《网络安全》实验指引

实验一使用Sniffer工具进行TCP/IP、ICMP数据包分析

1、实验目的

通过实验掌握Sniffer工具的安装及使用，

1)实现捕捉ICMP、TCP等协议的数据报；

2)理解TCP/IP协议中TCP、IP、ICMP数据包的结构，会话连接建立和终止的过程，

TCP序列号、应答序号的变化规律，了解网络中各种协议的运行状况；

3)并通过本次实验建立安全意识，防止明文密码传输造成的泄密。

2、实验环境

两台安装Windows2000/XP的PC机，其中一台上安装有Sniffer软件，两台PC是通过HUB或交换机处于联网状态。

3、实验任务

1)了解Sniffer安装和基本使用方法，监测网络中的传输状态；

2)定义过滤规则，进行广义的数据捕获，分析数据包结构；

3)定义指定的捕获规则，触发并进行特定数据的捕获：

●ping ip-address

●ping ip-address –l 1000

●ping ip-address –l 2000

●ping ip-address –l 2000 –f

●（在IE地址栏中，输入）https://www.360docs.net/doc/817649358.html,

4、实验步骤：

(1)、打开Sniffer软件，点击捕获——过滤设置——选择TCP和IP。

图（一）图（二）

图（三）图（四）

(2)定义指定的捕获规则，触发并进行特定数据的捕获：

●ping ip-address

●ping ip-address –l 1000

●ping ip-address –l 2000

●ping ip-address –l 2000 –f

●（在IE地址栏中，输入）https://www.360docs.net/doc/817649358.html,

5、实验总结：

由图（一）可以知道：帧捕获的时间、帧长、源和目的，以及IP的信息。

由图（二）可以知道：TCP的信息，源端口号（80）、目的端口号（1234）、序列号（2602531683）、偏移量等

由图（三）可以知道：ICMP的信息，Type=8,序列号（2048）

图（四）是IP的详细信息。

ping 172.16.26.60

Ping -l 1000 172.16.26.60 (-l ：发送指定数据量的ECHO数据包。在这里是1000Bytes)

Ping -l 2000 172.16.26.60 (-l ：发送指定数据量的ECHO数据包。在这里是2000Bytes)

Ping -l 2000 -f 172.16.26.60 (-l ：发送指定数据量的ECHO数据包。在这里是2000Bytes; -f ：在数据包中发送“不要分段”标志，数据包就不会被路由上的网关分段。通常你所发送的数据包都会通过路由分段再发送给对方，加上此参数以后路由就不会再分段处理。;)

（在IE地址栏中，输入）https://www.360docs.net/doc/817649358.html,

试验一协议分析软件的使用

一、实验目的

学习协议分析软件wireshark的使用

二、实验内容

学习使用Wireshark抓取发送邮件的包

三、实验步骤

在一台网络计算机上安装网络协议分析软件Wireshark（即Ethereal），按照教材第7.2节的方法，捕获自己的计算机通过互联网发送电子邮件的全部数据。将捕获数据文件保存，并利用各种过滤器和统计分析工具，从捕获数据中得出以下答案：

1．自己的网络计算机的MAC地址是

2．本地网络出口网关的MAC地址是（参看教材21页例）

（因为邮件服务器与自己的网络计算机并不在同一个局域网内，因此，发送的电子邮件以太网数据帧的目的MAC地址不是邮件服务器的，而是局域网出口网关的MAC地址。）

3．自己的网络计算机的IP地址是

自己注册的电子邮件服务器的IP地址是，与客户机是否在同一个网段？

答：。

4．与邮件服务器建立TCP连接时本地主机的端口号是 1432 （客户端采用临时端口号，用于标识本次应用进程，参看教材第25页）。邮件服务器端的TCP端口号是，这个端口号的名字是什么？是电子邮件服务器的端口号SMTP吗？

答：。

5．在三次握手建立了TCP连接后，本机的HTTP进程采用方法（教材表1.7）向邮件服发送本用户的注册用户名和口令。

从此请求数据段中可否读出自己的用户名？，能否获得登录密码？。

6．分析你的电子邮件服务商是否采用了什么方法保护你的用户名、密码和邮件内容？

答：。

7．当自己成功登录邮件服务器后，利用Wireshark（Ethereal）的Analyze工具栏中的Follow TCP Stream工具，找出自己的主机发送给服务器的Cookies内容是什么？

答：

8．邮件服务器向本机返回的Cookie的内容是什么？（对Cookie的内容分析方法见教材第211页）

答：

9．从捕获数据中能否获取自己的电子邮件内容？

答：

10．结合教材第1、6、10和11章的介绍，分析自己的电子邮件面临的以下安全问题：（1）如果受到重放攻击时如何解决身份认证的问题，（2）用户名的保护问题，（3）登录密码的保护问题，（4）邮件信息的保密问题，（5）邮件信息的防篡改问题，（6）采用哪些措施防止垃圾邮件泛滥？

四、实验总结

实验二数字签名OnSign

一、实验目的：

我们平时编辑的Word文档，有的需要进行保密，为防止编写好的Word文档被别人进行恶意的修改，我们可以使用数字签名对其进行加密。onSign是一款通过运行宏，为Word 文档添加数字签名的软件，可以检查文档是否被人修改。

二、实验所需软件：

操作系统为windows xp或者windows server

工具软件：onSign 2.0

三、实验步骤：

1、下载“onSignV2.0”版本安装文件到本机，在安装界面见图9-67，最后，软件会弹出注册窗口，我们只需要选择“Off-line”注册方式，将“姓名”和“电子邮箱”必填信息填写

好，并选择“家庭用户”，就可以免费使用了。由于“onSign”目前的版本是针对Word2000

编写的，在Word2003中安装后，软件不会将【onSign】菜单添加到Word文档的菜单栏中，在编辑带有数字签名的文档时，需要进入“onSign”的安装目录，双击名为“onSign”的Word模板，启用宏后就可以使用了。

图9-67安装界面

2、设置签名

通过【onSign】|【Sign Document】进入软件界面，点击“Signature Wizard”如图9-68所示，进入设置签名向导，我们可以通过“图像”、“电子邮件”和“鼠标”三种方式生成签名图片。我们以“图像”方式为例，先制作好一张别人不易效仿的bmp格式个性签名图片，将图片路径添加到“File Name”中，并为签名图片设置好名称、作者和密码，就完成了签名图片的设置。

图9-68 设置签名向导

3、使用签名

在编辑完所有的文档并保存后，通过【onSign】|【Sign Document】进入软件界面，点击“Sign Now”并输入密码，就可以为文档签属数字签名了，如图9-69所示。

图9-69 文档签属数字签名

4、检查签名

在打开经过数字签名的文档后，如果文档在添加了数字签名后未被修改过，我们双击数字签名后，还会看到完整的签名。如果文档被修改过，软件就会在数字签名上显示红色禁止符号。

5、几点说明

在Word2000下，如果只是查看数字签名的话，我们可以根据数字签名下方提供的链接下载“onSign Viewer”，就不需要安装“onSign”了，但是如果您使用的是Word2003，笔者建议无论是添加还是查看数字签名，都使用“onSign”，而不要安装“onSign Viewer”，因为“onSign Viewer”安装后会引起Word2003和“onSign”的不正常工作。

实验三 PGP加密文件和邮件

一、实验目的：

使用PGP软件可以简洁而高效地实现邮件或者文件的加密、数字签名。

二、实验所需软件：

操作系统为windows xp或者windows server

工具软件：PGP 8.1

三、实验步骤：

1、使用PGP加密文件：

教材4.4.2 节已经介绍了软件的安装和密钥的产生，这里就不再重复，使用PGP可以加密本地文件，右击要加密的文件，选择PGP菜单项的菜单“Encrypt”，如图9-60所示。

图9-60 选择要加密的文件

出现对话框，让用户选择要使用的加密密钥，选中所需要的密钥，点击按钮“OK”，如

图9-61所示。

目标文件被加密了，在当前目录下自动产生一个新的文件，如图9-62所示。

打开加密后的文件时，程序自动要求输入密码，输入建立该密钥时的密码。如图9-63所示。

图9-63 解密文件时要求输入密码

2、使用PGP加密邮件

PGP的主要功能是加密邮件，安装完毕后，PGP自动和Outlook或者Outlook Express关

联。和Outlook Express关联如图9-64所示。

图9-64 PGP 关联outlook express

利用Outlook建立邮件，可以选择利用PGP进行加密和签名，如图9-65所示。

图9-65 加密邮件

实验四入侵检测系统工具BlackICE 和“冰之眼”

一、实验目的：

利用工具BlackICE 和“冰之眼”对网络情况进行实时检测

二、实验所需软件：

操作系统:Wwindows xp 、Windows Server

工具软件：bidserver.exe和冰之眼

三、实验步骤：

1、BlackICE：双击bidserver.exe，如图9-84所示，在安装过程中需要输入序列号，如图9-85

所示，序列号在ROR.NFO文件中。

图9-84 安装文件

图9-85 输入序列号

BlackICE是一个小型的入侵检测工具，在计算机上安全完毕后，会在操作系统的状态栏右下角显示一个图标，当有异常网络情况的时候，图标就会跳动。主界面如图9-86所示，

在“Events”选项卡下显示网络的实时情况，选择“Intruders”选项卡，可以查看主机入侵的详细信息，如IP、MAC、DNS等，如图9-87所示。

图9-86 BlackICE的主界面

图9-87 看入侵者的详细信息

2、冰之眼：“冰之眼”网络入侵检测系统是NSFOCUS系列安全软件中一款专门针对网络

遭受黑客攻击行为而研制的网络安全产品，该产品可最大限度地、全天候地监控企业级的安全。双击图9-88中的“autoexec.exe”文件安装，先选择安装冰之眼公共库，如图9-99所示，然后安装冰之眼控制台。

3、

图9-88 安装所需要的文件

图9-99 安装冰之眼公共库

安装成功后就可以在程序中执行，如图9-100所示，控制台启动成功后如图9-101所示，系统管理人员可以自动地监控网络的数据流、主机的日志等，对可疑的事件给予检测和响应,在内联网和外联网的主机和网络遭受破坏之前阻止非法的入侵行为

图9-100 启动冰之眼控制台

图9-101 冰之眼软件主界面

实验五IP隐藏工具Hide IP Easy

一、实验目的：

隐藏你的真实的IP，防止您的网上活动被监视或您的个人信息的被黑客窃取。

二、实验所需软件：

操作系统: Wwindows xp 、Windows Server

工具软件：HideIPEasy

三、实验步骤：

1、安装：安装所需要的软件如图9-102，双击HideIPEasy.exe 文件安装，安装界面如图

9-103，启动界面如图9-104，点击HideIP可以隐藏本地的IP。

图9-102安装需要的软件

图9-103 安装界面

图9-104 启动界面

实验六OpenVPN配置和使用

VPN的优点是对应用层透明，因此特别方便部署。终端用户自己部署VPN典型的有三种方式：IPSec方式、基于SSL的OpenVPN方式、PPTP/L2TP等拨号方式。其中IPSec方式是IPv6强制要求的，OpenVPN是开源的，PPTP在Windows中支持。

5、实验目的

（1）掌握OpenVPN的部署和使用方法

（2）了解其它VPN的部署和使用方法

6、实验内容

（1）OpenVPN软件的安装

（2）基于共享秘密的OpenVPN

（3）基于公钥证书的OpenVPN （选做）

7、实验指导

OpenVPN通常被用来建立端到端的安全隧道。OpenVPN使用SSL协议保护两端之间的通信，这样就充分利用了SSL的易用性，简化了管理成本。

IPSec是IPv6中内置的安全特性，可以用传输模式来保护IP分组的数据载荷部分。

11.3.1 OpenVPN安装

OpenVPN是开放软件，可以运行在Windows、Linux等各种平台上。下载可执行exe 安装文件，安装OpenVPN过程中会在操作系统中添加一个虚拟网卡。该网卡的比特传输（物理层）是用运行在实际网卡上的一条SSL连接模拟的。另外，在Windows上还可以看到增加了一个名为OpenVPNService的后台服务项。

OpenVPN的配置文件是./conf/*.ovpn，每个文件对应着一个端到端连接。

注：SSL协议结合使用公钥算法、对称算法和散列算法等密码算法，运行在TCP等可靠流协议之上，提供认证、加密和完整性等安全服务，可以把SSL协议看作是经过安全改造的TCP协议。

11.3.2 基于共享秘密文件的OpenVPN

为了能建立VPN连接，需要指明鉴别认证手段，目前常用两种方式：共享秘密或公钥证书。

下面是一个使用共享秘密的VPN客户端的配置文件实例：

remote 211.86.49.238

port 19201

dev tap

dev-node OpenVPN_CARD_1

ifconfig 192.168.0.2 255.255.255.0

secret key.txt

ping 10

comp-lzo

verb 4

mute 10

其中指明了远程VPN服务器的地址及端口号，本地虚拟网卡名字、IP地址及子网掩码，共享秘密文件的名字等。秘密文件中一般是一个口令，或者别的不易被猜到的随机串，但是必须保证两端内容一致。

相应的服务端的配置文件只需要去掉第一行，并把其余诸行按照实际修正即可。

在两台机器上准备好配置文件和秘密文件后重起后台服务，使用192.168.0.0/24网段地址就可以ping通对方。使用Sniffer工具查看实际网卡上的流量，就可以发现只能看到SSL 协议的密文。

8、一个实际OpenVPN配置文件样例

OpenVPN

Client

OpenVPN

Server

9、要求和建议

必须使用Sniffer查看并核实其确实加密了。

如果VPN连接建立出错，相应的错误信息在./log/*.log文件中。

本实验可以两个同学联合试验，分别是客户端和服务端。也可以1+n方式，即1个服务端，n个客户端，此时可以通过修正服务器的路由表，把它变成一个安全的路由器（或者更像一个交换机），让n个客户端之间互通。{注：理论上完全可以，实际效果有待验证。} 如果尝试证书模式，建议使用OpenSSL中的工具产生密钥对及制作证书。细节请查询网络。https://www.360docs.net/doc/817649358.html,

实验六：IPSec VPN配置及应用实验

一、实验名称和性质

所属课程信息安全

实验名称IPSec VPN配置及应用

实验学时 2

实验性质□验证√综合□设计

必做/选做√必做□选做

二、实验目的

理解IPSec VPN的工作原理。了解IPSec VPN的应用。掌握IPSec VPN实现的技术方法。掌握IPSec VPN配置流程及应用。

三、实验的软硬件环境要求

多台运行Windows Server 2000操作系统的计算机连接成以太网，并ruv ty Internet。四、实验内容

1．建立IPSec VPN连接，完成VPN服务哈哈大笑客户端配置。

2．测试连接后的IPSec VPN网络。

五、综合性实验

1．实验要求

掌握在Windows Server 2000操作系统中利用IPSec配置VPN网络的流程，包括服务器端和客户端的配置。掌握IPSec VPN的应用。

2．实验步骤

（1）进入内置IP安全策略界面

点击“开始→程序→管理工具→本地安全设置”，如图4-22所示。在右侧窗口中，可以

看到默认情况下Windows 内置的“安全服务器”、“客户端”、“服务器”3个安全选项，并附有描述，可以单击阅读对它们的解释。在左面的窗口中，给出了安全设置的项目列表。

（2）安全策略配置

a) 右击“IP 安全策略，在本地机器”选项，选择“创建IP 安全策略”，弹出如图4-23

所示的IP 安全策略界面。

b) 点击“下一步”进入IP 安全策略向导，如图4-24所示。

c) 在“安全通信请求”界面中，选择清除“激活默认响应规则”复选框，如图4-25所示。

d) 点击“下一步”，在“完成IP 规则向导”界面中选中“编辑属性”，如图4-26所示。 e) 单击“完成”，进入“IP 安全策略属性”窗口，如图4-27所示，在“规则”标签页中单击“添加”按钮，进入“安全规则向导”首页，如图4-28所示。

图4-22 Windows 的内置安全策略

（3）安全操作配置

进入创建IP “安全规则向导”首页后，按照提示，进行连续的单击“下一步”按钮操作，会依次完成下列设置：

a) 隧道终结点，如图4-29所示。这里选择“此规则不指定隧道”。

图4-23 “IP 安全策略向导”界面

图4-24 “IP 安全策略名称”

图4-25 “安全通讯请求”