網(wǎng)絡(luò)安全實(shí)驗(yàn)報(bào)告

網(wǎng)絡(luò)安全實(shí)驗(yàn)報(bào)告信息與科學(xué)技術(shù)學(xué)院學(xué)生上機(jī)實(shí)驗(yàn)報(bào)告課程名稱(chēng)：計(jì)算機(jī)網(wǎng)絡(luò)安全開(kāi)課班級(jí)：2013級(jí)網(wǎng)絡(luò)工程(2)班教師姓名：孫老師學(xué)生姓名：羅志祥實(shí)驗(yàn)一、信息收集及掃描工具的使用【實(shí)驗(yàn)?zāi)康摹?、掌握利用注冊(cè)信息和基本命令實(shí)現(xiàn)信息收集2、掌握結(jié)構(gòu)探測(cè)的基本方法【實(shí)驗(yàn)步驟】一、獲取以及的基本信息2.利用來(lái)獲取信息二、使用工具獲取到達(dá)的結(jié)構(gòu)信息IP-aIP獲得所在域以及其他信息；viewIP獲得共享資源；aIP獲得所在域以及其他信息；2.在掃描模塊中設(shè)置要掃描的項(xiàng)目；4.掃描跳過(guò)沒(méi)有響應(yīng)的主機(jī)；5.設(shè)置要掃描的端口級(jí)檢測(cè)端口；6.開(kāi)始掃描并查看掃描報(bào)告；實(shí)驗(yàn)二、IPC$入侵的防護(hù)【實(shí)驗(yàn)?zāi)康摹?掌握IPC$連接的防護(hù)手段?了解利用IPC$連接進(jìn)行遠(yuǎn)程文件操作的方法?了解利用IPC$連接入侵主機(jī)的方法【實(shí)驗(yàn)步驟】通過(guò)IPC$連接遠(yuǎn)程主機(jī)的條件是已獲得目標(biāo)主機(jī)管理員的賬號(hào)和密碼。1.單擊“開(kāi)始”“運(yùn)行”，在“運(yùn)行”對(duì)話(huà)框中輸入“cmd”1.建立IPC$連接，鍵入命令netuse\\\ipc$123/user:administrator2.映射網(wǎng)絡(luò)驅(qū)動(dòng)器，使用命令：netusey:1.映射成功后，打開(kāi)“我的電腦”，會(huì)發(fā)現(xiàn)多了一個(gè)y盤(pán)，該磁盤(pán)即為目標(biāo)主1.在該磁盤(pán)中的操作就像對(duì)本地磁盤(pán)操作一1.斷開(kāi)連接，鍵入netuse*/del命令，斷開(kāi)所有的連接1.通過(guò)命令netuse\\目標(biāo)主機(jī)IP\ipc$/del可以刪除指定目標(biāo)IP的?建立后門(mén)賬號(hào)t1.與目標(biāo)主機(jī)建立IPC$連接2.復(fù)制文件到目標(biāo)主機(jī)。(或映射驅(qū)動(dòng)器后直接將放入目標(biāo)主機(jī)的C盤(pán)中)1.通過(guò)計(jì)劃任務(wù)使遠(yuǎn)程主機(jī)執(zhí)行文件，鍵入命令：nettime，查看目標(biāo)主機(jī)1.如圖，目標(biāo)主機(jī)的系統(tǒng)時(shí)間為13:4513：52c:\，然后斷開(kāi)IPC$連接。1.驗(yàn)證賬號(hào)是否成功建立。等一段時(shí)間后，估計(jì)遠(yuǎn)程主機(jī)已經(jīng)執(zhí)行了文件，通過(guò)建立IPC$連接來(lái)驗(yàn)證是否成功建立“sysback”賬號(hào):建立IPC$連接，鍵入命令netuse123/user:sysback1.若連接成功，說(shuō)明管理員賬號(hào)“sysback”已經(jīng)成功建立連接。安全解決方案1.建立bat文件，文件名為：，內(nèi)容如下：2.禁止空連接，將該命令“netstopserver/y”加入文件中或打開(kāi)“控制r【實(shí)驗(yàn)報(bào)告】答：(1)己方和對(duì)方的計(jì)算機(jī)都連接到了互聯(lián)網(wǎng)，并且知道對(duì)方計(jì)算機(jī)的IP，知道對(duì)方計(jì)算機(jī)的管理員賬號(hào)和密碼(IPC$空連接除外)(2)對(duì)方?jīng)]有通過(guò)禁用IPC$連接、禁用139和445端口、使用防火墻等方式來(lái)阻(3)對(duì)方計(jì)算機(jī)開(kāi)啟了相關(guān)的IPC$服務(wù)，例如RPC服務(wù)(remoteprocedure(4)本地計(jì)算機(jī)操作系統(tǒng)不能使用Windows95/98，因?yàn)閃indows95/98默認(rèn)是答：能映射驅(qū)動(dòng)器，像在本機(jī)上一樣的操作目標(biāo)機(jī)的驅(qū)動(dòng)器，能上傳下載文件，能建立新的賬號(hào)，能克隆賬號(hào)等。實(shí)驗(yàn)三、留后門(mén)與清腳印的防范【實(shí)驗(yàn)?zāi)康摹俊窳私鈳ぬ?hào)后門(mén)以及防范手段●掌握手工克隆帳號(hào)原理●掌握日志清除的防范方法【實(shí)驗(yàn)需求】●計(jì)算機(jī)兩臺(tái)，要求安裝Windows2000操作系統(tǒng)●交換機(jī)一臺(tái)、直連線(xiàn)兩根●權(quán)限提升工具【實(shí)驗(yàn)步驟】預(yù)步驟：建立IPC連接，映射驅(qū)動(dòng)器，上傳到目標(biāo)主機(jī)一、設(shè)置隱藏帳號(hào)1、試運(yùn)行權(quán)限提升工具測(cè)試結(jié)果如圖2、進(jìn)入任務(wù)管理器，查看SYSTEM的PID號(hào)如圖PID為3、使用PSU工具把它加載到注冊(cè)表中4、在注冊(cè)表中找到存放系統(tǒng)帳號(hào)名稱(chēng)以及配置信息的注冊(cè)項(xiàng)。5、找到Administrator查看他的類(lèi)型如圖.它的類(lèi)型為0x1f46、打開(kāi)系統(tǒng)管理員的權(quán)限里面的F項(xiàng)把里面的16進(jìn)制數(shù)據(jù)復(fù)制7、使用剛才的方法找到GUEST用戶(hù)打開(kāi)相同的項(xiàng)把剛才復(fù)制的16進(jìn)制數(shù)據(jù)粘貼進(jìn)去8為了隱蔽性我們把GUEST帳號(hào)禁用首先在命令行模式下鍵入”netuserguest/active:no。9下面我們來(lái)看下當(dāng)前Guest帳號(hào)的狀態(tài)在命令行下輸入“netuserGuest”。由圖3-10可以看出Guest用戶(hù)只屬于Guest組，接下來(lái)打開(kāi)計(jì)算機(jī)管理中的帳號(hào)中的帳號(hào)管理可以發(fā)現(xiàn)Guest用戶(hù)已經(jīng)被禁用了。10注銷(xiāo)后用Guest帳號(hào)登陸發(fā)現(xiàn)桌面配置與Administrator用戶(hù)完全一樣，下面我們用這個(gè)帳號(hào)執(zhí)行一個(gè)只有系統(tǒng)管理員才有權(quán)執(zhí)行的操作，如果成功那表示這個(gè)帳號(hào)后門(mén)可用1、首先制作一個(gè)DOS下的批處理文件用于刪除所有的日志，把它保存為.bat文件3通過(guò)檢查被攻擊主機(jī)的日志信息，可以發(fā)現(xiàn)內(nèi)容為空在入侵到對(duì)方的服務(wù)器之后，IIS將會(huì)詳細(xì)地記錄下入侵者入侵的全部過(guò)程。在天都產(chǎn)生一個(gè)新日志?？梢栽诿钐崾痉翱谥型ㄟ^(guò)"del*.*"命令來(lái)清除日志文件，但這個(gè)方法刪除不掉當(dāng)天的日志，這是因?yàn)閣3svc(即WorldWideWebPublishing)服務(wù)還在運(yùn)行著。(1)可以用“netstopw3svc”命令把這個(gè)服務(wù)停止之后，(2)再用“del*.*”命令，就可以清除當(dāng)天的日志了，(3)最后用“netstartw3svc”命令再啟動(dòng)w3svc服務(wù)就可以了。注意：刪除日志前要先停止相應(yīng)的服務(wù)，再進(jìn)行刪除，日志刪除后務(wù)必要記得再打開(kāi)相應(yīng)的服務(wù)。也可修改目標(biāo)計(jì)算機(jī)中的日志文件，其中WWW日志文件存放在名的(其中xxxxxx代表日期)。FTP日志的默認(rèn)存儲(chǔ)位置為C:\windows\system32\logfiles\msftpsvc1\，其清除(1)在命令提示符窗口中運(yùn)行"netstopmstfpsvc"命令即可停掉msftpsvc服(2)運(yùn)行"del*.*"命令或找到日志文件，并將其內(nèi)容刪除。(3)最后通過(guò)運(yùn)行"netstartmsftpsvc"命令，再打開(kāi)msftpsvc服務(wù)即可三、安全解決方案1、杜絕Guest帳戶(hù)的入侵?？梢越没驈氐讋h除Guest帳戶(hù)，但在某些必須使用到Guest帳戶(hù)的情況下，就需要通過(guò)其它途徑來(lái)做好防御工作了。首先要給Guest設(shè)一個(gè)強(qiáng)壯的密碼，然后詳細(xì)設(shè)置Guest帳戶(hù)對(duì)物理路徑的訪(fǎng)問(wèn)權(quán)限(注意磁盤(pán)必須是NTFS分區(qū))。例如禁止Guest帳戶(hù)訪(fǎng)問(wèn)系統(tǒng)文件夾?？梢杂覔簟癢INNT”文件夾，在彈出菜單中選擇“安全”標(biāo)簽，從中可看到可以訪(fǎng)問(wèn)此文件夾的所有用戶(hù)。刪除管理員之外的所有用戶(hù)即可2、日志文件的保護(hù)。首先找出日志文件默認(rèn)位置，以管理員身份登錄進(jìn)系統(tǒng)，并在該系統(tǒng)的桌面中依次單擊“開(kāi)始”－“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行對(duì)話(huà)框窗口。查看器”分支項(xiàng)目，在“事件查看器”分支項(xiàng)目下面我們會(huì)看到“系統(tǒng)”、“安全性”以及“應(yīng)用程序”這三個(gè)選項(xiàng)。要查看系統(tǒng)日志文件的默認(rèn)存放位置時(shí)，我們可以直接用鼠標(biāo)右鍵單擊“事件查看器”分支項(xiàng)目下面的“應(yīng)用程序”選項(xiàng)，從隨后彈出的快捷菜單中執(zhí)行“屬性”命令。在該窗口的常規(guī)標(biāo)簽頁(yè)面中，我們可以看到本地日志文件的默認(rèn)存放位置為“C:\WINDOWS\system32\config\”4、做好日志文件挪移準(zhǔn)備，為了讓服務(wù)器的日志文件不被外人隨意訪(fǎng)問(wèn)，我們必須讓日志文件挪移到一個(gè)其他人根本無(wú)法找到的地方，例如可以到E分區(qū)的一個(gè)“E:\aaa\”目錄下面創(chuàng)建一個(gè)“bbb”目錄5、正式挪移日志文件，將對(duì)應(yīng)的日志文件從原始位置直接拷貝到新目錄位置“E:\aaa\bbb\”下6、修改系統(tǒng)注冊(cè)表做好服務(wù)器系統(tǒng)與日志文件的關(guān)聯(lián)，依次單擊系統(tǒng)桌面中的“開(kāi)始”－“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行對(duì)話(huà)框中，輸入注冊(cè)表編輯命令“regedit”，單擊回車(chē)鍵后，打開(kāi)系統(tǒng)的注冊(cè)表編輯窗口；用鼠標(biāo)雙擊“HKEY_LOCAL_MACHINE”注冊(cè)表子鍵，在隨后展開(kāi)的注冊(cè)表分支下面依次選擇Eventlog會(huì)看到“System”、“Security”、“Application”這三個(gè)選項(xiàng)7、在對(duì)應(yīng)“System”注冊(cè)表項(xiàng)目的右側(cè)顯示區(qū)域中，用鼠標(biāo)雙擊“File”鍵值，打開(kāi)如圖2所示的數(shù)值設(shè)置對(duì)話(huà)框，然后在“數(shù)值數(shù)據(jù)”文本框中，輸入“E:\aaa\bbb\”字符串內(nèi)容，也就是輸入系統(tǒng)日志文件新的路徑信息，最后單們可以將“Security”、“Application”下面一下鍵盤(pán)中的F5功能鍵刷新一下系統(tǒng)注冊(cè)表，就能使系統(tǒng)日志文件的關(guān)聯(lián)設(shè)置生效了實(shí)驗(yàn)小結(jié)HKEY_LOCAL_MACHINE\SAM\AMDomains\AccountUsers下的子鍵名，另一處是該子鍵的子項(xiàng)F的值。但微軟犯了個(gè)不同步它們的錯(cuò)誤，登錄時(shí)用的是后者，查詢(xún)時(shí)用前F限，但查詢(xún)還是原來(lái)狀態(tài)的情況，這就是所謂的克隆賬號(hào)。【實(shí)驗(yàn)?zāi)康摹俊窳私獠煌┒吹娜肭址绞?，并掌握各種漏洞解決方案【實(shí)驗(yàn)內(nèi)容】●練習(xí)基于*.ida的入侵●練習(xí)基于.printer漏洞的入侵于Unicode漏洞的入侵【實(shí)驗(yàn)工具】●本地主機(jī)不限制操作系統(tǒng)●遠(yuǎn)程主機(jī)操作系統(tǒng)：Windows2000或Windows2000Sp1或Windows2000p【實(shí)驗(yàn)步驟】一、基于*.ida漏洞的入侵1、掃描遠(yuǎn)程服務(wù)器，尋找有漏洞的主機(jī)。發(fā)現(xiàn)遠(yuǎn)程服務(wù)器存在IIS.IDAISAPI過(guò)濾器漏洞，4、建立帳號(hào),如圖4-5入侵成功后，在遠(yuǎn)程服務(wù)器上建立管理員帳號(hào)，此時(shí)，入侵者便獲得了一個(gè)遠(yuǎn)程主機(jī)上的管理員帳號(hào)，可以通過(guò)系統(tǒng)認(rèn)證來(lái)“合法”地使用“計(jì)算機(jī)管理”或“DameWare”等工具遠(yuǎn)程控制服務(wù)器，并且在遠(yuǎn)程服務(wù)器上添加了后門(mén)帳號(hào)5、使用“exit”命令退出登錄。6、防護(hù)為Windows2000操作系統(tǒng)打SP4補(bǔ)丁。Windows2000ServicePack4的下載地址是，(3)刪除.ida&.idq的腳本映射建議：即使已經(jīng)為該漏洞安裝了補(bǔ)丁最好還是刪除.IDA映射。刪除方法：打開(kāi)Internet服務(wù)管理器；右擊服務(wù)器并在菜單中選擴(kuò)展名列表中刪除.ida和.idq項(xiàng)。二、基于.printer漏洞的入侵1、使用X-Scan工具掃描遠(yuǎn)程服務(wù)器TelnetTelnet88，入侵遠(yuǎn)程主機(jī)。使用工具溢出沒(méi)成功，工具針對(duì)中文版win20004、在遠(yuǎn)程主機(jī)上創(chuàng)建管理員后門(mén)帳號(hào)5、使用“exit”命令退出登錄。(1)為Windows2000操作系統(tǒng)打SP4補(bǔ)丁。Windows2000ServicePack41、準(zhǔn)備標(biāo)語(yǔ)。用網(wǎng)頁(yè)設(shè)計(jì)軟件，如DreamWeaver、FrontPage制作一個(gè)標(biāo)語(yǔ)網(wǎng)頁(yè)，保存為。2、探知遠(yuǎn)程服務(wù)器的web根目錄。首先查找被修改主頁(yè)文件保存在哪里。利用Unicode漏洞找出Web根目錄所在。通過(guò)查找文件的方法找到遠(yuǎn)程服務(wù)器的Web根目錄。在IE中輸入，其中“/s”參數(shù)加在dir命令后表示查找指定文件或文件夾的物理路徑，所以“dir+c:\mmc·gif”表示在遠(yuǎn)程服務(wù)器的C盤(pán)中查找文件。由于文件是IIS(1)為避免該類(lèi)攻擊，建議下載最新補(bǔ)丁ownURLScan因此，此時(shí)只需要將我們制作的標(biāo)語(yǔ)文件上傳到遠(yuǎn)程主Web根目錄下覆蓋掉使用命令覆蓋遠(yuǎn)程主機(jī)上的主頁(yè)文件。已經(jīng)完成上傳文件的任務(wù)件，“涂鴉”主頁(yè)成功5、防護(hù)(3)臨時(shí)解決方法。如果不需要可執(zhí)行的CGI，可以刪除可執(zhí)行虛擬目錄，例如/scripts等。如果確實(shí)需要可執(zhí)行的虛擬目錄，建議可執(zhí)行虛擬目錄單獨(dú)在一個(gè)【實(shí)驗(yàn)報(bào)告】1、請(qǐng)簡(jiǎn)述IIS漏洞有哪些答：IIS漏洞據(jù)說(shuō)有近千種，其中能被用來(lái)入侵的漏洞大多屬于“溢出”型，入侵者能通過(guò)發(fā)送特定格式的數(shù)據(jù)來(lái)是遠(yuǎn)程服務(wù)器緩沖區(qū)溢出，從而突破系統(tǒng)注：成功地建立Telnet連接，除了要求掌握遠(yuǎn)程計(jì)算機(jī)上的賬號(hào)和密碼外，還需實(shí)驗(yàn)五、第四代木馬的防御【實(shí)驗(yàn)?zāi)康摹俊窳私獾谒拇抉R的特點(diǎn)；●了解反彈技術(shù)及連接方式；●掌握第四代木馬廣外男生的防范技術(shù)；【實(shí)驗(yàn)設(shè)備】p●木馬工具：廣外男生?！緦?shí)驗(yàn)原理】廣外男生同廣外女生一樣，是廣東外語(yǔ)外貿(mào)大學(xué)的作品，是一個(gè)專(zhuān)業(yè)級(jí)的遠(yuǎn)程控制及網(wǎng)絡(luò)監(jiān)控工具。廣外男生除了具有一般普通木馬應(yīng)該具有的特點(diǎn)以外，還具備以下特色客戶(hù)端模仿Windows資源管理器：除了全面支持訪(fǎng)問(wèn)遠(yuǎn)程服務(wù)器端的文件系統(tǒng)，也同時(shí)支持通過(guò)對(duì)方的“網(wǎng)上鄰居”訪(fǎng)問(wèn)對(duì)方內(nèi)部網(wǎng)其他機(jī)強(qiáng)大的文件操作功能：可以對(duì)遠(yuǎn)程機(jī)器進(jìn)行建立文件夾，整個(gè)文件夾的一次刪除，支持多選的上傳、下載等基本功能。同時(shí)支持對(duì)遠(yuǎn)程文件的高速查找，并且可以對(duì)查找的結(jié)進(jìn)行下載和刪除操作。運(yùn)用了“反彈端口”與“線(xiàn)程插入”技術(shù)：使用了目前流行的反彈端口的木馬技術(shù)，可以在互聯(lián)網(wǎng)上訪(fǎng)問(wèn)到局域網(wǎng)里通過(guò)NAT代理上網(wǎng)的電腦，輕松穿越防火“線(xiàn)程插入”技術(shù)是指在服務(wù)器端運(yùn)行時(shí)沒(méi)有進(jìn)程，所有網(wǎng)絡(luò)操作均插入到其它應(yīng)用程序的進(jìn)程中完成。因此，服務(wù)器端的防火墻無(wú)法進(jìn)行有效的警告和攔“反彈端口”技術(shù)是指，連接的建立不再由客戶(hù)端主動(dòng)要求連接，而是由服務(wù)器端來(lái)完成，這種連接過(guò)程正好與傳統(tǒng)連接方式相反。當(dāng)遠(yuǎn)程主機(jī)被種植了木馬之后，木馬服務(wù)器在遠(yuǎn)程主機(jī)上線(xiàn)之后主動(dòng)尋找客戶(hù)端建立連接，客戶(hù)端的開(kāi)放端口在服務(wù)器的連接請(qǐng)求后進(jìn)行連接、通信。【實(shí)驗(yàn)步驟】一、廣外男生的基本使用1、打開(kāi)廣外男生客戶(hù)端()，選擇“設(shè)置”—>“客戶(hù)端設(shè)置”打開(kāi)“廣外男生客戶(hù)端設(shè)置程序”22.其中最大連接數(shù)一般使用默認(rèn)的30臺(tái)，客戶(hù)端使用端口一般設(shè)置成803、點(diǎn)擊“下一步”，再點(diǎn)擊“完成”按鈕結(jié)束客戶(hù)端的設(shè)置4、服務(wù)端設(shè)置：進(jìn)行服務(wù)端設(shè)置時(shí)，選擇“設(shè)置”—>“服務(wù)器設(shè)置”，打開(kāi)“廣外男生服務(wù)端生成向?qū)?.選擇“同意”之后，點(diǎn)擊下一步，開(kāi)始進(jìn)行服務(wù)端常規(guī)設(shè)置，其中，EXE文件名是安裝木馬后生成的程序名稱(chēng)，DLL文件名是安裝木馬后生成的DLL文件的名稱(chēng)6、設(shè)置完成后點(diǎn)擊“下一步”，進(jìn)行“網(wǎng)絡(luò)設(shè)置”。根據(jù)實(shí)際網(wǎng)絡(luò)環(huán)境，選擇靜態(tài)IP選項(xiàng)進(jìn)行實(shí)際網(wǎng)絡(luò)的設(shè)置7、設(shè)置完成點(diǎn)擊“下一步”，填寫(xiě)生成服務(wù)器端的目標(biāo)文件的名稱(chēng)，然后點(diǎn)擊“完成”，結(jié)束服務(wù)器端的配置9、重新啟動(dòng)遠(yuǎn)程主機(jī)，在客戶(hù)端進(jìn)行觀察等待遠(yuǎn)程主機(jī)的連接，并對(duì)遠(yuǎn)程主機(jī)的可見(jiàn)服務(wù)器與客戶(hù)端連接成功；客戶(hù)端看到的遠(yuǎn)程主機(jī)的文件系統(tǒng)；通過(guò)客戶(hù)端看到的遠(yuǎn)程主機(jī)的注冊(cè)表廣外男生木馬的清除1、檢測(cè)廣外男生木馬的有效方法為使用“netstat-na”查看目標(biāo)主機(jī)的網(wǎng)絡(luò)連接情況，如果端口8225開(kāi)放，那么該主機(jī)可能已經(jīng)中了廣外男生木馬。2、打開(kāi)注冊(cè)表編輯器，展開(kāi)到“HKEY_LOCAL_MACHINE”“SOFTWARE”“Microsoft”“Windows”“CurrentVersion”“Run”下，刪除字符串指。然后到“HKEY_LOCAL_MACHINE”“SOFTWARE”“Classes”“CLSIDT”，刪除ID為{5EAE4AC0-146E-11D2-A96E-000000000009}的鍵及其下所有子鍵和鍵值【實(shí)驗(yàn)報(bào)告】1、簡(jiǎn)述第一代到第四代木馬的顯著特征。第一代木馬：偽裝型病毒，還不具備傳染特征，簡(jiǎn)單的密碼竊取、發(fā)