20252804 2025-2026-2 《网络攻防实践》课程总结1.内容总结第1次实践 环境搭建利用提供的虚拟机镜像和VMWare Workstations软件在自己的笔记本电脑上部署一套个人版网络攻防实践环境至少包括一台攻击机、一台靶机、SEED虚拟机和蜜网网关并进行网络连通性测试确保各个虚拟机能够正常联通。第2次实践 网络信息收集对DNS域名进行查询收集DNS注册人及联系方式、该域名对应IP地址等信息。使用nmap开源软件对靶机环境进行扫描。使用Nessus开源软件对靶机环境进行扫描。通过搜索引擎搜索自己在网上的足迹并确认自己是否有隐私和信息泄漏问题。第3次实践 网络嗅探与协议分析使用tcpdump开源软件对在本机上访问www.163.com网站过程进行嗅探。使用Wireshark开源软件对在本机上以TELNET方式登录BBS进行嗅探与协议分析。取证分析实践解码网络扫描器listen.pcap。第4次实践 TCP IP网络协议攻击在网络攻防实验环境中完成TCP/IP协议栈重点协议的攻击实验包括ARP缓存欺骗攻击、ICMP重定向攻击、SYN Flood攻击、TCP RST攻击、TCP会话劫持攻击。第5次实践 网络安全防范技术配置Linux操作系统平台上的iptables。使用Snort对给定pcap文件进行入侵检测并对检测出的攻击进行说明。在攻击机上使用Snort对给定的pcap文件进行入侵检测获得报警日志。分析虚拟网络攻防环境中蜜网网关的防火墙和IDS/IPS配置规则。第6次实践 Windows系统攻防动手实践Metasploit windows attacker使用kali攻击机尝试对windows Metasploitable靶机上的MS08-067漏洞进行远程渗透攻击获取目标主机的访问权。取证分析实践解码一次成功的NT系统破解攻击。团队对抗实践windows系统远程渗透攻击和分析第7次实践 Linux系统攻防使用Metasploit渗透测试软件攻击Linux靶机上的Samba服务的Usermap_script安全漏洞获取目标Linux靶机的主机访问权限。攻防对抗实践攻击方使用Metasploit选择Metasploitable靶机中发现的漏洞进行渗透攻击获得远程控制权并尝试进一步获得root权限。防守方使用wireshark监听获得网络攻击的数据包文件结合wireshark分析攻击过程获得攻击者的IP、目标IP和端口、攻击发起时间、攻击利用漏洞、使用Shellcode、以及成功之后在命令行输入的信息。第8次实践 恶意代码分析实践对提供的rada恶意代码样本进行文件类型识别脱壳与字符串提取以获得rada恶意代码的编写作者。在WinXP Attacker虚拟机中使用IDA Pro静态或动态分析crackme1.exe和crackme2.exe寻找特定的输入使其能够输出成功信息。分析一个自制恶意代码样本rada。分析网络数据源。第9次实践 软件安全攻防——缓冲区溢出和shellcode本次实践的对象是一个名为pwn1的linux可执行文件。该程序正常执行流程是main调用foo函数,foo函数会简单回显任何用户输入的字符串。该程序同时包含另一个代码片段getShell会返回一个可用Shell。正常情况下这个代码是不会被运行的。实践目标是想办法运行这个代码片段学习如何注入运行任何Shellcode。第10次实践 Web应用程序安全攻防SEED SQL注入攻击与防御实验。SEED XSS跨站脚本攻击实验(Elgg)。第11次实践 浏览器安全攻防实践web浏览器渗透攻击使用攻击机和Windows靶机进行浏览器渗透攻击实验体验网页木马构造及实施浏览器攻击的实际过程。取证分析实践网页木马攻击场景分析。攻防对抗实践web浏览器渗透攻击攻防2.最喜欢且做得最好的实践是哪次为什么我最喜欢也做得最好的就是第10次实践 Web应用程序安全攻防尤其是SQL注入和XSS跨站脚本这部分。首先是SQL注入整个过程特别有成就感。一开始跟着步骤熟悉数据库命令发现登录页面后发现可以试试SQL漏洞将输入的内容拼进SQL语句例如输入Admin#就可以绕过密码直接登进管理员账号当时一下子就明白了SQL注入的原理。后面使用UPDATE语句修改数据库信息用预处理语句把漏洞修好从攻击到防御完整走了一遍理解得特别透彻。接着是XSS实验比SQL注入更有意思玩法也多。从弹简单弹窗到偷 Cookie、自动加好友、改别人资料最后还写了能自我复制的XSS蠕虫每一步都能看到效果直观又好理解。而且这次实验遇到的问题也都自己解决了比如文件不能编辑就改权限虚拟机不能粘贴就弄共享文件夹折腾完之后收获特别大。相比之前的实验这次实验原理清晰、反馈快从漏洞原理、攻击手法到修复方法都掌握得很牢做得也最顺手所以最喜欢这次实践。3.本门课学到的知识总结重点写3.1 环境搭建一个基础的网络攻防实验环境需要如下组成部分●靶机包含系统和应用程序安全漏洞并作为攻击目标的主机。根据目前操作系统的流行程度基础环境中应包括WindowsXP和Linux操作系统主机。●攻击机安装一些专用的攻击软件用于发起网络攻击的主机。Linux操作系统平台上拥有更多更强的攻击软件相比较于Windows更适合作为攻击机平台。●攻击检测、分析与防御平台最佳位置是靶机的网关可以基于Linux操作系统构建网关主机并通过集成各种软件使其具备网络攻击检测、分析与防御的功能此外靶机上也通过自带或附加的工具进行系统安全日志分析。●网络连接通过网络将靶机、攻击机和具备检测分析防御功能的网关进行连接。网络拓扑结构●仅主机模式Host-only虚拟机之间互通不连外网最安全●NAT 模式可上外网下载工具对外隐藏内部拓扑●桥接模式Bridge与物理网同一网段实验谨慎使用避免影响他人环境搭建步骤通用流程●安装虚拟化软件●导入 / 创建攻击机、靶机●配置虚拟机网络Host-only / NAT●靶机部署漏洞服务●关闭安全防护、配置弱口令●测试连通性与服务可用性3.2 网络信息收集信息收集方法掌握了通过搜索引擎、DNS查询和网络拓扑侦察收集目标网络信息的方法。搜索引擎可以获取公开信息DNS查询可以获取域名和IP地址的映射关系网络拓扑侦察可以了解网络的路径和结构。网络扫描工具学会了使用Nmap和Nessus进行主机发现、端口扫描、服务识别和漏洞扫描。NMAP是一款强大的网络扫描工具可以用于探测主机、扫描端口、识别服务和操作系统Nessus则是一款广泛应用于网络安全领域的漏洞扫描工具能够全面检测网络设备、操作系统、应用程序及云服务中的已知漏洞。3.3 网络嗅探与协议分析tcpdump命令行式的网络数据包捕获工具可对网络流量进行嗅探和分析。Wireshark图形化的网络协议分析器能捕获和分析各种网络数据包支持多种协议解析。网络协议如 HTTP、TELNET 等协议TELNET 是一种用于远程登录的协议其数据传输未加密存在安全隐患。网络扫描与攻击痕迹通过分析网络数据包如 listen.cap 文件可获取攻击主机 IP、目标 IP、扫描工具、扫描方法等信息。网络嗅探原理在共享网络环境中网络接口默认处于混杂模式时可接收所有经过的数据包嗅探工具正是利用这一特性捕获网络流量从而实现对网络通信的监控和分析。协议分析原理不同的网络协议有特定的格式和字段Wireshark 等工具通过解析数据包的协议格式提取出源地址、目的地址、数据内容等信息帮助分析协议的工作过程和潜在问题如 TELNET 协议会明文传输用户名和口令可通过分析其数据包获取。3.4 TCP IP网络协议攻击ARP缓存欺骗攻击利用ARP无身份验证漏洞攻击者伪造ARP应答包篡改靶机/网关的IP-MAC缓存成为中间人实现流量嗅探、劫持、断网。ICMP重定向攻击伪造网关的ICMP Type5重定向报文欺骗主机修改本地路由表把上网流量引流到攻击者主机劫持监听全网流量。SYN Flood攻击利用TCP三次握手半连接队列漏洞发送大量虚假源IP的SYN包服务端回SYNACK后收不到ACK半连接资源耗尽合法用户无法接入造成拒绝服务。TCP RST攻击监听抓取正常TCP会话的四元组序列号伪造带RST标志的TCP包强制断开已建立的合法连接导致掉线、业务中断。TCP会话劫持攻击先通过ARP欺骗做中间人嗅探TCP流量并获取SEQ/ACK伪造注入恶意TCP数据包接管已登录合法会话操控通信、窃取权限。3.5 网络安全防范技术PDR 模型PDR 模型即保护 - 检测 - 响应模型是基础动态安全模型核心围绕时间对抗公式为 PtDtRtPt 是防护被突破的时间Dt 是攻击检测时间Rt 是响应处置时间包含防护、检测、响应三个环节侧重技术层面的防御闭环。P2DR / PPDR 模型P2DR 也称 PPDR是在 PDR 基础上增加 Policy 安全策略形成的策略 - 保护 - 检测 - 响应模型以安全策略为核心指导统筹防护、检测与响应全过程更强调技术与管理结合形成完整动态安全闭环同样沿用 PtDtRt 的时间安全判定准则相比 PDR 更适用于复杂系统与企业级安全管理。防火墙技术防火墙指的是置于不同的网络安全域之间对网络流量或访问行为实施访问控制的安全组件或设备。从技术范畴上说防火墙属于一种网络上的访问控制机制通过在不同的网络安全域之间建立起安全控制点对通过的网络传输数据进行检查根据具体的安全需求和策略设置决定是否允许网络访问通过防火墙达到保护特定网络安全域免受非法访问和破坏的安全目标。Linux开源防火墙:netfilter/iptablesnetfilter/iptables组合是目前Linux开源操作系统中普遍使用的防火墙技术解决方案其中netfilter是Linux内核中实现的防火墙功能模块iptables则是应用态的防火墙管理工具。Snort 开源网络入侵检测系统Snort是由Cisco旗下Sourcefire团队开发的开源网络入侵检测/防御系统遵循GPL协议支持跨平台可作为嗅探器、流量记录器或全功能防御系统核心是基于规则的实时流量分析与威胁响应。3.6 Windows系统攻防Windows 远程攻击1攻击流程信息收集→扫描→漏洞利用→权限获取→后门→清理痕迹。2核心攻击面服务 / 协议端口攻击点与典型漏洞SMB/NetBIOS139/445IPC、ADMIN共享远程口令猜解MS08-067高危漏洞MSRPC135远程代码执行漏洞频发IIS80/443目录遍历、缓冲区溢出、WebDAV 漏洞SQL Server1433sa 弱口令xp_cmdshell 执行系统命令远程桌面RDP3389口令爆破、RDP 协议漏洞3攻击工具Nessus、XScan、Metasploit、L0phtcrack、pwdump。Windows 本地攻击1特权提升利用内核 / 驱动漏洞MS06-049、MS08-066 等从普通用户提至 System。2口令窃取与破解提取pwdump 从 SAM / 内存导出 Hash。破解L0phtcrack、JohnLM Hash 易被破解。窃取LSADump、GINA 木马、键盘记录器。3痕迹清理关闭审计、清除事件日志、隐藏文件 / 进程、NTFS 流隐藏。4后门与远控命令行netcat、psexec。图形远程桌面、VNC、灰鸽子、冰河。持久化注册表启动项、启动文件夹。3.7 Linux系统攻防1Linux 远程攻防技术远程口令猜测攻击针对 SSH (22)、FTP (21)、Telnet (23) 等服务暴力破解弱口令。网络服务远程渗透攻击利用主流服务漏洞Samba、BIND DNS、Apache/Nginx、vsftpd、Sendmail缓冲区溢出、命令注入、权限配置错误客户端攻击浏览器、邮件客户端、办公软件漏洞诱骗执行恶意脚本 / 程序。路由器与监听器攻击嗅探、中间人、ARP 欺骗、路由劫持窃取会话与凭证。2Linux 本地安全攻防技术本地特权提升从普通用户提至 rootSUID 程序漏洞提权内核漏洞提权配置错误sudo、PATH、计划任务密码破解读取 /etc/shadow 哈希敏感信息窃取账号密码/etc/shadow、SSH 密钥、数据库配置日志、进程、网络连接、历史命令消踪灭迹清除登录日志、命令历史、操作痕迹隐藏攻击行为。远程控制与后门植入持久后门修改 SSH 配置、添加隐藏账号开机自启服务、计划任务反弹 Shell、Rootkit 隐藏进程3Linux 安全防御策略最小化安装关闭无用服务与端口强化口令禁用 root 远程登录使用 SSH 密钥认证及时更新内核与软件补丁修复提权漏洞严格文件权限禁用危险 SUID 程序开启日志审计监控异常登录与提权行为部署防火墙、入侵检测限制外联与异常访问3.8 恶意代码分析实践1分析环境安全隔离虚拟机 蜜网防止分析环境被感染、扩散。工具调试器OllyDbg、IDA Pro、反汇编工具、静态 / 动态分析工具。2两大分析方法静态分析不运行代码目标识别文件类型、提取字符串、查壳、分析代码结构。关键手段文件类型识别、脱壳、字符串提取、反汇编、反编译、PE文件结构分析。优势安全、无风险劣势无法获取运行时行为。动态分析运行代码目标监控运行行为、网络通信、文件操作、注册表修改、系统调用。关键手段进程监控、网络抓包、行为沙箱、调试跟踪。优势获取真实行为劣势需隔离环境部分恶意代码有反调试。3.9 软件安全攻防——缓冲区溢出和shellcode缓冲区溢出核心原理攻击前提程序未对用户输入做长度校验存在可写入的缓冲区。攻击逻辑构造超长恶意数据覆盖栈上的函数返回地址将返回地址篡改为恶意代码Shellcode的内存地址函数执行完毕后跳转到 Shellcode 执行获取系统控制权。关键知识栈的结构缓冲区、EBP、函数返回地址、指令执行流程、内存寻址机制。主流平台溢出利用技术1Linux 平台栈溢出定位缓冲区地址构造 payload 覆盖返回地址跳转至 Shellcode。借助 JMP ESP 等指令精准跳转到恶意代码适配系统内存布局。2Windows 平台栈溢出与 Linux 原理一致因系统安全机制、内存管理不同利用细节有差异。从系统 DLL 中查找 JMP ESP 指令绕过内存地址随机化的早期限制。3堆溢出针对堆内存的溢出攻击难度高于栈溢出利用堆管理机制漏洞实现代码执行。高级漏洞利用的核心技术多用于复杂渗透场景。缓冲区溢出防御技术系统防护栈不可执行DEP禁止栈区执行代码阻断溢出后代码运行地址随机化ASLR随机化程序内存地址让攻击者无法精准定位 Shellcode栈金丝雀Canary在栈中插入校验值检测溢出行为。开发防护安全编码严格校验输入长度禁用 strcpy 等不安全函数编译器保护开启栈保护、边界检查等编译选项。3.10 Web应用程序安全攻防1SQL 注入攻击原理用户输入未过滤拼接进 SQL 语句执行导致数据库被操控。攻击步骤判断注入点 → 猜解表名 / 字段 → 获取数据 → 提权 / 写文件。攻击类型联合查询、报错注入、布尔盲注、时间盲注、堆叠查询。危害数据泄露、篡改、删除服务器权限获取。2XSS 跨站脚本攻击原理向网页插入恶意脚本在用户浏览器执行窃取 Cookie、会话、信息。分类反射型一次性URL 触发存储型存入数据库持久触发DOM 型前端 DOM 解析触发危害会话劫持、钓鱼、内网探测、蠕虫传播。3.11 浏览器安全攻防实践1网页木马最常见客户端攻击网页木马的原理是用户打开网页不用点、不用下载浏览器 / 插件漏洞自动触发后台下木马一般核心套路为做一个带恶意代码的网页——诱导用户点开——利用漏洞执行代码溢出、UAF、堆喷射——下载远控木马——木马开机自启——被黑客控制常用技术Heap Spray 堆喷射、Shellcode、ROP、内存漏洞利用传播方式黑页挂马、色情站、下载站、论坛、恶意广告2网页木马分析方法静态看网页源码、JS 是否加密混淆、是否跳恶意域名动态看沙箱打开网页抓包看连哪、监控文件 / 注册表 / 启动项定位点恶意脚本、漏洞触发点、下载地址、木马特征、自启方式3网页木马防护及时打系统补丁和浏览器更新少装插件不用的插件直接禁用Flash、PDF、Java 最危险开DEP、ASLR、SafeSEH等系统保护用新版浏览器开沙箱、开安全模式装杀毒、开网页防护、不进奇怪网站4.课堂的收获与不足这学期的《网络攻防实践》实验课从实验一环境搭建一直做到实验十一浏览器安全攻防实践整体做下来感觉收获很大也把本科学过的知识重新梳理和深化了一遍。因为本科就是信息安全专业所以tcpdump、Wireshark这些抓包工具我比较熟悉日常抓包、看协议、简单流量分析都不算陌生。但这些实验不是简单地使用工具而是从攻防实战角度去理解网络协议的漏洞还要给出具体分析过程。这门课程让我自己一步步配置环境、构造攻击包、观察网络变化真正理解攻击原理也学会了从流量中识别异常、定位攻击行为比单纯看书理解深刻多了。后面做了 Windows 和 Linux 系统基础实验。我对操作系统安全机制有了更系统、更透彻的认识。缓冲区溢出原理、恶意代码分类、病毒、蠕虫、木马的区别与传播方式这些内容以前都听过但这次结合实验操作亲手分析恶意代码特征、理解漏洞触发过程印象特别深也清楚了不同恶意代码的危害和防御重点。印象最深的是Web攻防和网页木马部分。了解了 Web 四层架构、浏览器和插件漏洞利用、网页木马无需用户操作就能自动执行的原理才真正意识到日常上网的风险有多高随便点开一个陌生网页都可能中招。同时也学到了基础防御方法比如及时更新系统和浏览器补丁、不随意点击不明链接、做好流量监控、加强访问控制等。总的来说这门实验课让我把理论知识和实操真正结合起来把本科零散的知识点串成完整体系动手能力和安全思维都提升了不少。也发现自己在复杂漏洞利用、工具高级用法、漏洞挖掘思路上还有很多不足以后还需要多练习、多思考、多积累经验。通过这门课我更深刻地理解了攻防一体的道理安全不仅要懂攻击更要会防御。今后我会继续努力学习网络安全知识提升自己的专业能力同时也会提醒身边人注意网络安全保护好个人信息和数据安全。5.参考文献《网络攻防技术与实践》