IT技术互动交流平台

TCP/IP协议攻击实验1

来源:IT165收集  发布日期:2016-05-18 20:32:19

TCP/IP协议攻击实验1

实验环境:
Linux ubuntu 3.13.0-24-generic 
#46-Ubuntu SMP Thu Apr 10 19:11:08 UTC 2014 
x86_64 x86_64 x86_64 GNU/Linux

安装工具

1、Wireshark

sudo apt-get install wireshark

2、Netwag

sudo apt-get install netwag

3、Netwox

sudo apt-get install netwox

检查安装情况

1、Wireshark

wireshark

这里写图片描述

2、Netwag

netwag

这里写图片描述

3、Netwox

netwox

这里写图片描述

克隆连接三个虚拟机

1、查ip地址

ifconfig

这里写图片描述

2、使用ping命令检查互相连接情况

ping 10.211.55.2*

这里写图片描述

实验一、APR缓存中毒(ARP cache poisoning)

实验原理

ARP缓存是ARP协议的重要组成部分。ARP协议运行的目标就是建立MAC地址和IP地址的映射,然后把这一映射关系保存在ARP缓存中,使得不必重复运行ARP协议。因为ARP缓存中的映射表并不是一直不变的,主机会定期发送ARP请求来更新它的ARP映射表,利用这个机制,攻击者可以伪造ARP应答帧使得主机错误的更新自己的ARP映射表,这个过程就是ARP缓存中毒。
这样的后果即使要么使主机发送MAC帧到错误的MAC地址,导致数据被窃听;要么由于MAC地址不存在,导致数据发送不成功。

虚拟机MAC地址和IP地址

Machine Index HWAddr IPAddr
1 00:1c:42:6f:5b:ee 10.211.55.27
2 00:1c:42:cc:87:b6 10.211.55.29
3 00:1c:42:2e:73:dc 10.211.55.28

清空ARP缓存

因为之前测试几个虚拟机之间是否连接成功的时候进行了ping命令,这个时候在各个虚拟机的时候已经进行了ARP缓存,如果进行实验的话,将不会有ARP协议的数据包,因为会直接在ARP缓存库里面取得相应的MAC地址。

所以这里我要先对ARP缓存进行清理。以下是ARP命令的使用说明:

arp: 显示所有的表项。
arp  -d  address: 删除一个arp表项。
arp  -s address hw_addr: 设置一个arp表项。

先用ARP命令查看已经缓存的ARP信息,然后再根据需要删除我们需要删除的ARP缓存。

实验内容实现

老师给的参考文档里面使用的是Telnet命令,但是可能因为虚拟机设置和VMWare不同的原因,在用Telnet命令的时候会出现connection refused的错误,所以我尝试使用ssh命令来实现实验内容。第一次建立ssh连接的时候就会产生ARP的数据包,可以用wireShark捕捉,我们一样用第三台虚拟机用虚假的ARP信息进行广播,那么应该ssh连接会失败。

正常状态下,我用虚拟机#3连接虚拟机#1,可以看到抓取到的ARP数据包如下:

这里写图片描述
这里写图片描述

对照前面我们记录的MAC地址和IP地址可以看到,在正常的状态下ARP是正确缓存的,并且可以连接ssh:

这里写图片描述

然后按照老师的教程,用虚拟机#1进行虚假ARP信息广播:

sudo netwox 80 '00:1c:42:6f:5b:ee' -i '10.211.55.29'

我们可以在虚拟机#3的Wireshark里面看到这个周期性的广播信息:

这里写图片描述

虚拟机#3连接虚拟机#2的时候,程序出错了,然后我们用arp命令查arp缓存,可以看到虚拟机#2的IP地址10.211.55.29对应的MAC地址已经被改成了虚拟机#1的MAC地址00:1c:42:6f:5b:ee。

这里写图片描述

说明攻击成功。

注意:①WireShark在正常情况下我的环境里并找不到端口,所以我用了管理员权限打开WireShark,就能正常工作了。②我在第一次实验的时候发现虽然广播了但是没有被修改,第二次就成功了,查了WireShark找到原因,是因为刚好连接建立的时候没有广播到。

实验二、ICMP重定向攻击

实验原理

ICMP重定向攻击
ICMP重定向信息是路由器向主机提供实时的路由信息,当一个主机收到ICMP重定向信息时,它就会根据这个信息来更新自己的路由表。由于缺乏必要的合法性检查,如果一个黑客想要被攻击的主机修改它的路由表,黑客就会发送ICMP重定向信息给被攻击的主机,让该主机按照黑客的要求来修改路由表。

实验准备

安装traceroute:sudo apt-get install traceroute

虚拟机网络配置

Machine Index HWAddr IPAddr
1 00:1c:42:6f:5b:ee 10.211.55.27
2 00:1c:42:cc:87:b6 10.211.55.29
3 00:1c:42:2e:73:dc 10.211.55.28
网关 00:1c:42:00:00:18 10.211.55.1

虚拟机#3检查正常情况下的网关

使用命令sudo traceroute baidu.com来尝试路由追踪连接到百度时候的路由表情况,并且打开WireShark监视网络。

这里写图片描述qqOswrfTyde319m5/bPM1tDS8s6q09C3wLvwx73GwbHOwctJQ01Q0MXPoqOsy/nS1MO709C3tbvYyM66zr3hufu2+MrHKqGjtavKx8O709C52M+1o6zO0sPHv8nS1LTTV2lyZVNoYXJr16W1vbXEyv2+3bD8v7S1vcSsyM/N+LnYoaM8L3A+CjxwPjxpbWcgYWx0PQ=="这里写图片描述" src="http://www.it165.net/uploadfile/files/2016/0518/201605181617121834.png" title="" />

由上图可以看到虚拟机#3的默认网关在正常状态下是00:1c:42:00:00:18"10.211.55.1。

虚拟机#1进行ICMP重定向攻击

为了让虚拟机#3认为默认网关已经被修改成了虚拟机#1,需要不断广播ICMP重定向信息。为了实现这个广播,可以使用netwox命令sudo netwox 86 -d 'Eth0' --gw '10.211.55.27' -i '10.211.55.1',这个命令代表广播ICMP重定向信息,把10.211.55.1重定向为10.211.55.27,前者为默认网关,后者为虚拟机#1。

这里写图片描述

注意:为了让虚拟机#1能够正常转发数据包,需要对虚拟机#1进行如下设置:sudo sysctlnet.ipv4.ip_forward=1

虚拟机#3检查被攻击情况下的网关

打开WireShark监视网络,使用traceroute命令访问baidu.com。观察抓包情况:

这里写图片描述

由上图可以验证虚拟机#1的广播生效了。

这里写图片描述

由上图可以验证虚拟机#3发送的数据包的默认网关已经被改成了虚拟机#1,说明攻击成功。

 

Tag标签: TCP   IP协议攻击实验1  
  • 专题推荐

About IT165 - 广告服务 - 隐私声明 - 版权申明 - 免责条款 - 网站地图 - 网友投稿 - 联系方式
本站内容来自于互联网,仅供用于网络技术学习,学习中请遵循相关法律法规