Kali的MAC地址，说明Kali对Ubuntu成功实施了ARP欺骗攻击。图12-60查看ARP缓存信息实验步骤(6)监视上网流量：在Kali中打开Wireshark，并对eth0网卡进行监听并抓包，如图12-61所示。实验步骤图12-61监听eth0网卡实验步骤(7)在Ubuntu中打开火狐浏览器，访问任意网页，这里访问，如图12-62所示。实验步骤图12-62访问任意网站实验步骤(8)在Ubuntu中访问网页成功后，返回Kali，停止抓包，对抓包结果进行条件过滤，过滤规则为ip.addr==andtcp.port==80，表示捕获源IP地址或目标IP地址为（受害者Ubuntu的IP地址）的TCP端口80的数据包，如图12-63所示。实验步骤图12-63对抓包结果进行条件过滤实验步骤(9)这里只关注No.237这个HTTP数据包，如图12-64所示。右击该数据包，依次单击Follow→HTTP

Stream，进行HTTP数据流追踪，如图12-65所示。图12-64No.237数据包实验步骤图12-65HTTP数据流追踪实验步骤从图12-66可以看到受害者Ubuntu的一些操作信息———使用火狐浏览器访问了网址。实验步骤图12-66数据包内容实验步骤3.窃听邮件信息下面以180×××@163.com向cun-c×××@q发送邮件为例进行分析。发送方为180×××@163.com，接收方为cun-c×××@首先，确保发送方的163邮箱中开启了SMTP服务（后面会用到该服务，可通过163邮箱设置→POP3/SMTP/IMAP查看），如图12-67所示。实验步骤图12-67查看SMTP服务是否开启实验步骤其次，确保受害者Ubuntu已经安装了Python3（后面需要用到Python3编译器），可以执行Python3--version命令进行查看，如图12-68所示。图12-68查看Python3版本实验步骤这里介绍两种场景。(1)情景1：SSL加密传输。在受害者Ubuntu中编写py脚本（用于实现发送方向接收方发送邮件），这里使用587端口进行SSL加密传输。脚本内容如下（具体参数由实验者自主设置）：实验步骤在Ubuntu中执行