1、信息与科学技术学院学生上机实验报告课程名称：计算机网络安全开课学期：20152016 学年开课班级：2013 级网络工程（2）班教师姓名：孙老师学生姓名：罗志祥学生学号：20130522237实验一、信息收集及扫描工具的使用【实验目的】1、掌握利用注册信息和基本命令实现信息收集2、掌握结构探测的基本方法3、掌握 X-SCAN 的使用方法【实验步骤】一、获取 以及 的基本信息1.利用 ping 和 nslookup 获取 IP 地址（得到服务器的名称及地址） 2.利用 http:/ 来获取信息二、使用工具获取到达 的结构信息三、获取局域网内主机 IP 的资源信息1.ping -a IP 获
2、得主机名；stat -a IP 获得所在域以及其他信息； view IP 获得共享资源；4.nbtstat a IP 获得所在域以及其他信息；四、使用 X-SCAN 扫描局域网内主机 IP；1.设置扫描参数的地址范围；2.在扫描模块中设置要扫描的项目；3.设置并发扫描参数；4.扫描跳过没有响应的主机；5.设置要扫描的端口级检测端口；6.开始扫描并查看扫描报告；实验二 、IPC$入侵的防护【实验目的】 掌握 IPC$连接的防护手段 了解利用 IPC$连接进行远程文件操作的方法 了解利用 IPC$连接入侵主机的方法【实验步骤】一：IPC$ 连接的建立与断开通过 IPC$ 连接远程主机的条件是已获得
3、目标主机管理员的账号和密码。1. 单击“开始”-“运行” ，在“运行”对话框中输入“cmd”1. 建立 IPC$连接，键入命令 net use 192.168.213.128ipc$ 123 / user:administrator2. 映射网络驱动器，使用命令： net use y: 192.168.92.132c$1. 映射成功后，打开“我的电脑” ，会发现多了一个 y 盘，该磁盘即为目标主机的 C盘1. 在该磁盘中的操作就像对本地磁盘操作一1. 断开连接，键入 net use * /del 命令，断开所有的连接1. 通过命令 net use 目标主机 IPipc$ /del 可以删除指定
4、目标 IP 的 IPC$ 连接。 建立后门账号1. 编写 BAT 文件，内容与文件名如下，格式改为：.bat1. 与目标主机建立 IPC$连接2. 复制文件到目标主机。 （或映射驱动器后直接将 hack.bat 放入目标主机的 C 盘中）1. 打开 DOS 窗口，键入命令 ： copy c:hack.bat192.168.92.132 c$ 命令成功后，就已经把 c 盘下的 hack.bat 文件拷贝到 192.168.92.132 的 C 盘内。1. 通过计划任务使远程主机执行 hack.bat 文件，键入命令：net time 192.168.92.132 ，查看目标主机的时间。1. 如图
5、，目标主机的系统时间为 13:45，则可键入命令：at 192.168.92.132 13：52 c:hack.bat ，然后断开 IPC$连接。1. 验证账号是否成功建立。等一段时间后，估计远程主机已经执行了 hack.bat 文件，通过建立 IPC$连接来验证是否成功建立“sysback”账号:建立 IPC$连接，键入命令 net use 192.168.92.132ipc$ 123 /user:sysback1. 若连接成功，说明管理员账号“sysback”已经成功建立连接。安全解决方案1. 在 PC（192.168.92.132）删除默认共享，通过 net share 了解共享资源。1
6、. 建立 bat 文件，文件名为：noshare.bat，内容如下：1. 将其复制到本机“开始”-“程序”-“启动”中。2. 禁止空连接，将该命令“net stop server /y”加入 noshare.bat 文件中或打开“控制面板”-“管理工具”-“服务” ，找到 server,单击右键，选择属性，选择“禁用” 。【实验报告】1.与远程主机建立 IPC 需要满足什么条件？答：（1）己方和对方的计算机都连接到了互联网，并且知道对方计算机的 IP，知道对方计算机的管理员账号和密码（IPC$空连接除外）（2）对方没有通过禁用 IPC$连接、禁用 139和 445端口、使用防火墙等方式来阻止
7、IPC$。（3）对方计算机开启了相关的 IPC$服务，例如 RPC服务（remote procedure call） 、Server 服务等。（4）本地计算机操作系统不能使用 Windows 95/98，因为 Windows 95/98默认是禁用本地 IPC$服务的。2、建立了 IPC$连接能够做哪些工作？答：能映射驱动器，像在本机上一样的操作目标机的驱动器，能上传下载文件，能建立新的账号，能克隆账号等。实验三、留后门与清脚印的防范【实验目的】 了解帐号后门以及防范手段 掌握手工克隆帐号原理 掌握日志清除的防范方法 【实验需求】 计算机两台，要求安装 Windows 2000 操作系统 交换机
8、一台、直连线两根 权限提升工具 PSU.exe 【实验步骤】预步骤：建立 IPC 连接，映射驱动器，上传 PSU.exe 到目标主机一、设置隐藏帐号 1、试运行权限提升工具 PSU.exe 测试结果如图2、进入任务管理器，查看 SYSTEM 的 PID 号 如图 PID 为 3、使用 PSU 工具把它加载到注册表中4、在注册表中找到存放系统帐号名称以及配置信息的注册项。5、找到 Administrator 查看他的类型如图.它的类型为 0x1f4 6、打开系统管理员的权限里面的 F 项把里面的 16 进制数据复制7、使用刚才的方法找到 GUEST 用户打开相同的项把刚才复制的 16 进制数据粘
9、贴进去8 为了隐蔽性我们把 GUEST 帐号禁用首先在命令行模式下键入”net user guest /active:no。9 下面我们来看下当前 Guest 帐号的状态在命令行下输入 “net user Guest” 。 由图 3-10 可以看出 Guest 用户只属于 Guest 组， 接下来打开计算机管理中的帐号中的帐号管理可以发 现 Guest 用户已经被禁用了。10 注销后用 Guest 帐号登陆发现桌面配置与 Administrator 用户完全一样，下面我们用这 个帐号执行一个只有系统管理员才有权执行的操作，如果成功那表示这个帐号后门可用二、清除日志： 1、首先制作一个 DOS
10、下的批处理文件用于删除所有的日志，把它保存为.bat 文件2 置它的运行时间3 通过检查被攻击主机的日志信息，可以发现内容为空在入侵到对方的服务器之后，IIS 将会详细地记录下入侵者入侵的全部过程。在 IIS中，WWW 日志默认的存储位置是 C:windowssystem32logfilesw3svc1，每天都产生一个新日志。 可以在命令提示符窗口中通过“del *.*“命令来清除日志文件，但这个方法删除不掉当天的日志，这是因为 w3svc（即 World Wide Web Publishing）服务还在运行着。（1）可以用“net stop w3svc”命令把这个服务停止之后，（2）再用“d
11、el *.*”命令，就可以清除当天的日志了，（3）最后用“net start w3svc”命令再启动 w3svc 服务就可以了。 注意：删除日志前要先停止相应的服务，再进行删除，日志删除后务必要记得再打开相应的服务。也可修改目标计算机中的日志文件，其中 WWW 日志文件存放在 w3svc1文件夹下，FTP 日志文件存放在 msftpsvc 文件夹下，每个日志都是以 exXXXXXX.log为命名的（其中 xxxxxx 代表日期） 。FTP 日志的默认存储位置为 C:windowssystem32logfilesmsftpsvc1，其清除方法 WWW 日志的方法类似，只是所要停止的服务不同：（1
12、）在命令提示符窗口中运行“net stop mstfpsvc“命令即可停掉 msftpsvc 服务。（2）运行“del *.*“命令或找到日志文件，并将其内容删除。 （3）最后通过运行“net start msftpsvc“命令，再打开 msftpsvc 服务即可三、安全解决方案 1、杜绝 Guest 帐户的入侵。可以禁用或彻底删除 Guest 帐户，但在某些必须使用到 Guest 帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给 Guest 设一个强壮的 密码，然后详细设置 Guest 帐户对物理路径的访问权限（注意磁盘必须是 NTFS 分区） 。 例如禁止 Guest 帐户访问系
13、统文件夹。可以右击“WINNT”文件夹，在弹出菜单中选择 “安全”标签，从中可看到可以访问此文件夹的所有用户。删除管理员之外的所有用户 即可2、日志文件的保护。首先找出日志文件默认位置，以管理员身份登录进系统，并在该系统 的桌面中依次单击“开始”“运行”命令，在弹出的系统运行对话框中，输入字符串 命令“compmgmt.msc” ，单击“确定”按钮后打开服务器系统的计算机管理窗口。3、其次在该管理窗口的左侧显示窗格中，用鼠标逐一展开“系统工具”“事件查看器” 分支项目，在“事件查看器”分支项目下面我们会看到“系统” 、 “安全性”以及“应用 程序”这三个选项。要查看系统日志文件的默认存放位置时
14、，我们可以直接用鼠标右键 单击“事件查看器”分支项目下面的“应用程序”选项，从随后弹出的快捷菜单中执行 “属性”命令。在该窗口的常规标签页面中，我们可以看到本地日志文件的默认存放位 置为“C:WINDOWSsystem32configAppEvent.Evt”4、做好日志文件挪移准备，为了让服务器的日志文件不被外人随意访问，我们必须让日志 文件挪移到一个其他人根本无法找到的地方，例如可以到 E 分区的一个“E:aaa”目 录下面创建一个“bbb”目录 5、正式挪移日志文件，将对应的日志文件从原始位置直接拷贝到新目录位置 “E:aaabbb”下 6、修改系统注册表做好服务器系统与日志文件的关联，
15、依次单击系统桌面中的“开始” “运行”命令，在弹出的系统运行对话框中，输入注册表编辑命令“regedit” ，单击回 车键后，打开系统的注册表编辑窗口；用鼠标双击“HKEY_LOCAL_MACHINE”注册表子键， 在随后展开的注册表分支下面依次选择“SYSTEM” 、 “CurrentControlSet” 、 “Services” 、 Eventlog”项目，在对应“Eventlog”项目下面我们会看到“System” 、 “Security” 、 “Application”这三个选项 7、在对应“System”注册表项目的右侧显示区域中，用鼠标双击“File”键值，打开如图 2 所示的数
16、值设置对话框， 然后在“数值数据”文本框中，输入“E:aaabbb SysEvent.Evt”字符串内容，也就是输入系统日志文件新的路径信息，最后单击“确定” 按钮；同样地，我们可以将“Security” 、 “Application”下面的“File”键值依次修 改为“E:aaabbb SecEvent.Evt” 、 “E:aaabbb AppEvent.Evt” ，最后按一下键盘 中的 F5 功能键刷新一下系统注册表，就能使系统日志文件的关联设置生效了实验小结1.账号克隆是什么意思？答：在注册表中有两处保存了账号的 SID相对标志符，一处是注册表HKEY_LOCAL_MACHINESAMA
17、MDomainsAccountUsers 下的子键名，另一处是该子键的子项 F的值。但微软犯了个不同步它们的错误，登录时用的是后者，查询时用前者。当用 Administrator的 F项覆盖其他账号的 F项后，就造成了账号是管理员权限，但查询还是原来状态的情况，这就是所谓的克隆账号。实验四、基于 IIS服务器攻击的防护【实验目的】 练习使用 X-Scan V3.3 GUI 扫描工具； 了解不同漏洞的入侵方式，并掌握各种漏洞解决方案 【实验内容】 练习基于*.ida 的入侵 练习基于.printer 漏洞的入侵 练习基于 Unicode 漏洞的入侵 【实验工具】 本地主机不限制操作系统 远程主机
18、操作系统：Windows 2000 或 Windows 2000 Sp1 或 Windows 2000 Sp2 工具 X-Scan V3.3 GUI、idahack.exe 或 ida.exeIDA 溢出工具、iisx.exe、 tftpd32.exe 【实验步骤】 一、基于*.ida 漏洞的入侵1、扫描远程服务器，寻找有漏洞的主机。打开 X-scan，扫描项目， 开始扫描远程主机。 扫描完毕后， 在扫描报告中， 发现远程服务器 192.168.213.128 存在 IIS .IDA ISAPI 过滤器漏洞，在浏览器的地址栏中输入 http:/192.168.59.131/*.ida”,返回信
19、息“文件 c:inetpubwwwroot*.ida。 文件名、目录名或卷标语法不正确。 确认远 程主机存在漏洞，并得到远程服务器提供 Web 服务的根目录是 c:inetpubwwwroot。 2、IDA 溢出，将工具 IDAHack.exe 拷贝到%systemroot%/system32 目录下。通过“运行” “cmd”打开命令提示符，在命令行下输入“idahack 192.168.59.131 80 4 520，打开端口号 520 等待 Telnet 登录。3、Telnet 登录，在 MS-DOS 中键入“telnet 192.168.59.131 520”命令远程登录服务器如该 te
20、lnet 登录并无身份验证， 如果登录成功，立即得到 SHELL，该 SHELL拥有管理员权限，可以在其中执行任何命令。输入 telnet 命令4、建立帐号,如图 4-5 入侵成功后，在远程服务器上建立管理员帐号，此时，入侵者便获得了一个远程主机上的管理员帐号，可以通过系统认证来“合法”地使用“计算机管理”或“DameWare”等工具远程控制服务器，并且在远程服务器上添加了后门帐号5、使用“exit”命令退出登录。 6、防护 为 Windows 2000 操作系统打 SP4 补丁。Windows 2000 Service Pack 4 的下载地址是 http:/ Windows NT 4.0
21、的补丁下载网址： http:/ Windows 2000 Professional/Server/Advanced Server 的补丁下载网址： http:/ Windows XP beta 在正式版本得到解决。 （3）删除.ida&.idq 的脚本映射建议：即使已经为该漏洞安装了补丁最好还是删除.IDA 映射。 删除方法：打开 Internet 服务管理器；右击服务器并在菜单中选择“属性” ；选择“主属性” ，选择 WWW 服务 - 编辑 - 主目录 - 配置，在扩展名列表中删除.ida 和.idq 项。 二、基于.printer 漏洞的入侵 1、使用 X-Scan 工具扫描远程服务器 2
22、、使用 iisx.exe 工具连接有.printer 漏洞的主机 192.168.59.1313、执行 Telnet 命令：Telnet 192.168 .213.128 7788，入侵远程主机。 使用工具溢出没成功，工具针对中文版 win20004、在远程主机上创建管理员后门帐号5、使用“exit”命令退出登录。 6、防护 （1）为 Windows 2000 操作系统打 SP4 补丁。Windows 2000 Service Pack 4 的下载地址是：http:/ http:/ 三、 “涂鸦”主页 1、准备标语。用网页设计软件，如 DreamWeaver、FrontPage 制作一个标语网
23、页，保存为 ty.htm。 2、探知远程服务器的 web 根目录。首先查找被修改主页文件保存在哪里。利用 Unicode 漏洞找出 Web 根目录所在。通过查找文件的方法找到远程服务器的 Web 根目录。在 IE 中输入 http:/192.168.59.131/scripts/%c1%9c%c1%9c%c1%9c%c1%9c%c1%9cwinnt/system32/cmd.exe?/c+dir，其中“/s”参数加在 dir 命令后表示查找指定文件或文件夹的物理路径，所以“dir+c:mmcgif”表示在远程服务器的 C 盘中查找 mmc.gif 文件。由于文件 mmc.gif 是 IIS 默
24、认安装在 Web 根目录中,所以在找到该文件的同时， 也就找到了 Web 根目录。(1)为避免该类攻击，建议下载最新补丁(2)安装 IIS Lockdown 和 URL Scan 来加固系统，从而避免该类攻击。(3)安装 Windows 2000 的 Service Pack 2 以上的版本。 ）3 、 涂鸦主页 。 涂鸦主页之前 ， 可以利用 Unicode 漏洞 ， 在地址栏中输入 http:/192.168.59.131/scripts/%c1%9c%c1%9c%c1%9c%c1%9c%c1%9cwinnt/system32/cmd.exe? /c+dir+c:inetpubwwwroo
25、t 来遍历根目录下的文件。通常主页的文件名一般是 index.htm，index.html，default.asp，default.htm 等。远程主机的主页是 index.htm。因此，此 时只需要将我们制作的标语文件 1.htm 上传到远程主 Web 根目录下覆盖掉 index.htm 就可以了。使用命令覆盖远程主机上的主页文件。已经完成上传文件的任务4、 重新登录远程主机的网站。 刷新后， 即可看到刚才下载到目标主机的标语文件，“涂鸦”主页成功5、防护 （1）为 Windows 2000 操作系统打 SP4 补丁。Windows 2000 Service Pack 4 的下载地址是 ht
26、tp:/ （2）安装漏洞补丁。该漏洞补丁的下载地址是 http:/ 以使用文中所提供的该漏洞补丁的下载地址） 。在该页面中选择与自己的操作系统相应的补丁下载并安装。例如如果所使用的操作系统是简体中文版，且 IIS 的版本是 5.0，则选择该页面中的“Chinese (Simplified) Language Version”下载并安装即可。（3）临时解决方法。如果不需要可执行的 CGI，可以删除可执行虚拟目录，例如 /scripts 等。如果确实需要可执行的虚拟目录，建议可执行虚拟目录单独在一个分区。 【实验报告】 1、请简述 IIS 漏洞有哪些？ 答：IIS 漏洞据说有近千种，其中能被用来入
27、侵的漏洞大多属于“溢出”型，入侵者能通过发送特定格式的数据来是远程服务器缓冲区溢出，从而突破系统保护在溢出后的空间的执行任意命令。IIS 漏洞中，主要有 5中漏洞：.ida & .idq 漏洞，printer 漏洞，Unicode 漏洞，asp 映射分块编码漏洞，webdav 漏洞。注：成功地建立 Telnet连接，除了要求掌握远程计算机上的账号和密码外，还需要远程计算机已经开启“Telnet 服务” ，并去除 NTLM验证。也可以使用专门的 Telnet工具来进行连接，比如 STERM，CTERM 等工具实验五、第四代木马的防御【实验目的】 了解第四代木马的特点； 了解反弹技术及连接方式；
28、掌握第四代木马广外男生的防范技术； 【实验设备】 操作系统平台：Win2000 或 WinXp。 木马工具：广外男生。 【实验原理】 广外男生同广外女生一样，是广东外语外贸大学的作品，是一个专业级的远程控制及网络监控工具。广外男生除了具有一般普通木马应该具有的特点以外，还具备以下特色客户端模仿 Windows 资源管理器：除了全面支持访问远程服务器端的文件系统，也同时 支持通过对方的 “网上邻居”访问对方内部网其他机器的共享资源。 强大的文件操作功能：可以对远程机器进行建立文件夹，整个文件夹的一次删除，支持多选的上传、下载等基本功能。同时支持对远程文件的高速查找，并且可以对查找的结果进 行下载
29、和删除操作。运用了“反弹端口”与“线程插入”技术：使用了目前流行的反弹端口的木马技术，可以在互联网上访问到局域网里通过 NAT 代理上网的电脑，轻松穿越防火墙。 “线程插入”技术是指在服务器端运行时没有进程， 所有网络操作均插入到其它应用程序的进程中完成。因此，服务器端的防火墙无法进行有效的警告和拦截。 “反弹端口”技术是指，连接的建立不再由客户端主动要求连接，而是由服务器端来完成，这种连接过程正好与传统连接方式相反。当远程主机被种植了木马之后，木马服务器在 远程主机上线之后主动寻找客户端建立连接，客户端的开放端口在服务器的连接请求后进行连接、通信。 【实验步骤】 一、广外男生的基本使用1、打
30、开广外男生客户端（gwboy092.exe） ，选择“设置”“客户端设置”打开“广外男生客户端设置程序” 2.其中最大连接数一般使用默认的 30 台，客户端使用端口一般设置成 803、点击“下一步” ，再点击“完成”按钮结束客户端的设置4、服务端设置：进行服务端设置时，选择“设置”“服务器设置” ，打开“广外男生服务端生成向导5.选择“同意”之后，点击下一步，开始进行服务端常规设置，其中，EXE 文件名是安装木马后生成的程序名称，DLL 文件名是安装木马后生成的 DLL 文件的名称6、设置完成后点击“下一步” ，进行“网络设置” 。根据实际网络环境，选择静态 IP 选项进行实际网络的设置7、设置完成点击“下一步” ，填写生成服务器端的目标文件的名称，然后点击“完成” ，结束服务器端的配置
