实训第二天 网络层——传输层

网络层

基础知识（补充）

IP分片 实际过程中，要减少IP分片 传输层1460+网络层20+数据链路层20 总共 1500字节

IP头部字段：每32bit一行，第一行：版本 1100 / 1000 首部长度4bit，服务类型4bit，总长度16bit
第二行：标识 16bit 标志 3bit 片偏移 13bit
第三行：生成时间（TTL） 8bit 协议 8bit 首部检验和 16bit
源IP地址： 32bit
目标iP地址 ： 32bit

ip配套协议： ARP（还有代理ARP和RARP协议） 和 ICMP（ping 主机存活探测）

arp报文：解析ip和mac地址的对应关系，映射关系会在一定时间后映射超时删除，然后重新询问。不询问，直接接收到响应也会更新自己的MAC地址表。
arp -a

icmp报文： 0-7 Type 7-15 Code 15-31 Checksum
icmp和arp都是请求和回应

网络层安全

smurf攻击：攻击者向受害者的局域网内持续大量的发送ICMP报文，目标地址为广播域。局域网下的所有主机都会相互回应，流量放大。造成DOS攻击

防御：禁止路由器，交换机转发来自外部网络的广播流量。等等

ICMP重定向：攻击者向目标发送伪造的ICMP重定向报文，目标接收到之后会更新自己的路由表，指向新的路由器（攻击者自身），然后实行信息窃取

IP Header: 
Source IP: 192.168.1.5   # 攻击者IP
Destination IP: 192.168.1.1 # 受害主机IP

ICMP Header:
Type: 5 (Redirect Message)
Code: 1 (Redirect for network) 
Checksum: 0x1234  
Gateway IP Address: 192.168.1.5 # 攻击者指定的新"默认路由器"

Original IP Header:
Source IP: 192.168.1.1  # 受害主机IP 
Destination IP: 10.0.0.1   

ICMP不可达攻击：攻击者伪造ICMP报文，声称某一主机或网络现在已经不可达。接收者会将此主机或网络在其路由表中标记为不可达，进而停止访问。

IP Header:
Source IP: 192.168.1.5   # 攻击者IP
Destination IP: 192.168.1.1 # 路由器IP

ICMP Header: 
Type: 3 (Destination Unreachable Message)
Code: 0 (Net Unreachable)
Checksum: 0x1234

Original IP Header:
Source IP: 10.0.0.1
Destination IP: 192.168.2.1 

IP欺骗攻击

ARP攻击实验

环境搭建

win7 NAT模式 192.168.80.137

kali NAT模式 192.168.80.136

网关 192.168.80.2

设置kali开启路由转发
echo 1 > /proc/sys/net/ipv4/ip_forward

实验过程

nmap探测局域网存活主机

arpspoof -i eth0 -t 192.168.80.136 192.168.80.2 -r

查看win7 arp -a

可以看到，网关的物理地址已经和kali物理地址一样了。

但是试了好多次，图像都出不来........

防御

使用静态ARP表，将网关地址与ip地址绑定。
使用ARP防火墙

传输层

学校的计算机网络课程正好讲玩 传输层 所以传输层和应用层的知识点 都很熟，笔记可能会粗略

基础知识

端口： 通过tcp/udp发送syn或其它的报文到主机的某个端口，看其是否响应来判断端口是否打开

tcp报文格式

udp报文格式更简单

tcp的 三次握手和四次挥手
三次握手 syn=1 syn=1 ack=1 ack=1
四次挥手 C:fin=1 ack=1 S:ack=1 S: fin=1 ack=1 C:ack=1
fin 和 cin 都是控制位里面的标识符

分段和重组

传输层安全

TCP拒绝服务 SYN洪水攻击

UDP拒绝服务

SYN半开连接攻击：攻击者伪造虚假的源ip向目标发送syn包，建立连接，由于是虚假的ip地址，第二次握手的包到达不了，会等待超时然后删除
防御：缩短SYN等待队列超时时间与清空周期,加快释放半开连接的速度,降低占用资源的数量。

DOS攻击，DDOS攻击，CC攻击，都是那么一回事

SYN洪水攻击

环境

kali 192.168.100.128
win7 192.168.100.129

攻击过程

kali运行

hping3 -q -n -a 192.168.100.128 -S -s 80 --keep -p 445 --flood 192.168.100.129