linux系统开发实践-林坤章-105032012127

《linux系统开发实践-林坤章-105032012127》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、课程名称：Linux系统开发实践院系：数学与计算机科学学院专业：计算机科学与技术(信息安全方向)班　级：计本六班姓名：林坤章学号：105032012127指导教师：陈志德开课时间：2014至2015学年第1学期主题：Linux网络欺骗与分析目录一网络欺骗1arp欺骗2dns欺骗3网络钓鱼二检测分析1arp检测2dns检测3phishing检测4基于web日志数据检测分析5基于网络流量数据检测分析一网络欺骗1arp欺骗1原理：某机器A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP地址对应的MAC地址后，就会进行数据传输。如果未找到，则A广播一个ARP请求报文（携

2、带主机A的IP地址Ia——物理地址Pa），请求IP地址为Ib的主机B回答物理地址Pb。网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文。其中就包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存。接着使用这个MAC地址发送数据（由网卡附加MAC地址）。因此，本地高速缓存的这个ARP表是本地网络流通的基础，而且这个缓存是动态的。http://baike.baidu.com/link?url=GWbE_atXlKBhrmrk6FcerGbCd69dVJCmHwO0BG0GfAcwCa_4NvmvB76obhF

3、8hsRGYEsS4mJroBNOnC0r-mlsPK2演示环境：攻击主机kali(192.168.66.153)目标主机xp(192.168.66.141)kalixp用arpspoof欺骗Xp上的arp变为如图欺骗成功！！在这基础之上，黑客可以用wireshark,tcpdump的软件来进行cookies劫持等攻击。2dns欺骗1原理DNS欺骗就是攻击者冒充域名服务器的一种欺骗行为。原理：如果可以冒充域名服务器，然后把查询的IP地址设为攻击者的IP地址，这样的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这就是DNS欺骗的基本原理。2演示Arp

4、之后进行dns欺骗Kali运行Xp进行域名解析，www.baidu.comHYPERLINK"http://www.baidu.com指向了kali/"指向了HYPERLINK"http://www.baidu.com指向了kali/"kali的ipDns欺骗演示完毕！！！3网络钓鱼1原理：网络钓鱼（Phishing?，与钓鱼的英语fishing?发音相近，又名钓鱼法或钓鱼式攻击）是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号ID、ATMPIN码或信用卡详细信息）的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱

5、到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。它是“社会工程攻击”的一种形式。使用到的工具是set2演示请参考http://www.hackdig.com/?03/hack-2136.htm二检测分析1arp检测分析（1）抓包分析方法——使用抓包软件在局域网内抓ARP的reply包，以windump为例，使用windump-i2-narpandhost192.168.0.1（192.168.0.1是您的网关地址）抓下来的包我们只分析包含有reply字符的，格式如下：18:25:15.70

6、6335arpreply192.168.0.1is-at00:07:ec:e1:c8:c3如果最后的mac不是您网关的真实mac的话，那就说明有ARP欺骗存在，而这个mac就是那台进行ARP欺骗主机的mac。（2）三层交换机上查询ARP缓存表方法——登陆局域网的上联三层交换机，并查看交换机的ARP缓存表（各种品牌的交换机命令有差异）如果在ARP表中存在一个MAC对应多个端口（请注意是一个MAC对应多个端口，而不是一个端口上存在多个MAC）的情况，那么就表明存在ARP欺骗攻击，而这个MAC就是欺骗主机的MAC。2DNS欺骗检测分析检测思路：发生dns欺骗时，client端会

7、接受到两个以上的应答报文，且报文中有相同的ID序列号，一个是合法的，一个是非法的》这样我们就可以通过这两个ID来检测。（1）被动监听检测：检测所有DNS的请求和应答报文。通常DNS Server对一个请求查询仅仅发送一个应答数据报文(即使一个域名和多个IP有映射关系，此时多个关系在一个报文中回答)。因此在限定的时间段内一个请求如果会收到两个或以上的响应数据报文，则被怀疑遭受了DNS欺骗(2)主动试探检测。即主动发送验证包去检查是否有DNS欺骗存在。通常发送验证数据包接收不到应答，然而黑客为了在合法应答包抵达客户机之前就将欺骗信