TCP/IP协议攻击实验1

Posted 2020-07-07 Lauhoman

TCP/IP协议攻击实验1

实验环境：
Linux ubuntu 3.13.0-24-generic 
#46-Ubuntu SMP Thu Apr 10 19:11:08 UTC 2014 
x86_64 x86_64 x86_64 GNU/Linux

安装工具

1、Wireshark

sudo apt-get install wireshark

2、Netwag

sudo apt-get install netwag

3、Netwox

sudo apt-get install netwox

检查安装情况

1、Wireshark

wireshark

2、Netwag

netwag

3、Netwox

netwox

克隆连接三个虚拟机

1、查ip地址

ifconfig

2、使用ping命令检查互相连接情况

ping 10.211.55.2*

实验一、APR缓存中毒（ARP cache poisoning）

实验原理

ARP缓存是ARP协议的重要组成部分。ARP协议运行的目标就是建立MAC地址和IP地址的映射，然后把这一映射关系保存在ARP缓存中，使得不必重复运行ARP协议。因为ARP缓存中的映射表并不是一直不变的，主机会定期发送ARP请求来更新它的ARP映射表，利用这个机制，攻击者可以伪造ARP应答帧使得主机错误的更新自己的ARP映射表，这个过程就是ARP缓存中毒。
这样的后果即使要么使主机发送MAC帧到错误的MAC地址，导致数据被窃听；要么由于MAC地址不存在，导致数据发送不成功。

虚拟机MAC地址和IP地址

Machine Index	HWAddr	IPAddr
1	00:1c:42:6f:5b:ee	10.211.55.27
2	00:1c:42:cc:87:b6	10.211.55.29
3	00:1c:42:2e:73:dc	10.211.55.28

清空ARP缓存

因为之前测试几个虚拟机之间是否连接成功的时候进行了ping命令，这个时候在各个虚拟机的时候已经进行了ARP缓存，如果进行实验的话，将不会有ARP协议的数据包，因为会直接在ARP缓存库里面取得相应的MAC地址。

所以这里我要先对ARP缓存进行清理。以下是ARP命令的使用说明：

arp: 显示所有的表项。
arp  -d  address: 删除一个arp表项。
arp  -s address hw_addr: 设置一个arp表项。

先用ARP命令查看已经缓存的ARP信息，然后再根据需要删除我们需要删除的ARP缓存。

实验内容实现

老师给的参考文档里面使用的是Telnet命令，但是可能因为虚拟机设置和VMWare不同的原因，在用Telnet命令的时候会出现connection refused的错误，所以我尝试使用ssh命令来实现实验内容。第一次建立ssh连接的时候就会产生ARP的数据包，可以用wireShark捕捉，我们一样用第三台虚拟机用虚假的ARP信息进行广播，那么应该ssh连接会失败。

正常状态下，我用虚拟机#3连接虚拟机#1，可以看到抓取到的ARP数据包如下：

对照前面我们记录的MAC地址和IP地址可以看到，在正常的状态下ARP是正确缓存的，并且可以连接ssh：

然后按照老师的教程，用虚拟机#1进行虚假ARP信息广播：

sudo netwox 80 "00:1c:42:6f:5b:ee" -i "10.211.55.29"

我们可以在虚拟机#3的Wireshark里面看到这个周期性的广播信息：

虚拟机#3连接虚拟机#2的时候，程序出错了，然后我们用arp命令查arp缓存，可以看到虚拟机#2的IP地址10.211.55.29对应的MAC地址已经被改成了虚拟机#1的MAC地址00:1c:42:6f:5b:ee。

说明攻击成功。

注意：①WireShark在正常情况下我的环境里并找不到端口，所以我用了管理员权限打开WireShark，就能正常工作了。②我在第一次实验的时候发现虽然广播了但是没有被修改，第二次就成功了，查了WireShark找到原因，是因为刚好连接建立的时候没有广播到。。

实验二、ICMP重定向攻击

实验原理

ICMP重定向攻击
ICMP重定向信息是路由器向主机提供实时的路由信息，当一个主机收到ICMP重定向信息时，它就会根据这个信息来更新自己的路由表。由于缺乏必要的合法性检查，如果一个黑客想要被攻击的主机修改它的路由表，黑客就会发送ICMP重定向信息给被攻击的主机，让该主机按照黑客的要求来修改路由表。

实验准备

安装traceroute：sudo apt-get install traceroute

虚拟机网络配置

Machine Index	HWAddr	IPAddr
1	00:1c:42:6f:5b:ee	10.211.55.27
2	00:1c:42:cc:87:b6	10.211.55.29
3	00:1c:42:2e:73:dc	10.211.55.28
网关	00:1c:42:00:00:18	10.211.55.1

虚拟机#3检查正常情况下的网关

使用命令sudo traceroute baidu.com来尝试路由追踪连接到百度时候的路由表情况，并且打开WireShark监视网络。

由上图可知，路由追踪过程中因为有防火墙屏蔽了ICMP信息，所以没有返回任何结果而是*。但是没有关系，我们可以从WireShark抓到的数据包看到默认网关。

由上图可以看到虚拟机#3的默认网关在正常状态下是00:1c:42:00:00:18|10.211.55.1。

虚拟机#1进行ICMP重定向攻击

为了让虚拟机#3认为默认网关已经被修改成了虚拟机#1，需要不断广播ICMP重定向信息。为了实现这个广播，可以使用netwox命令sudo netwox 86 -d "Eth0" --gw "10.211.55.27" -i "10.211.55.1",这个命令代表广播ICMP重定向信息，把10.211.55.1重定向为10.211.55.27，前者为默认网关，后者为虚拟机#1。

注意：为了让虚拟机#1能够正常转发数据包，需要对虚拟机#1进行如下设置：sudo sysctlnet.ipv4.ip_forward=1

虚拟机#3检查被攻击情况下的网关

打开WireShark监视网络，使用traceroute命令访问baidu.com。观察抓包情况：

由上图可以验证虚拟机#1的广播生效了。

由上图可以验证虚拟机#3发送的数据包的默认网关已经被改成了虚拟机#1，说明攻击成功。

参考文档

1. Linux命令学习手册-arp命令
2. Netwox参考文档