20169208 2016-2017-2 《网络攻防实践》第四周学习总结
教材学习内容总结
网络嗅探技术定义：
（1）利用计算机网络接口截获目的地为其他计算机的数据报文（2）监听网络流中所包含的用户账户密码或私密信息等。
网络嗅探器(Sniffer)：
（1）实现嗅探的软件或硬件设备。
（2）嗅探获得数据→二进制格式数据报文。
（3）解析和理解二进制数据，获取各层协议字段和应用层传输数据→网络协议分析。
载波侦听/冲突检测(CSMA/CD)技术：
（1）载波侦听是指在网络中的每个站点都具有同等的权利，在传输自己的数据时，首先监听信道是否空闲。如果空闲，就传输自己的数据。如果信道被占用，就等待信道空闲。
（2）冲突检测则是为了防止发生两个站点同时监测到网络没有被使用时而产生冲突。
交换式网络的嗅探攻击有三种技术手段：MAC地址洪泛攻击、MAC欺骗、ARP欺骗。
WireShark基本功能：
（1）抓包(Capture)：Capture Filter， BPF过滤器。
（2）分析(Analyze)：自动协议解码，支持数百种协议，显示各层包头和内容字段。灵活选择协议对网络流进行解码。
（3）统计(Statistics)：协议分类(Protocol Hierarchy)、会话列表(Conversations)、会话终端(EndPoints)、I/O Graph， 随时间统计的流量曲线、会话重组(Follow TCP/UDP Stream)和会话图(Flow Graph)。
教材作业
1、wireshark进行嗅探
telnet方式登录BBS网站，www.bdwm.net
wireshark嗅探出使用guest登录。
2、攻防对抗实践
（1）攻击机为Debian7，kali1主机，靶机为Debian7，kali-linux-64。
攻击机的攻击命令为： nmap -sP 172.16.49.140
靶机的嗅探命令为：tcpdump -w listen.pcap host 172.16.49.140 将在当前目录下生成listen嗅探结果文件
靶机IP地址是172.16.49.140.
使用wireshark分析结果文件listen.pcap
由图分析，攻击机的IP地址为172.16.49.164，采用的攻击方式是ping，攻击工具暂时不知道。攻击机没有获得任何信息，攻击失败。
（2）攻击机为Debian7，kali1主机，靶机为metasploitable2-linux，使用kali-linux-64主机监听。
攻击机的攻击命令为：nmap -sS -p1-65535 172.16.49.165
监听主机的命令为：tcpdump -w listen3.pcap host 172.16.49.165 将在当前目录下生成listen3嗅探结果文件
wireshark分析结果文件listen3.pcap
由上图，首先是由172.16.49.164发出的广播，询问靶机172.16.49.165在哪里，由此确定攻击机为172.16.49.164.
由红色方框中的内容可也推断出攻击机使用的是TCP SYN扫描。
由红色椭圆框中可知，攻击机扫描的端口有23、8888、1720、80、3389、139、53、69，整个文件中有很多端口，推断攻击机大范围扫描了靶机，没有固定端口。
由黄色连线可知，靶机已经对攻击机做出了应答。
教材学习中的问题和解决过程
问题：如何使用哪个扫描工具发起扫描？
不知道如何解决。
视频学习内容总结
1、kali下openvas使用
openvas有扫描管理、配置管理、漏洞信息、配置等。
创建目标target，作为要扫描的目标。
扫描结果如下图，有一个高危的漏洞，一个中级的漏洞。
2、kali下漏洞分析扫描工具的使用
（1）web扫描工具Golismero
Golismero是一款开源的web扫描器，自带不少的安全工具，而且还可以导入别的扫描工具的结果，如openvas等，并自动分析。Golismero由纯Python编写，可以在任何系统上运行，几乎没有系统依赖性。
Golismero采用了插件式的框架结构，提供了一系列的接口，用户只要继承并且实现这些接口，就可以自己定义自己的插件。插件按功能可分为四类，每个类别的插件的接口都不同，在编写自定义插件的时候，注意选择好相应的插件类型。
四类插件有：
a:ImportPlugin，导入插件，主要用来加载其他安全工具的扫描结果。
b:TestingPlugin，测试插件，主要用来测试或者渗透入侵的插件。
c:ReportPlugin，报表插件，主要是对测试结果生成报表。
d:UIPlugin，界面插件，主要是用于和用户交互的，显示当前系统的运行情况。
简单使用命令：
golismero plugins 查看插件列表
golismero scan 目标IP地址 扫描目标
缺点是：此扫描器扫描过于杂乱，对扫描报告的生成不够规范与友好。
（2）漏洞扫描器Nikto.pl
古老的，一款开源的（GPL）网页服务扫描器，它可以对网页服务进行全面的多种扫描，包含超过3300种有潜在风险的文件CGIs，超过625种服务版本，超过230种特定服务器问题。
简单扫描命令：
nikto -h 目标IP地址
扫描到osvdb漏洞库中的漏洞。
nikto -h 目标IP地址 -p 端口1，端口2... 自己指定扫描的端口
（3）系统信息收集整理工具lynis
对Linux操作系统详细配置等信息进行枚举收集，生成易懂的报告文件。
lynis --chenk-all
本机操作系统的信息枚举。
unix-privesc-check工具也是信息收集工具。
简单输出显示，unix-privesc-check standard
3、kali漏洞分析工具中WEB爬行工具的使用
web爬行工具，用于对网站路径、页面、账户的枚举。kali下将所有字典文件存放在目录/usr/share/wordlists/下
（1）apache users工具使用
apache-users -h 目标IP地址 -l 字典的名字 -p 端口号 -s 是否有SSL支持，1是有true0是false -e 403(返回的) -t 线程数（数字）
apache-users是一个脚本。
（2）CutyCapt网站截图工具
cutycapt --url=目标网站 --out=文件名.png
存放在了当前目录下。
（3）dirb 强大的目录扫描工具
dirb 目标IP地址 直接简单扫描
（4）dirbuster kali下的图形化目录扫描器，拥有直观的扫描结果
（5）其它
VEGA
webslayer web应用安全测试，爆破攻击
4、kali下web漏洞扫描
与web路径爬行相关，爬行为漏洞发现提供参考。
（1）cadaver 客户端命令行格式
cadaver是一个用来浏览和修改webdav共享的Unix命令行程序，就像subversion客户端，它使用了neon的http库，neon和cadaver的作者是一个人。
使用cadaver就像使用命令行的ftp程序，因此它很适合基本的webdav调试。它可以以压缩方式长传和下载文件，也会检验属性、拷贝、移动、锁定和解锁文件。
webDAV如果设置不当会有漏洞。
首先看靶机有没有DAV目录。如下图，存在。
cadaver 主机地址
（2）DAVtest
测试对支持webDAV的服务器上传文件等。
davtest -url 主机地址
（3）deblaze
针对flash远程调用枚举
（4）fimap
本地和远程的扫描器，文件包含漏洞利用工具。
fimap -u '目标'
（5）grabber
web应用漏洞扫描器，可以指定扫描漏洞类型结合爬虫对网站进行安全扫描。
5、kali下web漏洞扫描
（1）Joomla Scanner
类似于wpscan的扫描器，针对特定CMS
./joomscan.pl -u 网站地址
（2）skipfish
有Google出品的一款自动化的网络安全扫描工具，skipfish通过http协议处理且占用较低的CPU资源，且运行速度较快。
skipfish -o 存储目录 扫描网址
扫描过程图
扫描结果就是index.html文件。
（3）uniscan-gui
有图形界面的工具，简单易用。信息收集和web扫描结合的工具。
（4）w3af
是一个web应用程序攻击和检查框架，该项目已超过130个插件，其中包括检查网站爬虫，SQL注入（SQL Injection），跨站（XSS），本地文件包含（LFI），远程文件包含（RFI）等。该项目的目标是建立一个框架，以寻找和开发web应用安全漏洞，所以很容易使用和扩展。
可以使用默认的插件，也可以自己选择插件。直接在命令行下输入w3af即可打开。
（5）wapiti
wapiti的工作方式与nikto类似，也采用黑盒的方式主动的对被测web应用进行扫描，寻找其中潜在的安全缺陷，但不像nikto提供测试用例库，而是实现了内置的匹配算法，包括Windows、MAC OS/X和类Unix系统。支持的协议有http/https 1.0/1.1，HTTPS要求安装SSL库。支持生成多种格式的安全测试验证报告。
使用时需注意脚本里固化了第三个是web站点参数。
功能和特点：
- 文件处理错误（本地和远程打开文件，readfile）
- 数据库注入（PHP/JSP/ASP,SQL和XPath注入）
- XSS（跨站点脚本）注入
- LDAP注入
- 命令执行检测（eval(),system(),passtru()...）
- CRLF注射入（HTTP响应，session固定...）
wapiti 目标IP地址 -v 2
（6）webshag
集成调用框架，调用nmap，uscan，信息收集、爬虫等功能，使扫描过程更易。
（7）websploit
一个开源项目，主要用于远程扫描和分析系统漏洞。使用它可以非常容易和快速发现系统中存在的问题，并用于深入分析。
视频学习中的问题和解决过程
1、安装好openvas后，再次登录出现了问题
问题详述：在网址https://127.0.0.1:9392登录后，提示出错，错误为Login failed. Waitingfor OMP service to become available.
解决方法：考虑是没有开启openvas服务，在终端首先开启openvas。
openvas-start
此时没有开启成功，显示问题为Job for openvas-manager.service failed because a timeout was exceeded.openvas manager没有开启。
手动开启openvas manager
/etc/init.d/openvas-manager start
开启成功，显示[ ok ] Starting openvas-manager (via systemctl): openvas-manager.service.
再次重新开启openvas
openvas-start
没有任何问题，再次登录，成功进入openvas页面。
学习进度条
- 网络嗅探的理论与工具
- 网络协议分析的理论与工具
第二周进度
- 《网络攻防技术与实践》课程学习了第一章和第二章
- 学习kali视频5个
- 详细查找了解了两个网络安全工具
- 查找两个黑客资料
第三周进度
-
学习视频6-10
-
学习课本第三章
-
完成第三章课后作业
-
上周目标完成情况
完成 -
本周学习计划
未解决如何分析攻击者使用了什么扫描工具发起扫描。
第四周进度
- 网络嗅探的理论与工具
- 网络协议分析的理论与工具