网络攻防技术概述与课程_课程5案例演示-分析NT系统破解攻击.pdf

《网络攻防技术概述与课程_课程5案例演示-分析NT系统破解攻击.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、北京大学《网络攻防技术与实践》课程讲义资料课程5案例演示：分析NT系统破解攻击北京大学《网络攻防技术与实践》课程讲义课程5案例演示－分析NT系统破解攻击Copyright(c)诸葛建伟，未经作者许可，请勿公开发布难度等级：中级案例分析挑战内容：2001年2月4日，来自213.116.251.162的攻击者成功攻陷了蜜罐主机172.16.1.106（主机名为：lab.wiretrip.net），这是一次非常典型的针对NT系统的攻击，而且我们有理由相信攻击者最终识别了蜜罐主机，因此这将是一个非常有趣的案例分析挑战。你的分析数据源只有包含

2、整个攻击过程的二进制记录文件，而你的任务就是从这个文件中提取并分析攻击的全部过程。问题：1．攻击者使用了什么破解工具进行攻击？2．攻击者如何使用这个破解工具进入并控制了系统？3．当攻击者获得系统的访问权后做了什么？4．我们如何防止这样的攻击？5．额外奖励问题：你觉得攻击者是否警觉了他的目标是一台蜜罐主机？如果是，为什么？待分析二进制文件位置：ftp://222.29.112.10/exercises/course5.zip。MD5=aca62e19ba49546d2bfd1fa1c71b5751提示使用工具：snortnstream

3、wireshark1北京大学《网络攻防技术与实践》课程讲义资料课程5案例演示：分析NT系统破解攻击分析过程：对待分析的网络日志文件进行完整性检验并解压缩。#md5sumcourse5_demo.zipaca62e19ba49546d2bfd1fa1c71b5751course5_demo.zip#unzipcourse5_demo.zip之后我们可以使用snort提供的功能在命令行查看网络日志文件中和主机213.116.251.162相关的数据包内容，但这3M多的数据包内容很难逐个分析。#snort-vdrsnort-0204@01

4、17.loghost213.116.251.162

5、more我们建议采用nstreams工具和snort提供的Session重组功能提取并逐个分析网络流会话内容。nstreams工具可以分析网络日志文件，给出识别的网络流会话双方IP地址、目标端口以及已知应用协议，这些结果提供了深入分析网络日志文件的一个高层描述和索引。#nstreams-fsnort-0204@0117.log>nstreams.txt1netbios-ns(udp)trafficbetween172.16.1.105and216.249.212.292netbio

6、s-ns(udp)trafficbetween172.16.1.105and216.103.237.463Unknowntcptrafficbetween61.9.26.51:1593and172.16.1.103:1114Unknowntcptrafficbetween172.16.1.103:111and61.9.26.51:15935Unknowntcptrafficbetween61.9.26.51:2910and172.16.1.108:1116Unknowntcptrafficbetween172.16.1.108:11

7、1and61.9.26.51:29107httptrafficbetween213.116.251.162and172.16.1.1068ftptrafficbetween172.16.1.106and204.42.253.189identtrafficbetween204.42.253.18and172.16.1.10610ftptrafficbetween172.16.1.106and213.116.251.16211Unknowntcptrafficbetween213.116.251.162:20and172.16.1.10

8、6:314312ftp-datatrafficbetween172.16.1.106and213.116.251.16213Unknowntcptrafficbetween213.116.251.162:20and172.16.1.106:314414Unknowntcptrafficbetween213.116.251.162:20and172.16.1.106:314515Unknowntcptrafficbetween213.116.251.162:1888and172.16.1.106:696916Unknowntcptra

9、fficbetween172.16.1.106:6969and213.116.251.162:188817netbios-ssn(tcp)trafficbetween213.116.251.162and172.16.1.10618ic