目的

• 通過使用Wireshark軟體掌握Sniffer（嗅探器）工具的使用方法，實作捕捉HTTP等協議的資料包，以理解TCP/IP協議中多種協議的資料結構、通過實驗了解HTTP等協議明文傳輸的特性
• 研究交換環境下的網路嗅探實作及防范方法，研究并利用ARP協議的安全漏洞，通過Arpspoof實作ARP欺騙以捕獲內網其他用戶資料，
• 能利用BrupSuite實作網站登錄暴力破解獲得登錄密碼
• 能實作ZIP密碼破解，理解安全密碼的概念和設定

環境

• 系統環境：Kali Linux 2、Windows
• 網路環境：交換網路結構

工具

Arpspoof、WireShark、BurpSuite、fcrackzip（用于zip密碼破解）

網路Sniffing內容

原理請看我的另一篇文章喲
https://blog.csdn.net/Woolemon/article/details/109556164

Wireshark 監聽網路流量，抓包，

A（window）主機上外網，B(kaili)運行sinffer(Wireshark)選定只抓源為A的資料)，

1. 首先我們需要確認kali和Windows處于同一網段（可相互ping通的狀態)
2. 程序

• 接下來在kali中打開wireshark,用A(window)去ping B(kali),觀察一下wireshark的反應
  過濾陳述句：ip.scr==192.168.222.129(B的ip地址)
  
  發現不能看到A和外網的通信（A剛輸入的帳戶和口令）
• 再用A(window)ping 一下百度網址（www.baidu.com），觀察wireshark反映
  可觀察到三個DNS包(2次域名決議),和十二個ICMP包(6次ping)，兩個DHCP包，可通過報文分析獲得相應資訊
  如：打開DNS的包可看見：
  發現DNS為應用層協議,下層傳輸層采用UDP,再下層網路層是IP協議,然后是資料鏈路層的以太網幀.
  可以從下層獲得一些必要資訊:
  UDP(User Datagram Protocol)報文中:DNS的目的埠(Dst Port)
  IPv4(Internet Protocol Version 4)報文中目的IP

ARP欺騙： ArpSpoof，實施ARP欺騙

為了欺騙B，讓B把報文全部發到A這里來，A需要冒充局域網中交換機的角色，（此時B為Window主機）

1.安裝arpspoof

在安裝這個包的程序中可能會遇到一些坑，解決方案：

• 建議更換kali源，否則有可能出現找不到的情況
  1.kali中輸入sudo vim /etc/apt/sources.list 2.輸入 O,進入檔案 3.按i鍵進入編輯模式 4.將所換源代替原來的 5.按ESC鍵退出編輯模式 6.shift+;進入外部編輯，再按輸入qw保存并退出

• 安裝程序使用sudo apt-get install dsniff命令
  這里我們使用單向攻擊（受攻擊主機將資料發送到攻擊主機，并由攻擊主機轉發至網關，網關將資料發送至服務器，服務器回傳資料給網關，網關回傳資料給受攻擊主機）

• 首先確認kali的網關地址route -n和ip地址ifconfig，
  可見kali網關地址為：192.168.222.2 ip地址：192.168.222.129
  

• 查看在同一個局域網的另一個ip
  namp -v -sn 192.168.222.2(網關地址）/24
  
  發現一個ip,再去Window那里查看本身ip，發現是同一個，即成功

• 開啟埠轉發，允許本機像路由器那樣轉發資料包echo 1 > /proc/sys/net/ipv4/ip_forward

• ARP投毒，向主機B聲稱自己(攻擊者)就是網關
  arpspoof -i eth0 -t IP1 IP2(IP1是我攻擊目標ip、IP2是網關IP地址)
  ps:若找不到則重新安裝arpspoof再繼續以上步驟

• Window 命令提示符那輸入 arp -a：可看見ip已經改變，即欺騙成功
  前后對比圖：
  

2.在互聯網上找到任意一個以明文方式傳遞用戶帳號、密碼的網站，截圖Wireshark中顯示的明文資訊

已知某學校的教務系統以明文方式傳遞用戶賬號
1.在kali中打開wireshark
2.在Window打開瀏覽器并進入該教務系統
3.教務系統輸賬號、密碼和驗證碼
4.觀察wireshark中含POST的資料包

3.B是否能看到A和外網的通信

-不能，使用Window訪問一下某一網站并登錄，發現用wireshark抓不到剛輸入的帳戶和口令

FTP資料還原

利用WireShark打開實驗實驗資料data.pcapng，
1.把data放在虛擬機
2.將WireShark暫停再拉Data進來

1.查看FTP服務器的IP地址

在wireshark 中輸入ftp,便能在Source一欄看見
ip:192.168.182.1

2.查看客戶端登錄FTP服務器的賬號和密碼

任意點擊一條進行追蹤（右鍵-follow-TCP stream)
如圖可看見：
賬號：anonymous
密碼:moz111a@example.com

3.客戶端從FTP下載或查看了2個檔案，一個為ZIP檔案，一個為TXT檔案，檔案名分別是什么？

提示：檔案名有可能是中文，
1.wireshark輸入ftp-data
tcp.stream eq <> ：顯示某條TCP連接從建立到終結，回話雙方生成的所有資料包（比如：tcp.stream eq 0）
2.追蹤TCP stream
ps:當顯示為tcp.stream eq 0時，點擊追蹤可能找不到.這時可以手動改變后面引數再進行追蹤！
3.題目給出資訊：中文，所以當追蹤到時，需將ACSLL值轉為UTF-8：將 data 字串轉換為 UTF-8 編碼
得到如圖：

4.還原ZIP檔案并打開（ZIP有解壓密碼，試圖破解，提示：密碼全為數字，并為6位），

1.wireshark精確輸入（方便）：ftp-data和zip
的檔案頭（504B0304）如圖：

2.追蹤
以原始資料（raw）來另存檔案：將ACSII改為Raw

3.使用kali下的fcrakzip密碼破解工具，對zip進行破解
PS：zip是一種非常流行的壓縮格式，并且它提供了一個密碼保護的功能 ， 只有輸入正確的密碼才能解壓，

• 先在kali輸入sudo apt-get install fcrackzip進行安裝fcrackzip的工具
  

• 破解命令 ：
  1.輸入 cd和保存的zip所在路徑
  2.輸入fcrackzip -b -c1 -l 6 -u b.zip（b.zip是我的zip檔案名）
  
  b：使用暴力模式
  c1：使用純數字進行破解
  l：規定破解密碼長度/范圍
  u：使用unzip
  可見密碼為：123456，輸入就可以看見啦
  

5.查看TXT檔案的內容

1.在上一個內容的基礎上將后面的引數改一下，如：tcp.stream eq 4，便可以找到txt檔案
2.追蹤便可直接得到

MD5破解

SqlMap得到某資料庫用戶表資訊，用戶口令的MD5值為7282C5050CFE7DF5E09A33CA456B94AE

口令明文

可直接通過MD5加解密網站或者軟體，直接得到明文：

John the Ripper的作用

John the Ripper免費的開源軟體，是一個快速的密碼破解工具，用于在已知密文的情況下嘗試破解出明文的破解密碼軟體，支持大多數的加密演算法，如DES、MD4、MD5等，它支持多種不同型別的系統架構，包括Unix、Linux、Windows、DOS模式、BeOS和OpenVMS，主要目的是破解不夠牢固的Unix/Linux系統密碼，最新版本是John the Ripper 1.8.0版，針對Windows平臺的最新免費版為John the Ripper 1.7.9版，
特性：

• 用戶可以開始、暫停和繼續破解
• 支持所有輸入檔案格式
• 可以從session歷史中繼續破解
• 支持每種hash型別
• 幸運猜解功能
• 組態檔存在 .conf 檔案 (~/.john/johnny.conf),
• 支持英語和法語

如何防止ARP攻擊

1.做好本機防護

• 不瀏覽不安全網址，
  現在很多網站本身都有掛馬，瀏覽該網站就有“中標”的風險，因此對于不熟悉，不正規的網站要做到盡量不瀏覽！
• 及時修補系統漏洞，
  對于微軟修復系統漏洞，有好的一面也有壞的一面，每次微軟發布漏洞補丁都等于告訴人們系統存在哪些不安全的因素，如果你沒有及時修復漏洞，那么你就有可能成為被攻擊者！
• 安裝防火墻和殺毒軟體，
  很多人的電腦都在“裸奔”，不安裝殺毒軟體也不裝防火墻，這種情況是最容易被成功入侵的，因此建議把殺毒軟體和防火墻全部安裝并且定時更新殺毒，

2.使用路由器實作IP與MAC系結杜絕ARP攻擊

3.使用網管軟體進行IP與MAC系結

安全的密碼（口令）應遵循的原則

嚴禁使用空口令和與用戶名相同的口令；
不要選擇可以在任何字典或語言中找到的口令；
不要選擇簡單字母組成的口令；
不要選擇任何和個人資訊有關的口令；
不要選擇短于6個字符或僅包含字母或數字；
不要選擇作為口令范例公布的口令；
采取數字混合并且易于記憶，

字典攻擊中字典的重要性

在破解密碼或密鑰時，逐一嘗試用戶自定義詞典中的可能密碼(單詞或短語)的攻擊方式，與暴力破解的區別是，暴力破解會逐一嘗試所有可能的組合密碼，而字典式攻擊會使用一個預先定義好的單詞串列(可能的密碼)，

總結

• 自身要有良好的、積極的的學習意識，學會通過互聯網了解網路嗅探與身份認證的基本概念
• 平常要去積累關于kali和wireshark的一下基本操作，比如：kali更換新源的步驟是什么，按什么鍵能進入編輯模式等等
• 在自學的同時，學會多問和向一些同學、前輩交流，或許她（他）們的思想和方法更為通俗易懂、耳目一新
• 最后還是需要有規律性的寫題來鞏固和增加自己的知識庫