信息與科學(xué)技術(shù)學(xué)院學(xué)生上機實驗報告課程名稱：計算機網(wǎng)絡(luò)安全開課學(xué)期：2015——2016學(xué)年開課班級：2013級網(wǎng)絡(luò)工程（2）班教師姓名：孫老師學(xué)生姓名：羅志祥學(xué)生學(xué)號：20130522237實驗一、信息收集及掃描工具的使用【實驗?zāi)康摹?、掌握利用注冊信息和基本命令實現(xiàn)信息收集2、掌握結(jié)構(gòu)探測的基本方法3、掌握X-SCAN的使用方法【實驗步驟】一、獲取以及的基本信息1.利用ping和nslookup獲取IP地址（得到服務(wù)器的名稱及地址）2.利用來獲取信息二、使用工具獲取到達的結(jié)構(gòu)信息三、獲取局域網(wǎng)內(nèi)主機IP的資源信息1.ping-aIP獲得主機名；2.netstat-aIP獲得所在域以及其他信息；3.netviewIP獲得共享資源；4.nbtstataIP獲得所在域以及其他信息；四、使用X-SCAN掃描局域網(wǎng)內(nèi)主機IP；1.設(shè)置掃描參數(shù)的地址范圍；2.在掃描模塊中設(shè)置要掃描的項目；3.設(shè)置并發(fā)掃描參數(shù)；4.掃描跳過沒有響應(yīng)的主機；5.設(shè)置要掃描的端口級檢測端口；開始掃描并查看掃描報告；實驗二、IPC$入侵的防護【實驗?zāi)康摹空莆誌PC$連接的防護手段了解利用IPC$連接進行遠程文件操作的方法了解利用IPC$連接入侵主機的方法【實驗步驟】一：IPC$連接的建立與斷開通過IPC$連接遠程主機的條件是已獲得目標主機管理員的賬號和密碼。單擊“開始”“運行”，在“運行”對話框中輸入“cmd”建立IPC$連接，鍵入命令netuse\\28\ipc$123/user:administrator映射網(wǎng)絡(luò)驅(qū)動器，使用命令：netusey:\\32\c$映射成功后，打開“我的電腦”，會發(fā)現(xiàn)多了一個y盤，該磁盤即為目標主機的C盤在該磁盤中的操作就像對本地磁盤操作一斷開連接，鍵入netuse*/del命令，斷開所有的連接通過命令netuse\\目標主機IP\ipc$/del可以刪除指定目標IP的IPC$連接。建立后門賬號編寫B(tài)AT文件，內(nèi)容與文件名如下，格式改為：.bat與目標主機建立IPC$連接復(fù)制文件到目標主機。（或映射驅(qū)動器后直接將hack.bat放入目標主機的C盤中）打開DOS窗口，鍵入命令：copyc:\hack.bat\\32\c$命令成功后，就已經(jīng)把c盤下的hack.bat文件拷貝到32的C盤內(nèi)。通過計劃任務(wù)使遠程主機執(zhí)行hack.bat文件，鍵入命令：nettime\\32，查看目標主機的時間。如圖，目標主機的系統(tǒng)時間為13:45，則可鍵入命令：at\\3213：52c:\hack.bat，然后斷開IPC$連接。驗證賬號是否成功建立。等一段時間后，估計遠程主機已經(jīng)執(zhí)行了hack.bat文件，通過建立IPC$連接來驗證是否成功建立“sysback”賬號:建立IPC$連接，鍵入命令netuse\\32\ipc$123/user:sysback若連接成功，說明管理員賬號“sysback”已經(jīng)成功建立連接。安全解決方案在PC（32）刪除默認共享，通過netshare了解共享資源。建立bat文件，文件名為：noshare.bat，內(nèi)容如下：將其復(fù)制到本機“開始”“程序”“啟動”中。禁止空連接，將該命令“netstopserver/y”加入noshare.bat文件中或打開“控制面板”“管理工具”“服務(wù)”，找到server,單擊右鍵，選擇屬性，選擇“禁用”?！緦嶒瀳蟾妗?.與遠程主機建立IPC需要滿足什么條件？答：（1）己方和對方的計算機都連接到了互聯(lián)網(wǎng)，并且知道對方計算機的IP，知道對方計算機的管理員賬號和密碼（IPC$空連接除外）（2）對方?jīng)]有通過禁用IPC$連接、禁用139和445端口、使用防火墻等方式來阻止IPC$。（3）對方計算機開啟了相關(guān)的IPC$服務(wù)，例如RPC服務(wù)（remoteprocedurecall）、Server服務(wù)等。（4）本地計算機操作系統(tǒng)不能使用Windows95/98，因為Windows95/98默認是禁用本地IPC$服務(wù)的。2、建立了IPC$連接能夠做哪些工作？答：能映射驅(qū)動器，像在本機上一樣的操作目標機的驅(qū)動器，能上傳下載文件，能建立新的賬號，能克隆賬號等。實驗三、留后門與清腳印的防范【實驗?zāi)康摹俊窳私鈳ぬ柡箝T以及防范手段●掌握手工克隆帳號原理●掌握日志清除的防范方法【實驗需求】●計算機兩臺，要求安裝Windows2000操作系統(tǒng)●交換機一臺、直連線兩根●權(quán)限提升工具PSU.exe【實驗步驟】預(yù)步驟：建立IPC連接，映射驅(qū)動器，上傳PSU.exe到目標主機一、設(shè)置隱藏帳號1、試運行權(quán)限提升工具PSU.exe測試結(jié)果如圖2、進入任務(wù)管理器，查看SYSTEM的PID號如圖PID為3、使用PSU工具把它加載到注冊表中4、在注冊表中找到存放系統(tǒng)帳號名稱以及配置信息的注冊項。找到Administrator查看他的類型如圖.它的類型為0x1f46、打開系統(tǒng)管理員的權(quán)限里面的F項把里面的16進制數(shù)據(jù)復(fù)制7、使用剛才的方法找到GUEST用戶打開相同的項把剛才復(fù)制的16進制數(shù)據(jù)粘貼進去8為了隱蔽性我們把GUEST帳號禁用首先在命令行模式下鍵入”netuserguest/active:no。9下面我們來看下當(dāng)前Guest帳號的狀態(tài)在命令行下輸入“netuserGuest”。由圖3-10可以看出Guest用戶只屬于Guest組，接下來打開計算機管理中的帳號中的帳號管理可以發(fā)現(xiàn)Guest用戶已經(jīng)被禁用了。10注銷后用Guest帳號登陸發(fā)現(xiàn)桌面配置與Administrator用戶完全一樣，下面我們用這個帳號執(zhí)行一個只有系統(tǒng)管理員才有權(quán)執(zhí)行的操作，如果成功那表示這個帳號后門可用二、清除日志：1、首先制作一個DOS下的批處理文件用于刪除所有的日志，把它保存為.bat文件2置它的運行時間3通過檢查被攻擊主機的日志信息，可以發(fā)現(xiàn)內(nèi)容為空在入侵到對方的服務(wù)器之后，IIS將會詳細地記錄下入侵者入侵的全部過程。在IIS中，WWW日志默認的存儲位置是C:\windows\system32\logfiles\w3svc1\，每天都產(chǎn)生一個新日志?？梢栽诿钐崾痉翱谥型ㄟ^"del*.*"命令來清除日志文件，但這個方法刪除不掉當(dāng)天的日志，這是因為w3svc（即WorldWideWebPublishing）服務(wù)還在運行著。（1）可以用“netstopw3svc”命令把這個服務(wù)停止之后，（2）再用“del*.*”命令，就可以清除當(dāng)天的日志了，（3）最后用“netstartw3svc”命令再啟動w3svc服務(wù)就可以了。注意：刪除日志前要先停止相應(yīng)的服務(wù)，再進行刪除，日志刪除后務(wù)必要記得再打開相應(yīng)的服務(wù)。也可修改目標計算機中的日志文件，其中WWW日志文件存放在w3svc1文件夾下，F(xiàn)TP日志文件存放在msftpsvc文件夾下，每個日志都是以exXXXXXX.log為命名的（其中xxxxxx代表日期）。FTP日志的默認存儲位置為C:\windows\system32\logfiles\msftpsvc1\，其清除方法WWW日志的方法類似，只是所要停止的服務(wù)不同：（1）在命令提示符窗口中運行"netstopmstfpsvc"命令即可停掉msftpsvc服務(wù)。（2）運行"del*.*"命令或找到日志文件，并將其內(nèi)容刪除。（3）最后通過運行"netstartmsftpsvc"命令，再打開msftpsvc服務(wù)即可三、安全解決方案1、杜絕Guest帳戶的入侵?？梢越没驈氐讋h除Guest帳戶，但在某些必須使用到Guest帳戶的情況下，就需要通過其它途徑來做好防御工作了。首先要給Guest設(shè)一個強壯的密碼，然后詳細設(shè)置Guest帳戶對物理路徑的訪問權(quán)限（注意磁盤必須是NTFS分區(qū)）。例如禁止Guest帳戶訪問系統(tǒng)文件夾?？梢杂覔簟癢INNT”文件夾，在彈出菜單中選擇“安全”標簽，從中可看到可以訪問此文件夾的所有用戶。刪除管理員之外的所有用戶即可2、日志文件的保護。首先找出日志文件默認位置，以管理員身份登錄進系統(tǒng)，并在該系統(tǒng)的桌面中依次單擊“開始”－“運行”命令，在彈出的系統(tǒng)運行對話框中，輸入字符串命令“compmgmt.msc”，單擊“確定”按鈕后打開服務(wù)器系統(tǒng)的計算機管理窗口。3、其次在該管理窗口的左側(cè)顯示窗格中，用鼠標逐一展開“系統(tǒng)工具”－“事件查看器”分支項目，在“事件查看器”分支項目下面我們會看到“系統(tǒng)”、“安全性”以及“應(yīng)用程序”這三個選項。要查看系統(tǒng)日志文件的默認存放位置時，我們可以直接用鼠標右鍵單擊“事件查看器”分支項目下面的“應(yīng)用程序”選項，從隨后彈出的快捷菜單中執(zhí)行“屬性”命令。在該窗口的常規(guī)標簽頁面中，我們可以看到本地日志文件的默認存放位置為“C:\WINDOWS\system32\config\AppEvent.Evt”4、做好日志文件挪移準備，為了讓服務(wù)器的日志文件不被外人隨意訪問，我們必須讓日志文件挪移到一個其他人根本無法找到的地方，例如可以到E分區(qū)的一個“E:\aaa\”目錄下面創(chuàng)建一個“bbb”目錄5、正式挪移日志文件，將對應(yīng)的日志文件從原始位置直接拷貝到新目錄位置“E:\aaa\bbb\”下6、修改系統(tǒng)注冊表做好服務(wù)器系統(tǒng)與日志文件的關(guān)聯(lián)，依次單擊系統(tǒng)桌面中的“開始”－“運行”命令，在彈出的系統(tǒng)運行對話框中，輸入注冊表編輯命令“regedit”，單擊回車鍵后，打開系統(tǒng)的注冊表編輯窗口；用鼠標雙擊“HKEY_LOCAL_MACHINE”注冊表子鍵，在隨后展開的注冊表分支下面依次選擇“SYSTEM”、“CurrentControlSet”、“Services”、Eventlog”項目，在對應(yīng)“Eventlog”項目下面我們會看到“System”、“Security”、“Application”這三個選項7、在對應(yīng)“System”注冊表項目的右側(cè)顯示區(qū)域中，用鼠標雙擊“File”鍵值，打開如圖2所示的數(shù)值設(shè)置對話框，然后在“數(shù)值數(shù)據(jù)”文本框中，輸入“E:\aaa\bbb\SysEvent.Evt”字符串內(nèi)容，也就是輸入系統(tǒng)日志文件新的路徑信息，最后單擊“確定”按鈕；同樣地，我們可以將“Security”、“Application”下面的“File”鍵值依次修改為“E:\aaa\bbb\SecEvent.Evt”、“E:\aaa\bbb\AppEvent.Evt”，最后按一下鍵盤中的F5功能鍵刷新一下系統(tǒng)注冊表，就能使系統(tǒng)日志文件的關(guān)聯(lián)設(shè)置生效了實驗小結(jié)1.賬號克隆是什么意思？答：在注冊表中有兩處保存了賬號的SID相對標志符，一處是注冊表HKEY_LOCAL_MACHINE\SAM\AMDomains\AccountUsers下的子鍵名，另一處是該子鍵的子項F的值。但微軟犯了個不同步它們的錯誤，登錄時用的是后者，查詢時用前者。當(dāng)用Administrator的F項覆蓋其他賬號的F項后，就造成了賬號是管理員權(quán)限，但查詢還是原來狀態(tài)的情況，這就是所謂的克隆賬號。實驗四、基于IIS服務(wù)器攻擊的防護【實驗?zāi)康摹俊窬毩?xí)使用X-ScanV3.3GUI掃描工具；●了解不同漏洞的入侵方式，并掌握各種漏洞解決方案【實驗內(nèi)容】●練習(xí)基于*.ida的入侵●練習(xí)基于.printer漏洞的入侵●練習(xí)基于Unicode漏洞的入侵【實驗工具】●本地主機不限制操作系統(tǒng)●遠程主機操作系統(tǒng)：Windows2000或Windows2000Sp1或Windows2000Sp2●工具X-ScanV3.3GUI、idahack.exe或ida.exe——IDA溢出工具、iisx.exe、tftpd32.exe【實驗步驟】一、基于*.ida漏洞的入侵1、掃描遠程服務(wù)器，尋找有漏洞的主機。打開X-scan，掃描項目，開始掃描遠程主機。掃描完畢后，在掃描報告中，發(fā)現(xiàn)遠程服務(wù)器28存在IIS.IDAISAPI過濾器漏洞，在瀏覽器的地址欄中輸入31/*.ida”,返回信息“文件c:\inetpub\wwwroot\*.ida。文件名、目錄名或卷標語法不正確。確認遠程主機存在漏洞，并得到遠程服務(wù)器提供Web服務(wù)的根目錄是c:\inetpub\wwwroot。2、IDA溢出，將工具IDAHack.exe拷貝到%systemroot%/system32目錄下。通過“運行”—“cmd”打開命令提示符，在命令行下輸入“idahack31804520，打開端口號520等待Telnet登錄。3、Telnet登錄，在MS-DOS中鍵入“telnet31520”命令遠程登錄服務(wù)器如該telnet登錄并無身份驗證，如果登錄成功，立即得到SHELL，該SHELL擁有管理員權(quán)限，可以在其中執(zhí)行任何命令。輸入telnet命令建立帳號,如圖4-5入侵成功后，在遠程服務(wù)器上建立管理員帳號，此時，入侵者便獲得了一個遠程主機上的管理員帳號，可以通過系統(tǒng)認證來“合法”地使用“計算機管理”或“DameWare”等工具遠程控制服務(wù)器，并且在遠程服務(wù)器上添加了后門帳號5、使用“exit”命令退出登錄。6、防護為Windows2000操作系統(tǒng)打SP4補丁。Windows2000ServicePack4的下載地址是/china/windows2000/downloads/SP4.mspx，（2）為該漏洞安裝補丁WindowsNT4.0的補丁下載網(wǎng)址：/Downloads/Release.asp?ReleaseID=30833Windows2000Professional/Server/AdvancedServer的補丁下載網(wǎng)址：/Downloads/Release.asp?ReleaseID=30800WindowsXPbeta在正式版本得到解決。（3）刪除.ida&.idq的腳本映射建議：即使已經(jīng)為該漏洞安裝了補丁最好還是刪除.IDA映射。刪除方法：打開Internet服務(wù)管理器；右擊服務(wù)器并在菜單中選擇“屬性”；選擇“主屬性”，選擇WWW服務(wù)->編輯->主目錄->配置，在擴展名列表中刪除.ida和.idq項。二、基于.printer漏洞的入侵1、使用X-Scan工具掃描遠程服務(wù)器2、使用iisx.exe工具連接有.printer漏洞的主機313、執(zhí)行Telnet命令：Telnet287788，入侵遠程主機。使用工具溢出沒成功，工具針對中文版win20004、在遠程主機上創(chuàng)建管理員后門帳號5、使用“exit”命令退出登錄。6、防護（1）為Windows2000操作系統(tǒng)打SP4補丁。Windows2000ServicePack4的下載地址是：/china/windows2000/downloads/SP4.mspx（2）安裝漏洞補丁。該漏洞補丁的下載地址是/Downloads/Release.asp?ReleaseID=29321三、“涂鴉”主頁1、準備標語。用網(wǎng)頁設(shè)計軟件，如DreamWeaver、FrontPage制作一個標語網(wǎng)頁，保存為ty.htm。2、探知遠程服務(wù)器的web根目錄。首先查找被修改主頁文件保存在哪里。利用Unicode漏洞找出Web根目錄所在。通過查找文件的方法找到遠程服務(wù)器的Web根目錄。在IE中輸入31/scripts/..%c1%9c..%c1%9c..%c1%9c..%c1%9c..%c1%9cwinnt/system32/cmd.exe?/c+dir，其中“/s”參數(shù)加在dir命令后表示查找指定文件或文件夾的物理路徑，所以“dir+c:\mmc·gif”表示在遠程服務(wù)器的C盤中查找mmc.gif文件。由于文件mmc.gif是IIS默認安裝在Web根目錄中,所以在找到該文件的同時，也就找到了Web根目錄。(1)為避免該類攻擊，建議下載最新補丁(2)安裝IISLockdown和URLScan來加固系統(tǒng)，從而避免該類攻擊。(3)安裝Windows2000的ServicePack2以上的版本。）3、涂鴉主頁。涂鴉主頁之前，可以利用Unicode漏洞，在地址欄中輸入31/scripts/..%c1%9c..%c1%9c..%c1%9c..%c1%9c..%c1%9cwinnt/system32/cmd.exe?/c+dir+c:\inetpub\wwwroot來遍歷根目錄下的文件。通常主頁的文件名一般是index.htm，index.html，default.asp，default.htm等。遠程主機的主頁是index.htm。因此，此時只需要將我們制作的標語文件1.htm上傳到遠程主Web根目錄下覆蓋掉index.htm就可以了。使用命令覆蓋遠程主機上的主頁文件。已經(jīng)完成上傳文件的任務(wù)4、重新登錄遠程主機的網(wǎng)站。刷新后，即可看到剛才下載到目標主機的標語文件，“涂鴉”主頁成功5、防護（1）為Windows2000操作系統(tǒng)打SP4補丁。Windows2000ServicePack4的下載地址是/china/windows2000/downloads/SP4.mspx。（2）安裝漏洞補丁。該漏洞補丁的下載地址是/kb/269862（也可以使用文中所提供的該漏洞補丁的下載地址）。在該頁面中選擇與自己的操作系統(tǒng)相應(yīng)的補丁下載并安裝。例如如果所使用的操作系統(tǒng)是簡體中文版，且IIS的版本是5.0，則選擇該頁面中的“Chinese(Simplified)LanguageVersion”下載并安裝即可。（3）臨時解決方法。如果不需要可執(zhí)行的CGI，可以刪除可執(zhí)行虛擬目錄，例如/scripts等。如果確實需要可執(zhí)行的虛擬目錄，建議可執(zhí)行虛擬目錄單獨在一個分區(qū)?！緦嶒瀳蟾妗?、請簡述IIS漏洞有哪些？答：IIS漏洞據(jù)說有近千種，其中能被用來入侵的漏洞大多屬于“溢出”型，入侵者能通過發(fā)送特定格式的數(shù)據(jù)來是遠程服務(wù)器緩沖區(qū)溢出，從而突破系統(tǒng)保護在溢出后的空間的執(zhí)行任意命令。IIS漏洞中，主要有5中漏洞：.ida&.idq漏洞，printer漏洞，Unicode漏洞，asp映射分塊編碼漏洞，webdav漏洞。注：成功地建立Telnet連接，除了要求掌握遠程計算機上的賬號和密碼外，還需要遠程計算機已經(jīng)開啟“Telnet服務(wù)”，并去除NTLM驗證。也可以使用專門的Telnet工具來進行連接，比如STERM，CTERM等工具實驗五、第四代木馬的防御【實驗?zāi)康摹俊窳私獾谒拇抉R的特點；●了解反彈技術(shù)及連接方式；●掌握第四代木馬廣外男生的防范技術(shù)；【實驗設(shè)備】●操作系統(tǒng)平臺：Win2000或WinXp?！衲抉R工具：廣外男生?！緦嶒炘怼繌V外男生同廣外女生一樣，是廣東外語外貿(mào)大學(xué)的作品，是一個專業(yè)級的遠程控制及網(wǎng)絡(luò)監(jiān)控工具。廣外男生除了具有一般普通木馬應(yīng)該具有的特點以外，還具備以下特色客戶端模仿Windows資源管理器：除了全面支持訪問遠程服務(wù)器端的文件系統(tǒng)，也同時支持通過對方的“網(wǎng)上鄰居”訪問對方內(nèi)部網(wǎng)其他機器的共享資源。強大的文件操作功能：可以對遠程機器進行建立文件夾，整個文件夾的一次刪除，支持多選的上傳、下載等基本功能。同時支持對遠程文件的高速查找，并且可以對查找的結(jié)果進行下載和刪除操作。運用了“反彈端口”與“線程插入”技術(shù)：使用了目前流行的反彈端口的木馬技術(shù)，可以在互聯(lián)網(wǎng)上訪問到局域網(wǎng)里通過NAT代理上網(wǎng)的電腦，輕松穿越防火墻?！熬€程插入”技術(shù)是指在服務(wù)器端運行時沒有進程，所有網(wǎng)絡(luò)操作均插入到其它應(yīng)用程序的進程中完成。因此，服務(wù)器端的防火墻無法進行有效的警告和攔截?！胺磸椂丝凇奔夹g(shù)是指，連接的建立不再由客戶端主動要求連接，而是由服務(wù)器端來完成，這種連接過程正好與傳統(tǒng)連接方式相反。當(dāng)遠程主機被種植了木馬之后，木馬服務(wù)器在遠程主機上線之后主動尋找客戶端建立連接，客戶端的開放端口在服務(wù)器的連接請求后進行連接、通信。【實驗步驟】一、廣外男生的基本使用1、打開廣外男生客戶端（gwboy092.exe），選擇“設(shè)置”—>“客戶端設(shè)置”打開“廣外男生客戶端設(shè)置程序”2.其中最大連接數(shù)一般使用默認的30臺，客戶端使用端口一般設(shè)置成803、點擊“下一步”，再點擊“完成”按鈕結(jié)束客戶端的設(shè)置4、服務(wù)端設(shè)置：進行服務(wù)端設(shè)置時，選擇“設(shè)置”—>“服務(wù)器設(shè)置”，打開“廣外男生服務(wù)端生成向?qū)?.選擇“同意”之后，點擊下一步，開始進行服務(wù)端常規(guī)設(shè)置，其中，EXE文件名是安裝木馬后生成的程序名稱，DLL文件名是安裝木馬后生成的DLL文件的名稱設(shè)置完成后點擊“下一步”，進行“網(wǎng)絡(luò)設(shè)置”。根據(jù)實際網(wǎng)絡(luò)環(huán)境，選擇靜態(tài)IP選項進行實際網(wǎng)絡(luò)的設(shè)置設(shè)置完成點擊“下一步”，填寫生成服務(wù)器端的目標文件的名稱，然后點擊“完成”，結(jié)束服務(wù)器端的配置8、種植木馬：將生成的目標文件發(fā)送到遠程主機，然后在遠程主機運行。命令方式：Copygwboy0092.exe\\31\c$9、重新啟動遠程主機，在客戶端進行觀察等待遠程主機的連接，并對遠程主機的運行進行監(jiān)控?？梢姺?wù)器與客戶端連接成功；