IP欺騙和TCP會話竊用實驗報告

1、實驗?zāi)康模毫私釯P協(xié)議和TCP協(xié)議的漏洞和IP欺騙和TCP會話竊用;實驗內(nèi)容：觀察TCP會話劫持和TCP會話終止數(shù)據(jù)。三、實驗原理:IP欺騙就是指一個偽造的源IP地址發(fā)送分組。通過構(gòu)造源IP和目的IP地址以TCP數(shù)據(jù)流中發(fā)及源端口和目的端口相匹配的IP分組，攻擊者可以利用IP欺騙向送數(shù)據(jù)段。四、實驗器材、環(huán)境配置操作及實驗數(shù)據(jù)的產(chǎn)生:teInet 和 FTP 服對合法主t92.16e.1J0300 06:tb：C5：1ee7五、實驗數(shù)據(jù)分析及分析步驟:實驗器材：服務(wù)器、集線器、客戶端主機和攻擊者主機。環(huán)境配置：使用連接在網(wǎng)絡(luò)中的兩臺臺式機，一臺作為合法的 務(wù)器，另一臺作為合法的客戶端。第三臺（

2、攻擊者）連接到網(wǎng)絡(luò)中, 機進行攻擊。實驗環(huán)境配置如圖4-1所示圖4-1實驗配置實驗數(shù)據(jù)的產(chǎn)生：用幾個合法的客戶端到服務(wù)器的telnet會話，每一個telnet會話都被第三臺機器通過 IP欺騙和TCP會話竊用進行攻擊。一些會話以FIN或RST 位終止，另一些會話被劫持，攻擊者的數(shù)據(jù)流入到了這些會話的數(shù)據(jù)流中。TCP會話劫持數(shù)據(jù)分析：首先用Ethereal打開telnet1_hijacked.cap文件。在分組 1和分組2中可以看到 SYN和SYNACK標志。分組1是從IP地址為03的客戶端發(fā)送到IP地 址為01服務(wù)器的。打開Ethernet可以看到客戶

3、端的MAC地址為00:06:5b:d5:1e:e7,服務(wù)器端的 MAC 地址為：00:00:c0:29:36:e8。在 SYNACK 分組中，源地址和目的地址則正好相反。刊 telnetl.hijackedl.cap - EtherealFile Edit iewCaplure 也lalyzf StaliE-iics Help翱倉醐刪洱 巴13耳鮒呂 囤令奪幻不量 題Eitttr |* Epressiisn. Clear Apply:門He廠nmt PirotiOfolp1EE. 1. IO (102.1 右E. 1 -10)Ost: 12. ji&R-1.101 (1221 石即00 00

4、co 29 36 e8 00 06 5b d5 le e7 08 00 時CD據(jù)|40 OD 5& 93 CM PO ? 04 gs tM 血 QI Q4 02|P. 36125 0 93125 M 0|lnLfl$HOME/.profile。這個命令后緊跟著一個ASCII 碼為 0x0a的字符，提示換行輸入新的命令。這個命令會把“echoHACKED ”字符添加到用戶的根目錄下名為.profile的文件中。在一些命令行 shell中，用戶登錄后首先讀?。?profile文件并執(zhí)行其中所有命令。用戶通常都根據(jù)需要為創(chuàng)建他們的工作環(huán)境而執(zhí) 行一些列命令。將這些命令放置到.profile文件中意味

5、著用戶在每次登錄后都不用手動地執(zhí)行這些設(shè)置命令。通過在.profile文件中添加“ echoHACKED ”命令，當用戶下次登錄時，他會在屏幕上看見“HACKED ”字符串。如圖5-4所示J celnetl_hlj*cke-d.c3p - Ethee-alF=Rr C=J r3Eida dia 里 Iq* 匚口 Un 口皿匚乜3 曰 Qi 口副敘關(guān)鼻耳因用卻呂目句睜HTTit Mgucihbc-r net 工工，勺廠匚二 3-com -B7 : aS : cb COO : O1:0 3 : S7 z 3 : clbJ r osr : wes r cr no_2 9: 3 S ； S CC 田

6、0呼專11 * nli： *1 n =t vr n_79 = 冷屯基 fQQ = Q*0* ； U O =之 ? HO 2 電 7iii s-Durcc e 3com B7 : a-B;: eb (Typ4! ； TP (QxQHCJIin xnTcrncT itcieogoI , ire :1GB. 1. Q3(12. 1GS. 1 .丄 O3J B t?sc ;192.1C. Jl 1O1 C19xEl *Tr TEWE I 號:K * 凸卄 dr監(jiān)廠白1 戸“ 怎 LI Pr9 C : 107 JI fl CJ? Jil .Puif* t ；f 立寓 hsource perr:1073：

7、 tlO7 3 J E f rIAE Ia-| p 凸盧走+ E41VUE JC-Eifiumij-ei3- : JEliQr ll a t i vfr qmrtin lnlaiJhd4r l-firE ht 2Q by?E-LU F 1 Jhgs : OkCHJIB C*SH r ACCw 1.1 aa i 317 4-4 hecks-um: Ok.4 5el (.corr e 匚tE) T* 1 diPlData r ectio iec.h口 HACKjEOiJ SHGME/. pr-of 1 1 enar a i； XflMiQI11E 出m V .丄 u V J T L .| . EA

8、C. Ino AChOHACKED EHOME /. pr-of 11 4_ .Filo -C：MUfiArsuiuuoUD4MDp.lff1l2O13V|-i|ligbth!MU92 | P frS12S D 2 M： -0圖5-4分組2數(shù)據(jù)信息TCP會話終止數(shù)據(jù)分析：在telnet1_hijacked.cap文件中，攻擊者成功地加入了實現(xiàn)其自身的hijack”會話,同時使合法客戶端和服務(wù)器無法通信。在telnet2_fin.cap文件中，攻擊者發(fā)送了含有它自己的分組535。這次攻擊者是偽裝為服務(wù)器向客戶端發(fā)送偽造的分組?？蛻舳擞盟约悍纸M538中的FIN位作為響應(yīng)。而對于真正的服務(wù)器，它是

9、第一次接收到客戶端關(guān)閉連接的分組，這樣它會認為客戶端希望斷開連接，并以一個分組 540中的FIN位作為響應(yīng)?？蛻舳私邮盏竭@個分組后， 服務(wù)器和客戶端的連接已經(jīng)斷開，客戶端會發(fā)送一個窗口位為0和RST位置的分組。這樣，就完全斷開了客戶端和服務(wù)器的連接。如圖5-5所示teln42_iin.cap Ethn.卩酊 刪 1了Nd. u Time-SomDe-iiinaiion3rattMl ln/oki Frane 535 (M tyres an rt1refc 60 byres c-apruredjEthernet II, Src: 3can_S7:eb (00:01:03:97:j:cb)r Di

10、t: De 11Corap_dS:1e:e7 (00:04:5b:d5:le:e7)國 Pe5tinat-ion: DellCofflp_d5ne：e? (w；C6;5l;d5;le7)h SxHjrcei 3coer: 270 Cr el At live 此配 number)Hajdar langth: 30 bytas凹 Flags; 0x0011 (fin/ckwindow size: J174JEhecksun: D涎翎空correctCKMOW3Q16 30 0 0 5-0 05 io 口 4 4 0 T-5- dwl G 3 G- 僉w5 Qrh 卵 do Id b IB c &

11、H -3 s6 E lx Q of 4D 1 r- 04*DEI D a-1 口 Qi 4 cs 05 fl OS- 4 月m 4 口 ds sw r J 2 fa 蛙 Rb hM JDb Q 。匸dQ HI- I-： 1 ：飾叭北I：曲力fm :許匸用訕如*天：I ：門n m |P- 541 0- 541圖5-5 FIN攻擊telnet3_rst.cap文件中，攻擊者向客戶段發(fā)送了一個RST位置位的分組 339。攻擊者再次偽裝服務(wù)器，并向客戶端發(fā)送偽造的分組。客戶端會立刻直接關(guān)閉與服務(wù)器的連 接，而不是按通常的三次握手的步驟來關(guān)閉連接。而此時真正的服務(wù)器并不知道發(fā)生了這些，它會繼續(xù)向客戶端發(fā)

12、送分組340。當分組到達客戶端后，客戶端會響應(yīng)連接已經(jīng)關(guān)閉的信息。如圖5-6所示在attacker_ftp.cap文件，攻擊者使用通過網(wǎng)絡(luò)嗅探到用戶口令來與服務(wù)器建立一個FTP連接，并獲取服務(wù)器文件。在這個連接中，攻擊者不需要進行IP欺騙，它可以簡單的使用自己的IP地址：00。捕捉口令可以完全獲得用戶賬戶的訪問權(quán)限， 而不再僅僅是插入一些命令到數(shù)據(jù)流中。如圖5-7所示圖5-6 RST攻擊圖5-7 ftp攻擊六、實驗結(jié)論:IP欺騙(IP Spoofing)和DNS欺騙(DNS Spoofing).其基本原理：是利用IP地址并不是出廠的時候與 MAC固定在一起的，攻擊者通過自

13、封包和修改網(wǎng)絡(luò)節(jié)點的IP地址，冒充某個可信節(jié)點的IP地址，進行攻擊。J在TCP會話劫持中，只有攻擊者發(fā)送的是接受者所期望的序號的分組，就可以 成功地實現(xiàn)“會話竊用”。在“會話竊取”成功后，導(dǎo)致正常主機和服務(wù)器兩邊一直 僵持狀態(tài)。在TCP會話終止中，攻擊者發(fā)送了一個帶FIN或RST位的信息到目標主機，他會成功關(guān)閉這次連接。但是它沒有獲得非法途徑訪問資源，能阻止合法用戶訪問 資源。然而攻擊者通過網(wǎng)絡(luò)嗅探到的用戶口令與服務(wù)器建立一個FTP連接，并獲取服務(wù)器文件。報告評分:指導(dǎo)教師簽字: Frwe 1 (6Z bytes on wire, &2 bytes caprured)Evhernet II., src： &ellCQmp_dS：le7 (00:06：Sbrd5-.：le：e7) r Ost: wesrernoi&:ee (OC* Destinations wesx：ernOi_29 B&:e8 (gg：0Q：cQ：z&