協議攻擊（一）

1.IP源地址欺騙攻擊（dos攻擊）

原理

客戶端（kali）基于tcp第一次握手，給服務器端（centos）發送了大量標記位為SYN的包，
服務器端收到來自客戶端的syn包后，對源ip回傳標記位為syn_ack的包，這是第二次握手，
由于源ip是偽造的，所以回傳的syn_ack包發送不到正確的地方，更不要說得到回應了，所以服務器端一直是SYN-RCVD階段，

實驗環境

靶機：centos 7 192.168.0.120
攻擊機：kali linux 2020 192.168.0.118
網路拓撲環境：攻擊機和靶機處于同一內網，

步驟

攻擊機 偽造ip，發送包

netwox 52 -E "0:1:2:3:4:5" -I "114.114.114.114" -e "00:0c:29:83:36:d7" -i "192.168.0.120"

Netwox 52 使用netwox 的52號模塊進行IP源地址欺騙；
-E偽造的mac地址；
-I偽造的ip地址，這里將ip地址偽裝成114.114.114.114；
-e一些資料說是目標mac地址，但是隨便輸入一個mac地址也可以；
-i目標ip地址，

靶機 開啟服務，監聽埠
開啟apache服務，然后使用tcpdump監聽80埠

systemctl start httpd
tcpdump -i ens33 tcp port 80 -n -nn

為了監聽80埠，所以這里開啟apache服務
ens33 是你要開啟監聽的網卡，可以用ip a(或ifconfig)查看

這里centos監聽到是114.114.114.114在發送資料，而不是攻擊機的ip，說明偽裝源ip成功

因為靶機一直是syn-rcvd端，占用執行緒，所以如果偽造ip發送大量的包，影響其他正常用戶的訪問，就可以造成dos攻擊

1.2 dos攻擊

攻擊機 kali
通過netwox的76模塊對IP為192.168.0.120的80埠進行syn泛洪攻擊

netwox 76 -i 192.168.0.120 -p 80    

使用ctrl+z停止攻擊

靶機 開啟監聽

tcpdump -i ens33 tcp port 80 -n -nn

2.ARP欺騙中間人攻擊

原理

ARP協議在設計時認為局域網內部的所有用戶都是可信的，當攻擊者滲透進入內網后，通過向局域網內節點快取中注入偽造的IP/MAC映射關系，從而進行欺騙，成為局域網內的中間人節點，即可以監聽并進一步篡改資料包，

簡單來說，a廣播ARP請求，詢問IP地址為192.168.0.122的主機b的MAC地址，c收到廣播幀，發出ARP應答，告訴a自己是192.168.0.122，MAC地址是cc:cc:cc:cc:cc:cc，（之后，a發給b的所有流量都會發給c）

再通俗點講，就是a想與b通信，a就在通訊錄(arp快取表)里找b的聯系方式，但是c已經提前把通信錄改了，將b的聯系方式換成自己的，所以a發給b的訊息其實都是發給c，

一般有兩種攻擊方式：
一種是斷網攻擊，c只欺騙ab中的某一方，一般是ab另某一方是網關的情況下，比如a是網關，c欺騙了b，b以為是在和網關a在通信，實際上b是在與c通信，于是b聯系不上網關，導致斷網，

因為只欺騙其中一方，所以也叫單向欺騙，

arpspoof -i wlo1 -t 192.168.0.120         192.168.0.122

攻擊機欺騙192.168.0.120這臺主機，說我是192.168.0.122

第二種攻擊方式是arp嗅探，c把ab雙方都欺騙了，ab之間的通信都經過c，于是ab的通信內容被c竊取了

實驗環境

靶機：centos 192.168.0.120
靶機：ubuntu 192.168.0.122
攻擊機：kali 192.168.0.118
網路拓撲環境：攻擊機和靶機處于同一內網，

步驟

首先，靶機查看arp快取表,這里以centos為例

Arp -a

發現
ubuntu 192.168.0.122 的mac地址是00:0c:29:c2:35:04
kali 192.168.0.118 的mac地址是 00:0c:29:4d:43:00

然后，kali上使用ettercap進行中間人欺騙

ettercap -i eth0 -Tq -M arp:remote /192.168.0.120// /192.168.0.122//

192.168.0.120 、192.168.0.122是要欺騙的兩個ip
此時，centos上再查看arp快取表，發現，kali與ubuntu的mac地址一樣了

當然，在ubuntu上面，發現kali與centos的mac地址一樣

兩個靶機都已經把kali當作了對方
此時kali另開一個終端，開啟ip轉發功能， 將0改為1

echo 1 > /proc/sys/net/ipv4/ip_forward

Kali 監聽本地eth0網卡

ettercap -Tq -i eth0

當centos與ubuntu傳輸資訊的時候，kali就能監聽到資訊

可供參考的資料

https://www.freebuf.com/articles/network/207238.html

3.ICMP重定向攻擊和防御

原理

ICMP路由重定向攻擊（ICMPRedirectAttack）是指攻擊者偽裝成路由器發送虛假的ICMP路由路徑控制報文，使得受害主機選擇攻擊者指定的路由路徑，從而進行嗅探或假冒攻擊的一種技術，

實驗環境

靶機：centos 192.168.0.120
攻擊機：kali 192.168.0.118

步驟

查看centos中的路由表：

route –C -n

可以看到正常網關地址是102.168.0.1
linux系統中，默認不接受ICMP重定向報文，所以應該將0設定為1，就可進行ICMP重定向攻擊，

echo 1 > /proc/sys/net/ipv4/conf/all/accept_redirects
echo 1 > /proc/sys/net/ipv4/conf/ens33/accept_redirects
echo 1 > /proc/sys/net/ipv4/conf/default/accept_redirects

這里要注意網卡是eth0還是ens33

使用netwox中86號模塊發起ICMP路由重定向攻擊

netwox 86 -g 192.168.0.118 -i 192.168.0.1

-g偽造路由ip(kali ip)  
-i原路由ip

然后用centos去 ping一下百度
可以看到已經重定向了

對照一下這是正常情況下ping百度的場景

4.TCP協議RST攻擊

原理

TCPRST攻擊中，攻擊主機kali可以通過嗅探方式監視通信雙方win7和centos7之間的TCP連接，在獲得源、目標IP地址及埠，以及序列號之后，就可以結合IP源地址欺騙技術偽裝成通信一方，發送TCP重置報文給通信另一方，在確保埠號一致及序列號落入TCP視窗之內的情況下，即可直接關閉這個TCP連接，造成通信雙方正常網路通信的中斷，達到拒絕服務的效果，

環境

靶機：ubuntu 192.168.0.122
靶機：centos 192.168.0.120
攻擊機：kali 192.168.0.118

步驟

ubuntu 使用nc開啟一個埠監聽（這里監聽12345埠）

nc -lp 12345

Centos 使用telnet遠程連接ubuntu的12345埠

telnet 192.168.0.122 12345

然后輸入12,123（隨便輸入什么內容都行）

發現ubuntu這里也同步監聽輸出了12，123，說明tcp連接成功

然后Kali啟用netwox 78模塊進行tcp rst攻擊

netwox 78 -i 192.168.0.120

此時centos再發送一個資料（這里是1）過去，兩者就斷開了連接

（這里kali偽裝成centos 192.168.0.120 給 ubuntu 192.168.0.122發送了一個rst包，然后ubuntu認為centos要終止連接，便斷開連接，）

5.SYN Flood攻擊

原理

TCPSYNFlood，又稱SYN洪泛攻擊，是目前最為有效和流行的一種拒絕服務攻擊形式，它利用TCP三次握手協議的缺陷，向目標主機發送大量的偽造源地址的SYN連接請求，消耗目標主機的連接佇列資源，從而不能夠為正常用戶提供服務，

環境

靶機：centos 192.168.0.120
攻擊機：kali 192.168.0.118

步驟

Kali向centos 的22埠發起syn flood攻擊
首先，centos7中查看當前22埠連接資訊

Netstat -an|grep 22

然后kali對centos的22埠發起syn flood攻擊

netwox 76 -i 192.168.0.120 -p 22

此時Centos7查看22埠的tcp流量，發現有大量SYN_RECV狀態的包