Linux下渗透嗅探术
(撸一撸)
Author:bugcx or Anonymous
Url:
http://blog.bug.cx/2012/04/25/linux%e4%b8%8b%e6%b8%97%e9%80%8f%e5%97%85%e6%8e%a2%e6%9c%af/ |
bugcx's blog | 关注网络安全
内网渗透在攻击层面，其实更趋向于社工和常规漏洞检测的结合，为了了解网内防护措施的设置是通过一步步的刺探和经验积累，有时判断出错，也能进入误区。
但是如果能在网内进行嗅探，则能事半功倍，处于一个对网内设置完全透明的状态。
本文将从一个注点引发的突破，到控制整个内网的全过程来跟大家讨论，内网的渗透嗅探术和安全防护一些内容。
在寻找突破时，更多的是从应用服务来，而应用服务最直观的信息采集，就是端口扫描，不同的应用，开放的服务不一样。
所以，在对网
络进行信息收集时，大概分为这样两步：端口探测，程序指纹分析。
在端口探测方面，个人喜欢用SuperScan来快速对网段里的应用进行判
断，如图：
在掌握端口信息后，就要对服务应用程序的指纹进行分析，主要包括版本号、已知的漏洞信息、常规配置信息、针对此应用流行的攻击方法等。
本文试着对网内一台提供WEB服务的主机作为突破口，提交一个畸形的请求，如图：
从上图可以读取以下信息：
系统类型：Fedora
应用程序：apache/2.2.4
以上只是很简单的手工对程序指纹进行分析，当然在针对web应用的扫描器，还有很多，比较常用的wvs、appscan等。
用轻量级的”wwwwscan”来扫描：
由扫描的结果可以看到，与手工探测的结果是一致的。
通上面简单的信息收集后，可以了解到网站架构是apache+mysql+php,直接请求URL：http://61.67.xx.116/htdocs/
发现此站是EcShop架构的站点，其使用的版本信息是V2.5.0。
EcShop的版本是存在许多的注入点的。
其中user.php文件有个注入漏洞，直接请
求URL如下：
http://61.67.xx.116/htdocs/user.php?
act=order_query&order_sn=’ union select 1,2,3,4,5,6,concat(user_name,0×7c,password,0×7c,email),8 from ecs_admin_us
获取管理员帐号和密码，ECShop使用的是MD5加密，直接解密。
原来密码是admin，有点意料之外。
访问管理后台，修改模版处，插入一句
木马，即可得到WEBSEHLL，如图：
在获取WEBshell权限后，就需要对系统进行分析，查找Exp了。
执行命令如下：
#uname –a
返回的信息是“Linux fedora 2.6.20-1.2962.fc6 ”，Linux内核是2.6.20的。
在提权时，要用到gcc进行编译，刺探一下系统有没有安装，执行命令，
#gcc –help
发现可以运行gcc,并且系统管理员没对使用shell和gcc进行限制，在也是个安全缺失。
在寻找本地提权利用程序时，通常是根据系统版本来进行，应用程序的本地提权也是一样的。
在网上就有可供查询的网站，比
如/网站如图：
发现可利用的漏洞还真不少。
本地提权是需要个交互式的shell的。
在本机监听端口如下：
利用WebShell自带的反弹功能直接连接本地的12345端口并返回shell如图：
连接成功后，就能得到一个apache用户的shell
，但有时如果不能交互时，可以直接执行，
# python –c ‘impotr pty;pty.spawn(“/bin/sh”);’
来得到交互的Shell,一般的系统都默认安装python
如图：
提示成功了，可以新建个目录用来存放提权的工具。
在Linux提权大致可分为，第三方软件漏洞、本地信任特性、内核溢出等，比较常用的溢出率高的，当属内核了。
用Wget下载溢出源码，用到的漏洞是Linux vmsplice Local Root Exploit
，成功率蛮高的，gcc编译，执行，如图：
成功获取root权限，在选择溢出利用程序时，有时需要进行多次测试。
什么是Sniffer，sniffer是利用截获目的的计算机通信，通过分析截获的数据，提取敏感信息的工具。
但其通过什么方法来截获数据呢？在
此 之前得解释一下arp（Address Rrsolution Protocol）协议,即地址解析协议，它位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。
它靠维持在内存中保存的一 张表来使IP得以在网络上被目标机器应答。
在数据传送时，IP包里就有源IP地址、源MAC地址、目标IP地址，如果在ARP表中有相对应的MAC地点， 那么根据最优选择法，直接访问，如果，没有对应的地址，就要广播出去，在网内寻找对应的地址，如果对方的IP地址和发出的目标IP地址相同，那么对方会发 送MAC地址给源主机，，而此时，如果攻击者也接听到发送的IP地址，它就会仿冒目标主机的IP地址，然后返回自己的主机的MAC地址给源主机，因为源主 机发送的IP包没有包括目标主机的MAC地址，
而ARP表里面又没有目标IP和目标MAC地址的对应表，就会接受攻击者的MAC而选择与其通信，所以就此 产生了ARP欺骗。
在系统刚启动时，可以在DOS下输入命令“arp -a”来查看本机arp缓存表的内容，如图：
我们来与IP192.168.0.5进行通信，通信后arp缓存表就会有这样一条MAC地址和IP对应的记录。
如图：
在本机多了条缓存中的IP和MAC的对应纪录。
Dsniff是一个著名的网络嗅探工具包，其开发者是Dug Song，其开发的本意是用来揭示网络通信的不安全性，方便网络管理员对自己网络的审计，当然也包括渗透测试，其安装包里某此工具，充分揭示了协议的不安 全性。
作为一个工具集，Dsniff包括的工具大致分为四类：
一、纯粹被动地进行网络活动监视的工具，包括：dsniff、filesnarf、mailsnaf、msgsnarf、urlsnarf、webspy
二、针对SSH和SSL的MITM“攻击”工具，包括sshmitm和webmitm
三、发起主动欺骗的工具，包括：arpspoof、dnsspof、macof
四、其它工具，包括tcpkill、tcpnice
Dsniff的官方下载：/~dugsong/dsniff/ 这个是源码包，解压后可以看下README,提示需要五个软件的支
持：openssl、Berkeley_db、libnet、libpca、libnids
下载地址如下：
Berkeley_db: /technology/software/products/berkeley-db/index.html
libpcap: /release/libpcap-1.0.0.tar.gz
ftp:///linux/epel/5/i386/dsniff-2.4-0.3.b1.el5.i386.rpm
ftp:///linux/epel/5/i386/libnet-1.1.4-1.el5.i386.rpm
ftp:///linux/epel/5/i386/libnids-1.23-1.el5.i386.rpm
系统一般默认都有安装openssl、libpcap。
?
一、 Tar包安装
如果下载的是源包，文件如下：openssl-0.9.7i.tar.gz、libnids-1.18.tar.gz、libpcap-0.7.2.tar.gz、libnet-
1.0.2a.tar.gz、Berkeley db-4.7.25.tar.gz
a) 安装openssl
用tar解压软件包手，执行三条命令
#./config
#make
#make install
b) 安装libpcap
#./config
#make
#make install
c) 安装libnet
#./config
#make
#make install
d) 安装libnids
程序安装好后，先查看一下网卡信息，然后开启服务器IP 转发，命令如下：# echo "1" > /proc/sys/net/ipv4/ip_forward
先来双向欺骗，用到arpspoof ，其命令是：#arp –t 网关 欺骗主机IP 如图：
arpspoof 已经开始工作了，可以用tcpdump 查看一下被攻击主机是否有数据经过
命令如下：#tcpdump –I eth0 host 61.67.x.115
如图：
#./config #make #make install e) 安装libnids #./config #make #make install f) 安装Berkeley DB #.cd build_unix #../dist/configure #make #make install g) 安装dsniff #./configure #make #make install。
常见的攻击类型
常见的攻击类型
常见的攻击方式包括端口扫描、嗅探、种植木马、传播病毒等。 1. 端口扫描 在网络技术中，端口（Port）通常有两种含义，一是物理意义上的端口，即调制解
调器、网络集线器、交换机、路由器中用于连接其他网络设备的接口，如RJ-45 端口、SC端口等；二是逻辑意义上的端口，即指TCP/IP协议中的端口，用于承载 特定的网络服务，其编号的范围为0～65535，例如，用于承载Web服务的是80 端口，用于承载FTP服务的是21端口和20端口等。在网络技术中，每个端口承载 的网络服务是特定的，因此可以根据端口的开放情况来判断当前系统中开启的服 务。
➢ 发现一个主机或网络的能力。 ➢ 发现远程主机后，有获取该主机正在运行的服务的能力。 ➢ 通过测试远程主机上正在运行的服务，发现漏洞的能力。
常见的攻击类型
2. 嗅探 嗅探技术是一种重要的网络安全攻防技术，攻击者可以通过嗅
探技术以非常隐蔽的方式攫取网络中的大量敏感信息，与 主动扫描相比，嗅探更加难以被发觉，也更加容易操作和 实现。对于网络管理员来说，借助嗅探技术可以对网络活 动进行实时监控，发现网络中的各种攻击行为。 嗅探操作的成功实施是因为以太网的共享式特性决定的。由于 以太网是基于广播方式传输数据的，所有的物理信号都会 被传送到每一个网络主机结点，而且以太网中的主机网卡 允许设置成混杂接收模式，在这种模式下，无论监听到的 数据帧的目的地址如何，网卡都可以予以接收。更重要的 是，在TCP/IP协议栈中网络信息的传递大多是以明文传输的， 这些信息中往往包含了大量的敏感信息，比如邮箱、FTP或 telnet的账号和口令等，因此使用嗅探的方法可以获取这些 敏感信息。
常见的攻击类型
1）蠕虫（worm）病毒 1988年Morris蠕虫爆发后，Eugene H. Spafford给出了蠕虫的
Kali Linux网络扫描教程第一章
大家学习之前，可以致信到 xxxxxxxxx，获取相关的资料和软件。如果大家在学习过程遇到问题， 也可以将问题发送到该邮箱。我们尽可能给大家解决。
——大学霸
Kali Linux 网络扫描教程（内部资料）—— 版权所有
目录
第 1 章 网络扫描概述 ............................................................................................................................... 4 1.1 什么是网络扫描 .......................................................................................................................... 4 1.1.1 网络构成 ........................................................................................................................... 4 1.1.2 网络扫描流程 ................................................................................................................... 4 1.1.3 法律边界 ........................................................................................................................... 6 1.2 本书网络环境 .............................................................................................................................. 6 1.3 安装 Kali Linux 操作系统........................................................................................................... 7 1.3.1 安装 Kali Linux................................................................................................................. 7 1.3.2 安装 VMware tools ......................................................................................................... 23 1.4 安装 Metasploitable2 操作系统................................................................................................. 24 1.5 安装其他所需的工具 ................................................................................................................ 26 1.5.1 安装及配置 Nessus......................................................................................................... 26 1.5.2 使用及配置 SSH 工具 .................................................................................................... 35 1.5.3 配置 Burp Suite 工具 ...................................................................................................... 37 1.5.4 使用文本编辑器（VIM 和 Nano） ............................................................................... 40
2020年度kali使用手册
2020年度kali使用手册随着网络安全问题日益严峻，对于网络渗透测试和攻防技术的需求也日益增长。
Kali Linux作为一款专业的渗透测试和安全审计操作系统，一直备受广大安全从业人员和爱好者的青睐。
2020年，Kali Linux也迎来了新的版本和更新，为了更好地适应当下的网络安全形势，Kali Linux 2020年度使用手册也需要做出相应的调整和更新。
在本文中，我将为大家详细介绍2020年度Kali使用手册的相关内容，以及我个人对于Kali Linux的一些观点和理解。
1. Kali Linux 2020年度更新在2020年，Kali Linux经历了一系列的更新和改进。
主要包括对系统内核和软件包的升级、用户界面的优化、新工具的添加等方面。
这些更新使得Kali Linux在渗透测试、漏洞利用、无线攻击等方面有了更强大的能力和更好的用户体验。
2. Kali Linux的基础使用对于初学者来说，Kali Linux的基础使用是至关重要的。
本部分将围绕Kali Linux的安装、基本命令、文件操作等内容展开，帮助读者快速上手Kali Linux，并对其有一个清晰的认识。
3. Kali Linux的网络安全工具Kali Linux作为一个网络安全评估的评台，拥有众多强大的网络安全工具。
在这一部分，我将逐一介绍Kali Linux中常用的渗透测试工具、网络嗅探工具、密码破解工具等，以及它们的基本使用方法和常见场景。
4. Kali Linux的实战应用理论知识是学习的基础，但实战经验同样重要。
在这一部分，我会结合实际案例，向读者展示Kali Linux在渗透测试、无线攻击、漏洞利用等方面的具体应用，让读者更好地掌握相关技术和方法。
5. 个人观点与总结作为一名网络安全爱好者，我个人对Kali Linux有着浓厚的兴趣。
我认为Kali Linux不仅是一款优秀的渗透测试工具，更是一个开放、活跃的社区。
我鼓励大家在使用Kali Linux的多参与社区讨论，共享经验和技巧，共同推动网络安全技术的发展。
ettercap 使用
ettercap 使用一、什么是ettercap？Ettercap是一款网络安全工具，它可以用于嗅探网络中的数据包并进行拦截和分析。
它支持多种协议，包括TCP、UDP、ICMP等，并且可以在不同的操作系统上使用，如Linux、Windows、Mac OS等。
Ettercap还提供了插件和脚本支持，可以方便地扩展其功能。
二、ettercap的功能1. 嗅探网络流量Ettercap可以嗅探网络流量，并对数据包进行分析和处理。
它支持多种协议，如TCP、UDP、ICMP等，并且可以捕获HTTP请求和响应。
2. ARP欺骗攻击Ettercap可以进行ARP欺骗攻击，即伪造ARP响应以欺骗目标主机将数据包发送到攻击者的计算机上。
3. 会话劫持Ettercap可以劫持会话，即在两个通信主机之间插入攻击者的计算机来监视和控制通信过程。
4. 密码嗅探Ettercap可以嗅探明文密码，并将其记录下来。
这对于渗透测试和安全审计非常有用。
5. DNS欺骗攻击Ettercap可以进行DNS欺骗攻击，即伪造DNS响应以欺骗目标主机将其流量发送到攻击者的计算机上。
三、ettercap的使用1. 安装EttercapEttercap可以在Linux、Windows和Mac OS上安装。
在Linux上，可以使用以下命令安装：sudo apt-get install ettercap-graphical在Windows上，可以从Ettercap官方网站下载最新版本的安装程序。
2. 启动Ettercap在Linux上，可以使用以下命令启动Ettercap：sudo ettercap -G这会启动Ettercap的图形用户界面。
在Windows上，可以双击Ettercap的图标来启动它。
3. 选择目标在Ettercap的图形用户界面中，单击“Sniff”菜单，并选择“Unified Sniffing”。
然后选择要嗅探的网络接口，并单击“OK”。
Kali Linux 无线渗透测试入门指南 中文版
3. 登录后探索入口中的不同设置，并找到和配置新 SSID 相关的设置。 4. 将 SSID 修改为 Wireless Lab 。取决于接入点，你可能需要重启它来改变设置。
7
第一章 配置无线环境
5. 与之相似，找到和 Wireless Security 相关的设置，将设置修改 为 Disable Security ， Disable Security 表明使用开放授权模式。 6. 保存接入点的修改，并按需重启。现在你的接入点的 SSID 应该为 Wireless Lab 。 验证它的好方法就是使用 Windows 上的无线配置工具，并使用 Windows 笔记本观察可用的 网络。你应该能找到 Wireless Lab ，作为列表的网络之一。
Q1 在输入命令 ifconfig wlan0 之后，如何验证无线网卡是否正常工作？ Q2 我们是否能够使用 Kali Live CD 执行所哟硟？我们能不能不将 CD 安装到硬盘上？ Q3 命令 arp -a 展示了什么？ Q4 我们在 Kali 中应该使用哪个工具来连接到 WPA/WPA2 网络？
1.4 连接到接入点
现在我们看一看如何使用无线适配器连接到接入点。我们的接入点的 SSID 是 Wireless Lab ，并没有使用任何身份验证。
实战时间 -- 配置你的网卡
下面我们开始。遵循这些步骤来将你的网卡连接到接入点。 1. 让我们首先看看我们的适配器当前检测到的无线网络是什么。输入命令 iwlist wlan0 来 扫描，你会发现你附近的网络列表。
8
第一章 配置无线环境
刚刚发生了什么？
我们已经成功将接入点 SSID 设置为 Wireless Lab 。它会发出广播，并被 Windows 笔记本以 及广播频段范围内的其它设备捕获到。 要记住，我们将接入点配置为开放模式，这是最不安全的，建议你不要连接这种接入点来上 网，因为任何 RF 范围内的人都能够使用它来联网。
借助sniffer诊断linu网络故障
借助sniffer诊断Linux网络故障嗅探器(sniffer)在网络安全领域是一把双刃剑，一方面常被黑客作为网络攻击工具，从而造成密码被盗、敏感数据被窃等安全事件；另一方面又在协助网络管理员监测网络状况、诊断网络故障、排除网络隐患等方面有着不可替代的作用。
嗅探器是企业必不可少的网络管理工具。
本文以Linux平台下三个常用的网络嗅探器Tcpdump、Ethereal和EtherApe为例，介绍如何借助sniffer来诊断网络故障，从而保障网络高效安全地运行。
简介嗅探器(sniffer)又称为包嗅探器，是用来截获计算机网络通信数据的软件或硬件。
与电话电路不同，计算机网络是共享通信通道的，从而意味着每台计算机都可能接收到发送给其它计算机的信息，捕获在网络中传输的数据信息通常被称为监听(sniffing)。
嗅探器常常作为一种收集网络中特定数据的有效方法，是利用计算机的网络接口截获目的地为其它计算机数据报文的一种工具。
嗅探器工作在网络环境中的底层，可以拦截所有正在网络上传送的数据，从而成为网络安全的一个巨大威胁。
通过对网络进行嗅探，一些恶意用户能够很容易地窃取到绝密文档和敏感数据，因此嗅探器经常被黑客当作网络攻击的一种基本手段。
任何工具都有弊有利，嗅探器既可以作为黑客获得非法数据的手段，但同时对网络管理员来讲又是致关重要的。
通过嗅探器，管理员可以诊断出网络中大量的不可见模糊问题。
这些问题通常会涉及到多台计算机之间的异常通信，而且可能会牵涉到多种通信协议。
借助嗅探器，管理员还可以很方便地确定出哪些通信量属于某个特定的网络协议、占主要通信量的主机是哪台、各次通讯的目标是哪台主机、报文发送占用多少时间、各主机间报文传递的间隔时间等。
这些信息为管理员判断网络问题及优化网络性能，提供了十分宝贵的信息。
作为一种发展比较成熟的技术，嗅探器在协助监测网络数据传输、排除网络故障等方面有着不可替代的作用，倍受网络管理员的青睐。
linux嗅探工具Dsniff详解
linux嗅探工具Dsniff详解Dsniff是一个著名的网络嗅探工具包。
其开发者Dug Song早在1999年12月，以密歇根大学CITI研究室（Center for Information Technology Integration）的研究成果为基础，开发了这个后来具有很大影响力的网络安全工具包。
Dug Song开发Dsniff的本意是揭示网络通信的不安全性，借助这个工具包，网络管理员可以对自己的网络进行审计，也包括渗透测试。
但万事总有其两面性，Dsniff所带来的负面作用也是“巨大”的，首先它是可以自由获取的，任何拥有这个工具包的人都可能做“非正当”的事，其次，Dsniff里面的某些工具，充分揭示了一些安全协议的“不安全性”，例如针对SSH1和SSL的MITM（Man-In-The-Middle）攻击工具—SSHmitm和Webmitm。
SSH1和SSL都是建立网络通信加密通道的机制，向来被认为是很安全的，但人们在具体使用时，往往因为方便性上的考虑而忽视了某些环节，造成实事上的不安全。
所以说，最大的不安全性，往往并不在于对安全的一无所知，而在于过于相信自己的安全。
Dub Song在2000年12月发布了Dsniff的v2.3版本，该版本支持OpenBSD、Linux、Solaris 系统平台。
目前，最新版本是2001年3月发布的v2.4b1的Beta版。
Dsniff的下载网址：/~dugsong/dsniff/除了针对Unix系统的版本，从网上也可以得到Windows平台上运行的Dsniff早期版dsniff工具介绍纯粹被动地进行网络活动监视的工具，包括：dsniff、filesnarf、mailsnarf、msgsnarf、urlsnarf、webspy针对SSH和SSL的MITM（Man-In-The-Middle）“攻击”工具，包括sshmitm和webmitm 发起主动欺骗的工具，包括：arpspoof、dnsspoof、macof其它工具，包括tcpkill、tcpnicedsniffdsniff是一个密码侦测工具，他能够自动分析端口上收到的某些协议的数据包，并获取相应的密码。
基于windows 和linux 操作系统安全漏洞分析
基于windows 和linux 操作系统安全漏洞分析作者：梁世一来源：《中国新通信》 2018年第23期引言：科技在飞速发展，大数据正在向我们昂首阔步而来，如今我们正处在互联网+ 的大数据时代，各行行业的数据分析、处理都离不开操作系统的支持，Linux 与Windows系统是目前较为主流的两大操作系统。
其中windows 是由微软公司开发的。
它具有极为简便的视窗操作系统，同时具有优良的操作性和安全性，因此成为世界上使用最广的操作系统。
而linux 作为不受版权限制的操作系统，可被自由使用。
它以其高安全性、高稳定性著称，因此常被用作基础服务器方面。
近些年来，硬件性能不断提升，操作系统也随之更新换代，在更新换代的同时，操作系统也面临着各式各样的安全问题，攻击手段也越来越多种多样，随着技术的不断进步，越来越多的操作系统漏洞被发现和利用，解决这些安全问题已经迫在眉睫，针对这些安全漏洞和攻击手段，我们提出一些合理的解决方案或者设想并对现有的操作系统安全机制给出合理的分析比较。
一、攻击手段和方式1.1windows 攻击手段和方式1.1.1 漏洞漏洞是指硬件软件上的缺陷，或是设计人员在设计软硬件及实行过程中的缺陷，也称为“bug”。
非法用户可以利用漏洞入侵计算机提高其权限或获得额外权限, 从而破坏系统的正常运行。
漏洞本身并不会对计算机系统造成伤害，它产生的原因主要有以下几种：? 程序员设计的程序逻辑不合理。
? 程序员失误而造成的漏洞，如缓冲区溢出。
? 计算机网路开放式协议中存在的漏洞。
? 人为原因造成的漏洞。
在windows 系统中，漏洞还是相对较多的，由于windows 的源代码是闭源的，相对于linux 开源的源代码来说，闭源的windows 系统的修改与风险会较大一些，漏洞的出现也是正常的。
用户可以通过在其官网下载补丁或通过第三方软件，如360°安全卫士等来堵住漏洞维护计算机安全1.1.2 嗅探嗅探技术是基于以太网中的共享式特性的网络安全技术，攻击者通常可以通过嗅探技术来窃取网络中的重要信息。
Linux下的入侵检测选择
第19卷第4期湖南文理学院学报（自然科学版）Vol.19No.4 2007年12月J ournal of Hunan University of Arts and Science(Natural Science Edition)Dec.2007文章编号：1672-6146(2007)04-0080-03Linux下的入侵检测选择李博1,李擘2(1.湖南财经高等专科学校信息管理系,湖南长沙410000；2.湖南长沙电信公司,湖南长沙410000)摘要：介绍了入侵检测系统的定义和作用，对现有入侵检测方法和算法进行了分析和选择.主要研究了Linux环境下的入侵检测系统的属性和开发方法，并针对实际情况下的系统开发进行了分析选择.关键词：入侵检测；LIDS；Snort；portsentry中图分类号：TN911文献标识码：A计算机网络在现代生活和工作中的作用越来越重要,人们越来越依赖网络.并且，面对不段“更新”的漏洞和攻击技术，网络数据安全正在寻找一个能最大限度提高数据准确性、可靠性和效率的完整防御体系.而入侵检测系统通过动态探查网络内的异常情况,及时发出警报,有效的弥补了其他静态防御工具的不足，完全改变了传统网络安全防护体系被动防守的局面.而且其可视化的安全管理，使网络管理员一目了然并迅速做出处理.目前,随着越来越多的主机使用Linux系统,Linux系统的安全问题日益成为研究的热点和人们关注的焦点.1入侵检测系统概述入侵检测是指监视或者在可能的情况下，阻止入侵或者试图控制系统或者网络资源的努力.入侵检测技术IDS是一种主动保护自己免受攻击的一种网络安全技术.作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、攻击识别和响应)[1]，提高了信息安全基础结构的完整性.一般来说，入侵检测系统可分为基于主机的入侵检测(HIDS)和基于网络的入侵检测系统(NIDS).主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段(如监督系统调用)从所在的主机收集信息进行分析.主机型入侵检测系统保护的一般是所在的系统.网络型入侵检测系统的数据源则是网络上的数据包往往将一台机子的网卡设于混杂模式()[],监听所有本网段内的数据包并进行判断.一般网络型入侵检测系统担负着保护整个网段的任务.从技术上，入侵检测分为两类：一种基于误用(misuse-based),另一种基于异常情况(anomaly-based) [3].对于基于误用的检测技术来说，首先要定义违背安全策略的事件的特征，如网络数据包的某些头信息.检测主要判别这类特征是否在所收集到的数据中出现.而基于异常的检测技术则是先定义一组系统“正常”情况的数值，如CPU利用率、内存利用率、文件校验等.然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象.这种检测方式的核心在于如何定义所谓的“正常”情况.对这两种检测方法进行分析对比：首先异常检测难于定量分析，“正常”情况的界定有一种固有的不确定性.而误用检测会遵循定义好的模式，能通过对审计记录信息做模式匹配来检测，缺点是只能检测已知的入侵方式.所以这两类检测机制都不完美.就具体的检测方法来说，每种方法都有自己的优势，但都不能包治百病，所以对入侵检测方法的研究还需要继续深入.我们在这里选择基于规则的入侵检测方法，这样有利于减少系统开发的理论瓶颈，充分利用现有资源，提高开发效率.2linux系统安全性的介绍Linux操作系统是一套开放的多人多工的Unix-like操作系统,它本身稳定性强,具有多工能力和超强的网络功能,以及容易建构网络sever的特点,使得越来越多的部门或个人选择Linux构建主机.Linux开放的源代码为实现Linux主机安全系统提供了极大的方便——能够获得系统调用的充分信息.可以通过修改主机系统函数库中的相关系统调用,引入安全控制机制,从而将防火墙对于网络信息的处理和操作系统中用户使用资源的访问控制紧密结合起来,让防火墙模块和操作系统配合起来协. promise mode2第4期李博,李擘Linux下的入侵检测选择81同工作,从而对主机进行更为完善的保护.对系统，最严重的攻击都是Linux利用系统的安全漏洞而获得超级用户权限从而达到控制root系统的目的.我们知道，系统调用是内核(system-call) Linux用来向用户提供服务的唯一途径.黑客们利用系统的漏洞侵入以后,通常都是通过非法执行一些敏感的系统调用来完成攻击.由于系统的Linux 代码都是公开的，我们就可以基于公开的内核代码来截获系统调用，并根据设定的规则来检验系统调用是否是恶意的，起到入侵检测和防范的功能.随着Internet上Linux主机的增加,越来越多的安全漏洞在当前的GNU/Linux系统上发现.因为Linux 是一个开放代码的系统,黑客就会很容易的攻击这个系统，取得root权限，在现有的GNU/Linux下，他就可以做任何他想做的事情.然而在Linux系统中，用户和内核的交互是通过系统调用来完成的，与之对应的是，大多数对系统的攻击最终也是通过非法执行Linux系统调用来达到目的.所以通过监控系统调用，阻止非法的系统调用，则可以检测并阻止大多数入侵行为，达到了保护系统的作用.3Linux系统下入侵检测的主要方法基于内核的入侵检测:例如LIDS,主要思路是内核中实现了参考监听模式以及强制访问控制(Mandatory Access Control)模式[4].即使你获得了root的权限,一些重要文件和操作还是受限的.实现的主要功能有:保护硬盘上任何类型的重要文件和目录，如/bin、/sbin、/usr/bin、/usr/sbin、/etc/rc.d 等目录和其下的文件，以及系统中的敏感文件，如passwd和shadow文件，防止未被授权者(包括Root)和未被授权的程序进入，任何人包括Root都无法改变，文件可以隐藏.保护重要进程不被终止，任何人包括root也不能杀死进程，而且可以隐藏特定的进程.防止非法程序的RAW IO操作，保护硬盘，包括MBR保护等等.集成在内核中的端口扫描器，LIDS能检测到扫描并报告系统管理员.LIDS还可以检测到系统上任何违反规则的进程.来自内核的安全警告，当有人违反规则时，LIDS会在控制台显示警告信息，将非法的活动细节记录到受LIDS保护的系统log文件中.LIDS还可以将log信息发到你的信箱中.LIDS还可以马上关闭与用户的会话.总的来说,LIDS实现了保护、响应、检测的功能,从而使L x中的内核安全模式得以实现基于网络的入侵检测例如S,S是一个基于libpcap的数据包嗅探器,并可以作为一个轻量级的网络入侵检测系统(NIDS).Snort作为其典型范例,首先可以运行在多种操作系统平台,例如UNIX系列和Windows9X.与很多商业产品相比,它对操作系统的依赖性比较低;其次用户可以根据自己的需要在短时间内调整检测策略.就检测攻击的种类来说,据最新数据表明Snort共有21类1271条检测规则,其中包括对缓冲区溢出,端口扫描和CGI攻击等.Snort作为开源软件填补了只有商业入侵检测系统的空白,可以帮助中小网络的系统管理员有效地监视网络流量和检测入侵行为.主要思路是采用基于规则的网络信息搜索机制,对数据包进行内容的模式匹配,从中发现入侵和探测行为.其实现的主要功能有:完成实时流量分析和对网络上的ip包登录进行测试,能完成协议分析,内容查找匹配,能用来探测多种攻击和嗅探.总的来说, snort是一个强大的轻量级的网络入侵检测系统,具有很好的扩展性和可移植性.是一个高性能的入侵检测系统,适用于大中小型网络,尤其适用一些无力承受大型商业入侵检测系统高昂费用中小型公司.因为现在以太网业务的普及，我们在Linux下选择了开发一个基于网络的入侵检测系统进行实验分析.端口扫描入侵检测:例如portsentry.一个端口就是一个潜在的通信通道，也就是一个入侵通道.对目标计算机进行端口扫描，能得到许多有用的信息.进行扫描的方法很多，可以是手工进行扫描，也可以用端口扫描软件进行.主要思路是:利用监控tcp/udp端口的工具,以daemon的形式运行在被保护的机器上,运行期间,它会监听指定的tcp/udp 端口,portsentry监控的端口活动都会被报告并可设置某些参数,如果检测到一个端口扫描行为,它就会根据对方的ip地址,对其采取相应的防护措施.系统日志检测:例如logcheck,是一种基于主机的日志检测系统.主要思路,利用日志检测系统,自动检查日志文件,以发现安全入侵和不正常的活动.用logtail程序来记录读到的日志文件的位置,下一次运行时从记录位置开始处理新的信息.从而文件中的异常消息通常表示一些黑客正在尝试入侵或是正在侵入系统.文件完整性检查:例如tripwire,主要思路是检查计算机中自上次检查后的文件变化情况,在一定程度上可以检测到系统的入侵行为是完整性检查中最全面的工具,有一套有关数据和网络完inu.:nort nort.tripwire82湖南文理学院学报（自然科学版）2007年整性保护的工具.完成的主要功能有检测和报告系统中任意文件被改动、增加、删除的详细情况,可以用于入侵检测,损失的评估和恢复,证据保存等多个用途.4当前流行的入侵检测算法人工免疫算法[5]：随着人类对生命体研究的进一步深入,很多生命体中的规则都被运用到计算机以及其他相关学科上来,演化计算、人工免疫系统就是其中的一部分.基于的主要思路在于，人体的免疫系统是一个复杂的，综合的分布式系统.具有对自我和非我细胞的识别能力，而且对已识别过的入侵细胞具有记忆能力，当再次遇到的时候会以平时若干倍的速率识别并且杀死它.联系到相似性，可将原理使用到入侵检测中去.人体免疫系统归根结底是进行“自我”和“非我”的识别.基于协议分析：目前的入侵检测大多基于简单模式匹配.由于匹配的进行，算法的计算量是巨大的，而且有着高的漏报率与误报率.简单的协议分析基于将数据看作不同字节的随机数据流，而实际上包的字节是按一定规则组织的.我们可以基于已知包的结构，根据相应位置信息的分析，从而截取可能是攻击行为的特征码进行比较，这样大大减轻计算量，避免了对内容比较产生的误报，称为协议分析.协议技术比较适合初期的入侵检测系统的开发，而且技术成熟，应用广泛，所以我们选择了这个入侵检测技术进行分析研究.数据挖掘技术:操作系统的日益复杂和网络数据流量的急剧增加，导致了审计数据以惊人速度剧增，如何在海量的审计数据中提取出具有代表性的系统特征模式，以对程序和用户行为做出更精确的描述，是实现入侵检测的关键.生物检测技术:入侵检测系统与生物检测技术存在许多相似之处.我们在生物技术中常常用到DNA序列的问题,DNA的排列方式是对生物个体有很重要的作用,由此生物技术产生了DNA序列的比对模型和方法.生物检测入侵检测系统,其思路来自于DNA的比对模型,即通过对2个DNA序列的比对从而就序列的相似性给出一个分值,由分值来估定序列的相似性.我们在具体的入侵检测中可以运用半全局算法(Semi-global alignments)来进一步优化比对算法,从而可以实现待测序列与已知序列的检测神经网络技术神经网络技术在入侵检测中研究的时间较长，并在不断发展.早期的研究通过训练向后传播神经网络来识别已知的网络入侵，进一步研究识别未知的网络入侵行为.今天的神经网络技术已经具备相当强的攻击模式分析能力，它能够较好地处理带噪声的数据，而且分析速度很快，可以用于实时分析.现在提出了各种其他的神经网络架构诸如自组织特征映射网络等，以期克服后向传播网络的若干限制性缺陷.5linux系统下入侵检测选择最后选择在Linux开发的入侵检测系统机构如下：数据采集模块：通过利用以太网的广播特性监听网络数据包，然后用libpcap进行数据捕获，并选择了libnids函数库进行采集数据帧的协议分析，分离数据流，为进一步分析处理做准备.数据分析模块：因为选择了误用作为入侵检测的方法，所以建立一个确定的入侵规则库是关键.在系统中，采用了Snort方法进行入侵扫描，简单高效.告警箱设置：体现入侵行为，发出告警信息，比较简单.参考文献：[1]张杰,戴英侠.入侵检测系统技术现状及其发展趋势[J].计算机与通信,2002,6:28-32.[2]赵旦峰.基于Linux系统局域网混杂模式网卡的检测与应用[J].应用科技,2005(3):1-2.[3]李旺.分布式网络入侵检测系统NetNumen的设计与实现[J].软件学报,2002,13(8):1723-1728.[4]陈远,周朴雄.Linux下主机入侵检测系统的研究[J].计算机系统应用,2002(4):24-27.[5]葛丽娜，钟城.基于人工免疫入侵检测检测器生成算法[J].计算机工程与应用,2005,23:149-152.The Attribute of the Invasion ExaminationSystem under the LinuxLI Bo1,LI Bo2(1.Hunan Financial College,Changsha,Hunan,41000;2.Changsha Telecom Comporation,Changsha,Hunan,41000)T y x ,I y(下转第5页).:Abstract:his article simpl introduces the invasion e amina-tion the invasion method and the invasion arithmetic.t mainl8第4期张晓丹,肖晓强椭圆曲线密码的一种合适的对算法85l个点加运算.用五元联合稀疏形式表示代替三元联合稀疏形式表示，快速Shamir算法能够减少(0.5-0.387)l个点加运算，即0.11lI+0.23lM个基域运算，而预计算需要12I+24M个基域运算，所以快速Shamir算法总共可以减少(0.11l-12)I+(0.23l-24)M个基域运算.若192=l，大约可以减少10I+20M个基域运算.表2不同的j出现的概率jρ位置j概率00.75010.43880.399160.3871280.3871600.3871920.3872240.3872560.3872结论本文分析了椭圆曲线点群标量乘法对的计算思路，然后给出一种新的计算标量乘法对的算法——五元联合稀疏形式表示的Shamir算法，该算法在同类算法中具有明显的优势.由于目前很多的椭圆曲线密码体制需要计算标量乘法对，所以本文的研究非常有必要.参考文献：[1]Gordon D M.A Survey of Fast Exponentiation Methods[J].Journal ofAlgorithms,2006,27:129-146.[2]Koyama K,Tsuruoka Y.Speeding up Elliptic Cryptosystemsby Using a Signed Binary Window Method.In:Brickell EF ed.Advance in Cryptology-Crypto’92.LNCS740[M].Berlin\Heidelberg:Springer-V erlag,1998.345-357.[3]Solinas A.Low-Weight Binary Representations for Pairs ofIntegers[J].Technical Report of National Security Agency, USA,2000.[4]ElGamal T.A Public-key Cryptosystem and a SignatureScheme Based on Discrete Logarithms[J].IEEE Transac-tions on Information Theory,1985,31:469-472.[5]Cohen H,Miyaji A,Ono T.Efficient Elliptic CurveExponentiation Using Mixed Coordinates.In:Ohta k,Per D eds[M].Advances in Cryptology-Asiacrypt’98.LNCS1514.Berlin\Heidelberg:Springer-V erlag,2004.51-65.A Fast Algorithm on Pair s for Elliptic Cur veCryptosystemsZHANG Xiao-dan1,XIAO Xiao-qiang2(1.Jishou University,Jishou,Hunan,416000;2.DefenceInstitute of Technology,Changsha,Hunan,410073)Abstract:In the application of Elliptic Curve Cryptography, the pairs of scalar multiplication calculation are required to perform.The pairs of scalar multiplication always use the three element joint sparse form.A fast Shamir-like algorithm is derived from five element joint sparse form,and its advantage over the three element joint sparse form is demonstrated.Key Words:elliptic curve cryptosystem;pair of scalar multip-lication;five element joint sparse form收稿日期：2007-06-25作者简介：张晓丹(1980-),男,助教,研究方向为计算机网络安全.(责任编校：刘刚毅) (上接第82页)studied the attribute of the invasion examination system under the Linux,and put for words the method to open up the inva-sion examination.Key words:invasion examination;LIDS;Snort;portsentry收稿日期：2007-07-08作者简介：李博(1980-),男,在职研究生,研究方向为信息技术.(责任编校：谭长贵)。
信息安全-网络扫描与嗅探实验报告
信息安全-网络扫描与嗅探实验报告信息安全网络扫描与嗅探实验报告一、实验目的本次实验的主要目的是深入了解网络扫描与嗅探技术的原理和应用，通过实际操作掌握相关工具的使用方法，提高对网络安全威胁的认识和防范能力。
二、实验环境1、操作系统：Windows 102、网络扫描工具：Nmap3、嗅探工具：Wireshark三、实验原理（一）网络扫描网络扫描是指通过向目标主机发送特定的数据包，并分析响应来获取目标主机的相关信息，如开放的端口、服务、操作系统类型等。
常见的网络扫描技术包括端口扫描、主机发现扫描、操作系统扫描等。
（二）嗅探网络嗅探是指通过捕获网络数据包来获取网络中的通信数据。
嗅探工具可以在网络接口上监听数据包，并对其进行分析和解码，以获取诸如用户名、密码、通信内容等敏感信息。
四、实验步骤（一）网络扫描实验1、打开 Nmap 工具，选择要扫描的目标 IP 地址或网段。
2、进行主机发现扫描，使用命令“nmap sn 目标网段”，确定网络中活动的主机。
3、进行端口扫描，使用命令“nmap p 端口范围目标主机”，获取目标主机开放的端口信息。
4、进行操作系统扫描，使用命令“nmap O 目标主机”，尝试确定目标主机的操作系统类型。
（二）网络嗅探实验1、打开 Wireshark 工具，选择要监听的网络接口。
2、开始捕获数据包，可以选择捕获特定协议或特定端口的数据包。
3、对捕获的数据包进行分析，查看数据包的源地址、目的地址、协议类型、数据内容等信息。
五、实验结果与分析（一）网络扫描结果1、主机发现扫描结果显示，网络中存在X台活动主机，其 IP 地址分别为具体 IP 地址。
2、端口扫描结果表明，目标主机开放了以下端口：端口号 1、端口号2……其中，端口号 1对应的服务为服务名称 1，端口号 2对应的服务为服务名称2……3、操作系统扫描结果推测目标主机的操作系统可能为操作系统名称。
（二）网络嗅探结果1、在捕获的数据包中，发现了大量的 TCP、UDP 和 ICMP 数据包。