《信息安全第一次实验内容》由会员分享，可在线阅读，更多相关《信息安全第一次实验内容（24页珍藏版）》请在金锄头文库上搜索。
1、Ping扫描实验 【实验内容】使用以下参数的ping命令-t; -a; -n; -l; -i; -r【实验环境】本地主机(WindowsXP)、Windows实验台【实验步骤】本机IP地址为172.20.1.178/16，Windows实验台IP地址为172.20.3.178/16。(在实验中应根据具体实验环境进行实验)点击“开始”菜单，单击“运行”，键入“cmd”，确定。打开命令行窗口。（注：本实验中需要借助Wireshark抓包工具，进行数据分析，抓包工具从工具箱中下载）(1) Ping t说明：不停的发送icmp数据包命令如下：ping t 172.20.3.178当使用ping命令时，
2、Windows平台默认发送四个icmp数据包。带有参数t的ping命令，将不断向目的地址发送icmp数据包；Ctrl+C键停止此命令。(2) Ping i说明：修改ping命令发送的icmp协议的TTL值命令如下：ping i 32 172.20.3.178运行抓包工具，并设置Filter条件，对ping命令进行数据包的抓取，如下图所示：图 3.5.11不加参数的ping命令，抓包格式如图3.5.12所示，TTL值随系统的默认值不同而不同，这里只是默认值为64。图3.5.12 不加参数的ping命令加参数ping i 32 172.20.3.178，进行数据包抓取，如图3.5.13至图3.5.
3、15所示。图3.5.13图3.5.14图3.5.15 加参数的ping命令(3) Ping f说明：设置Dont Fragment标志位为1不加参数的ping命令，如图3.5.16所示。图3.5.16 不加参数的ping命令加参数的ping命令 ping 172.20.3.178 f，如图3.5.17所示。图3.5.17 加参数的ping命令(4) Ping l说明：发送特定长度的icmp数据包不加参数的ping命令，带有32字节的数据部分，如下图所示。图 3.5.18不加参数的ping命令加参数的ping命令 ping 172.20.3.178 l 200，如图3.5.19所示，带有200字
4、节的数据。图3.5.19 加参数的ping命令【实验原理】Ping是Windows和Linux都自带的一个扫描工具，用于校验与远程计算机或本机的连接。只有在安装 TCP/IP协议之后才能使用该命令。Ping命令通过向计算机发送 ICMP 回应报文并且监听回应验与远程计算机或本地计算机的连接。对Ping最多等待1秒，并打印发送和接收的报文的数量。比较每个接收报文和发送报文，以校验其有效性。默认情况下，发送四个回应报文，每个报文包含 64 字节的数据(周期性的大写字母序列)。可以使用Ping程序测试计算机名和IP地址。如果能够成功校验IP地址却不能成功校验计算机名，则说明名称解析存在问题。这种情况
5、下，要保证在本HOSTS文件中或DNS数据库中存在要查询的计算机名。ping 的原理就是首先建立通道，然后发送包，对方接受后返回信息，这个包至少包括以下内容：发送的时候、包的内容包括对方的 ip 地址、自己的地址、序列数。回送的时候包括双方地址，还有时间等。总的来说 ping 的功能比较简单，只能确认目标主机的存活状态，而对于其上运行的服务和开放的端口无法查明。参数说明： -t Ping the specified host until stopped.To see statistics and continue - type Control-Break;To stop - type Cont
6、rol-C. -a Resolve addresses to hostnames. -n count Number of echo requests to send. -l size Send buffer size. -f Set Dont Fragment flag in packet. -i TTL Time To Live. -v TOS Type Of Service. -r count Record route for count hops. -s count Timestamp for count hops. -j host-list Loose source route alo
7、ng host-list. -k host-list Strict source route along host-list. -w timeout Timeout in milliseconds to wait for each reply.实验思考】记录对于无参数情况下，Ping命令执行后返回结果，分析默认情况下发出请求包和返回应答包的数目记录分别带有其它参数的Ping命令返回结果，并分析各个参数的功能端口扫描实验 【实验内容】TCP connect()扫描TCP SYN扫描FIN数据包扫描/Xmas扫描/空扫描UDP扫描ACK扫描【实验环境】本地主机(WindowsXP)、Windows
8、实验台【实验步骤】本机IP地址为172.20.1.178/16，Windows实验台IP地址为172.20.3.178/16(在实验中应根据具体实验环境进行实验)，实验工具WinNmap在实验工具箱中可下载。不带任何命令行参数运行Nmap，显示命令语法，如图3.5.110所示。 图3.5.110 不带任何命令行参数运行Nmap扫描类型：主要有以下几种。-sT：扫描TCP数据包以建立的连接connect()-sS：扫描TCP数据包带有SYN数据的标记-sP：以ping方式进行扫描-sU：以UDP数据包格式进行扫描-sF,-sX,-sN：以Fin,Xmas,Null方式扫描(1) Nmap扫描试验
9、中，由于扫描工具的本身的局限性不能在物理网卡上设置多个ip地址，请确保单IP环境，如下图。图 3.5.111(2) nmap sP 172.20.3.178Nmap给每个扫描到的主机发送一个ICMP echo和一个ACK,主机对任何一种的响应都会被Nmap得到。可用来检测局域网内有哪些主机正在运行。运行结果分析：在局域网内有哪些机器正在运行，而且可以显示机器的MAC以及机器的品牌，如图3.5.112所示。图3.5.112 nmap sP 172.20.3.178(3) nmap sT 172.20.3.178Nmap将使用connect()系统调用打开目标机上相关端口的连接，并完成三次TCP握
10、手。如图3.5.113所示。图3.5.113 nmap sT 172.20.3.178(4) nmap sS 172.20.3.178使用半开SYN标记扫描，在一定程度上防止被扫描目标主机识别和记录。-sS命令将发送一个SYN扫描探测主机或网络。通过发送一个SYN包(是TCP协议中的第一个包)开始一次SYN的扫描。任何开放的端口都将有一个SYN|ACK响应。然而，攻击者发送一个RST替代ACK，连接中止。三次握手得不到实现，也就很少有站点能记录这样的探测。如果是关闭的端口，对最初的SYN信号的响应也会是RST，让NMAP知道该端口不在监听。如图3.5.114所示。图3.5.114 nmap s
11、S 172.20.3.178(5) nmap sS O 172.20.3.178利用不同的系统对于nmap不同类型探测信号的不同响应来辨别系统。如图3.5.115所示。 图3.5.115 nmap sS O 172.20.3.178(6) nmap sS P0 D 172.20.1.178 172.20.3.178伪造多个攻击主机同时发送对目标网络的探测和端口扫描，这种方式可以使得IDS 告警和记录系统失效。如图3.5.116所示。 图3.5.116 nmap sS P0 D 172.20.1.178 172.20.3.178【实验原理】端口扫描就是通过连接到目标系统的TCP或UDP端口，来确
12、定什么服务正在运行。一个端口就是一个潜在的通信通道，也就是一个入侵通道。从对黑客攻击行为的分析和收集的漏洞来看，绝大多数都是针对某一个网络服务，也就是针对某一个特定的端口的。对目标计算机进行端口扫描，能得到许多有用的信息。(1) 全TCP连接这是最基本的TCP扫描，实现方法最简单，直接连到目标端口并完成一个完整的三次握手过程(SYN，SYNACK和ACK)。Socket API提供的Connect ( )系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么Connect ( )就能成功。否则，这个端口是不能用的，即没有提供服务。这个技术的一个最大优点是不需要任何权
13、限，系统中的任何用户都可以使用这个调用。另一个好处就是速度。如果对每个目标端口以线性的方式，使用单独的Connect()调用，那么将会花费相当长的时间，你可以通过同时打开多个套接字，从而加速扫描。这种扫描方法的缺点是很容易被目标系统检测到，并且被过滤掉。目前的系统会对连接进行记录，因此目标计算机的日志文件会显示大量密集的连接和连接出错的消息记录，并且能很快地使它关闭。如：TCP Wrapper监测程序通常用来进行监测，可以对连接请求进行控制，所以它可以用来阻止来自不明主机的全连接扫描。针对这一缺陷，便产生了TCP SYN扫描，也就是通常说的半开放扫描(2) TCP SYN扫描在这种技术中，扫描
14、主机向目标主机的选择端口发送SYN数据段。如果应答是RST，那么说明端口是关闭的，按照设定就探听其它端口；如果应答中包含SYN和ACK，说明目标端口处于监听状态。由于在SYN扫描时，全连接尚未建立，所以这种技术通常被称为半打开扫描。SYN扫描的优点在于即使日志中对扫描有所记录，但是尝试进行连接的记录也要比全扫描少得多。缺点是在大部分操作系统下，发送主机需要构造适用于这种扫描的IP包，并且在通常情况下必须要有超级用户权限才能建立自己的SYN数据包。(3) TCP FIN扫描对某端口发送一个TCP FIN数据报给远端主机。如果主机没有任何反馈，那么这个主机是存在的，而且正在监听这个端口；主机反馈一个TCP RST回来，那么说明该主机是存在的，但是没有监听这个端口。由于这种技术不包含标准的TCP三次握手协议的任何部分，所以无法被记录下来，从而比SYN扫描隐蔽得多，也称作秘密扫描。另外，FIN数据包能够通过只监测SYN包的包过滤器。这种扫描技术使用FIN数据包来探听端口。当
