主页 M

tcp三次握手四次挥手及在局域网中使用 awl伪装MAC地址进行多线程SYN攻击

2020-05-29 网页编程网 网页编程网

1.实验目的

tcp三次握手及tcp连接状态(含tcpdum抓包分析);

tcp四次挥手及tcp连接状态;

实战:在局域网中使用 awl伪装MAC地址进行多线程SYN攻击。

2.实验原理

TCP报文段的首部格式。

ACK:TCP协议规定,只有ACK=1时有效,也规定连接建立后所有发送的报文的ACK必须为1;

SYN(SYNchronization同步):在连接建立时用来同步序号。当SYN=1而ACK=0时,表明这是一个连接请求报文。对方若同意建立连接,则应在响应报文中使SYN=1和ACK=1。因此,SYN置1就表示这是一个连接请求或连接接受报文。

FIN(finis)即完,终结的意思,用来释放一个连接。当FIN=1时,表明此报文段的发送方的数据已经发送完毕,并要求释放连接。

建立tcp连接时的tcp三次握手和断开tcp连接时的4次挥手整体过程。

3.实验任务

1.使用tcpdump抓取tcp三次握手;

2.tcp断开连接时的 4次挥手过程;

3.使用awl伪装MAC对服务器施实syn洪水攻击。

4.实验步骤

4.1使用tcpdump抓取tcp三次握手

整个过程可以简化为tcp三次握手过程:Client:我可以给你发数据吗?Server:可以;Client:好的。

tcp三次握手过程:

1、首先由Client发出请求连接即 SYN=1,声明自己的序号是 seq=x

2、然后Server 进行回复确认,即 SYN=1 ,声明自己的序号是 seq=y, 并设置为ack=x+1,

3、最后Client 再进行一次确认,设置ack=y+1.

seq 序列号范围:2^32 -1 到最大值,再从0开始,seq 序列号作用:依据seq是否连接成功与依据这个序列号来组数据。例子:xunlei下载视频时,将视频切n片,下载完成后再根据数据包序来重新组装成视频。

tcpdump常用参数:-c:指定包个数;-n IP,端口用数字方式显示;port 指定端口。

ping使用icmp协议,属于二层协议,不能演示三次握手。用ssh演示二个终端。tcpdump -n -c 3 port 22 -i ens33(在22端口抓3个包)

注:Flags [S] 中的 S 表示为SYN包为1,为什么最后一个ack为1 不是为y+1 ?client主机返回ACK,包序号为ack=1 ,这是相对序号,如果需要看绝对序号,可以在tcpdump命令中加-S。

4.2tcp断开连接时的4次挥手过程

a当客户A没有东西要发送时就要释放A这边的连接,A会发送一个报文(没有数据),其中FIN设置为1,seq=u;

b服务器B收到后会给应用程序一个信,这时A那边的连接已经关闭,即A不再发送信息(但仍可接收信息)。B会发送收一个报文,其中FIN设置为1,ack=u+1; A收到B的确认包后,进入等待状态,等待B请求释放连接;

c服务器B向客户A发送断开连接请求,包中FIN=1,seq=w,ack=u+1;

dA收到后回复一个确认信息,发送包,ack=w+1,并进入TIME_WAIT状态。

为什么要等待呢?

为了满足这种情况:B向A发送FIN=1的释放连接请求,但这个报文丢失了,A没有接到不会发送确认信息,B超时会重传,这时A在WAIT_TIME还能够接收到这个请求,这时再回复一个确认就行了。(A收到FIN=1的请求后WAIT_TIME会重新记时)

另外服务器B存在一个保活状态,即如果A突然故障死机了,那B那边的连接资源什么时候能释放呢?就是保活时间到了后,B会发送探测信息, 以决定是否释放连接。

为什么第二次和第四次没有seq序列号?因为已经要断开了,没有必要产生新的序列号。

总结:a我没有数据要传输了,要断了;b好;b数据传完我也要断;a好。

注:Time-Wait 连接消失时间为2倍的MSL;

MSL是Maximum Segment Lifetime英文的缩写,中文可以译为“报文最大生存时间” ,他是任何报文在网络上存在的最长时间,超过这个时间报文将被丢弃。

RFC 793中规定MSL为2分钟,实际应用中常用的是30秒,1分钟和2分钟等。

TCP连接状态详解:

服务器端:LISTEN:侦听来自远方的TCP端口的连接请求;

客户端:SYN-SENT:在发送请求连接后等待匹配的连接请求;

服务器端:SYN-RECEIVED:再收到和发送一个连接请求后等待对方对连接请求的确认;

客户端/服务器端:ESTABLISHED:代表一个打开的连接;

客户端:FIN-WAIT-1:等待远程TCP连接中断请求,或先前的连接中断请求的确认;

服务器端:CLOSE-WAIT:等待从本地用户发来的连接中断请求;

客户端:FIN-WAIT-2:从远程TCP等待连接中断请求;

服务器端:LAST-ACK:等待原来的发向远程TCP的连接中断请求的确认;

客户端:TIME-WAIT:等待足够的时间以确保远程TCP接收到连接中断请求的确认;

服务器端:CLOSED:没有任何连接状态。

4.3SYN洪水攻击

SYN洪水攻击主要源于:tcp协议的三次握手机制。tcp协议面向链接的协议,正常的TCP三次握手过程。实战拓扑图。

SYN洪水攻击的过程:

在服务端返回一个确认的SYN-ACK包的时候有个潜在的弊端,如果发起的客户是一个不存在的客户端,那么服务端就不会接到客户端回应的ACK包。

这时服务端需要耗费一定的数量的系统内存来等待这个未决的连接,直到等待超关闭,才能施放内存。

如果恶意者通过通过ip欺骗,发送大量SYN包给受害者系统,导致服务端存在大量未决的连接并占用大量内存和tcp连接,从而导致正常客户端无法访问服务端,这就是SYN洪水攻击的过程。

4.3.1安装awl与apache

0.56与 0.53不能用。上搭建一台web服务器,模拟要被攻击的服务器。

4.3.2安装获到被攻击者mac

先用ping命令,再用arp -n查看。

4.3.3开始攻击并查看效果

awl参数如下:

-i 发送包的接口,如果省略默认是eth0;

-m 指定目标mac地址,注:如果-m没有指定mac,默认目标MAC地址是“FF.FF.FF.FF.FF.FF”,这表示向同一网段内的所有主机,进行SYN攻击,1-2分钟内,还容易使整个局域网瘫痪;

-d 被攻击机器的IP;

-p 被攻击机器的端口。

awl -i eth0 -m 00:0c:29:48:80:95 -d 192.168.1.64 -p 80

查看谁访问了80命令:netstat -antup | grep:80发现很多伪装成公网的IP在攻击。

阅读原文
阅读 3313
123 显示电脑版