20253904 2025-2026-2 《网络攻防实践》第三周作业
part1 网络嗅探与协议分析
1. 实验环境
- 实验目的：
- 使用tcpdump开源软件对在本机上访问www.163.com网站过程进行嗅探，回答问题：你在访问www.tianya.cn网站首页时，浏览器将访问多少个Web服务器？他们的IP地址都是什么？
- 使用Wireshark开源软件对在本机上以TELNET方式登录BBS进行嗅探与协议分析，回答如下问题并给出操作过程:
- 你所登录的BBS服务器的IP地址与端口各是什么？
- TELNET协议是如何向服务器传送你输入的用户名及登录口令？
- 如何利用Wireshark分析嗅探的数据包，并从中获取你的用户名及登录口令？
- 取证分析实践，解码网络扫描器（listen.cap）
- 攻击主机的IP地址是什么？
- 网络扫描的目标IP地址是什么？
- 本次案例中是使用了哪个扫描工具发起这些端口扫描？你是如何确定的？
- 你所分析的日志文件中，攻击者使用了那种扫描方法，扫描的目标端口是什么，并描述其工作原理。
- 在蜜罐主机上哪些端口被发现是开放的？
- 攻击主机的操作系统是什么？
- 实验pc环境：
- 硬件环境：
- NVIDIA GeForce RTX 5070 Ti Laptop GPU
- AMD Ryzen 9 9955HX 16-Core Processor
- 软件环境：
- Windows 11 家庭中文版
- VMware Workstation 16.2.4
- kali-linux-2025.4
- 硬件环境：
2. 具体实验内容
使用tcpdump进行网络嗅探
首先通过ip -a查询本机ip
图2.1 本机ip地址查询
接下来输入sudo tcpdump -n src 192.168.200.6 and tcp port 80
图2.2 tcpdump指令
网页访问www.163.com，就可以查看网络嗅探的结果：
图2.3 嗅探部分结果
分析整理其中的web服务器，得到七个不同的web服务器ip地址，分别为：
- 34.107.221.82
- 114.250.69.34
- 119.188.172.239
- 106.63.24.37
- 27.221.107.222
- 23.11.39.161
- 60.9.5.124
wireshark对telnet协议进行分析
打开wireshark，选取对应网卡eth0，准备进行抓包分析。
打开命令行，输入luit -encoding gbk telnet bbs.byr.cn访问北京邮电大学的bbs论坛。
图2.4 北邮论坛页面
此时wireshark已经捕捉到多个流量包，此时可以看到BBS服务器对应的ip为211.68.71.66，对应的BBS服务器端口为23。
图2.5 部分流量包展示
TELNET 协议基于 TCP 传输，默认使用 23 号端口。该协议在传统使用方式下通常不对传输内容进行加密，用户输入的用户名和口令会以明文形式作为应用层数据封装在 TCP 报文中发送给服务器。因此，通过抓包分析可以直接观察到用户输入内容。
使用过滤器tcp.port == 23筛选出TELNET会话数据包，任选其中一个包，右键选择 follow - TCP Stream可以查看具体内容，其中可以看到登录BSS时输入的用户名guest。
图2.6 查看TCP流
图2.7 对应登录用户名
取证分析实践
先把学习通下载的listen.pcap弄到虚拟机上来，通过vmwaretools的共享文件夹实现，去网上搜了一下教程，按照下面操作来实现。
图2.8 开启共享文件夹
接下来安装一下p0f，通过下列指令安装
sudo apt-get update
sudo apt install p0f
安装好后通过sudo p0f -r /etc/snort/listen.pcap来进行分析，可以得到多项信息：
图2.9 p0f分析结果
从中可以看到攻击机ip、攻击机操作系统、扫描目标ip和扫描工具等信息。
接下来使用wireshark查看listen.pcap，通过ip.src == 172.31.4.188 && ip.dst == 172.31.4.178 && tcp.flags.syn == 1 && tcp.flags.ack == 1进行过滤，可以查看开放的端口：
图2.10 wireshark分析结果
可以看到其中开放了21，23，80，25，139，3306等多个接口。总结上述内容，可以得到如下结果：
| 题号 | 内容 | 结果 |
|---|---|---|
| 1 | 攻击主机 IP | 172.31.4.178 |
| 2 | 目标主机 IP | 172.31.4.188 |
| 3 | 扫描工具 | Nmap |
| 4 | 扫描方式 | TCP SYN 扫描（半开放扫描） |
| 5 | 扫描端口 | 21、22、23、25、53、80、139、445、3306、5432、8009、8180 |
| 6 | 开放端口 | 21、22、23、25、53、80、139、445、3306、5432、8009、8180 |
| 7 | 攻击主机系统 | Linux 2.6.x |
part 2 学习总结
1. 知识点总结
2. 学习中遇到的问题与解决
- 问题1：找不到共享文件夹。
- 问题1解决方案：先输入
sudo vmhgfs-fuse:/ /mnt/hgfs -o subtype=vmhgfs-fuse,allow_other，然后可以正常进行文件共享。 - 问题2：listen.pcap在wireshark中显示的条数太多，不方便查看。
- 问题2解决方案：使用
ip.src == 172.31.4.188 && ip.dst == 172.31.4.178 && tcp.flags.syn == 1 && tcp.flags.ack == 1进行过滤，之后再进行相关分析。
3. 学习感悟与思考
参考资料
- 诸葛建伟. 《网络攻防实践》电子教材第2章[M]. 清华大学, 2010.