bài thực hành 8 môn thực tập cơ sở bắt dữ liệu mạng

Tìm hi u lý thuyể ết - Tìm hiểu về tính năng và hoạt động của một số công cụ bắt dữ liệu mạng như: tcpdump, Wireshark, Network Miner… + TCPDUMP: thực chất là công cụ được phát triển nhằ

Tháng 5/2024

HỌC VI N CÔNG NGH Ệ Ệ BƯU CHÍNH VIỄN THÔNG

KHOA AN TOÀN THÔNG TIN

-

BÁO CÁO BÀI TẬP 08

MÔN H C: Ọ THỰ C T ẬP CƠ SỞ

Giảng viên : Nguy n Hoa C ng ễ ươ

Sinh viên : Vũ Tuấn Hùng

L p ớ : D21CQAT01-B

Nh óm : 06

Mã sinh viên : B21DCAT0 97

1

1 Tìm hi u lý thuyể ết

- Tìm hiểu về tính năng và hoạt động của một số công cụ bắt dữ liệu mạng như: tcpdump, Wireshark, Network Miner…

+ TCPDUMP: thực chất là công cụ được phát triển nhằm mục đích nhận diện

và phân tích các gói dữ liệu mạng theo dòng lệnh TCPDUMP cho phép khách hàng chặn và hiển thị các gói tin được truyền đi hoặc được nhận trên một

mạng có sự tham gia của máy tính

 Hiểu đơn giản, TCPDUMP là phần mềm bắt gói tin trong mạng làm việc trên hầu hết các phiên bản hệ điều hành Unix/Linux TCPDUMP cho phép bắt và lưu lại những gói tin bắt được, từ đó chúng ta có thể sử dụng để phân tích

 TCPDUMP xuất ra màn hình nội dung các gói tin (chạy trên card mạng mà máy chủ đang lắng nghe) phù hợp với biểu thức logic chọn lọc mà khách hàng nhập vào Với từng loại tùy chọn khác nhau khách hàng có thể xuất những mô tả về gói tin này ra một file “pcap” để phân tích sau, và có thể đọc nội dung của file “pcap” đó với option –r của lệnh TCPDUMP, hoặc sử dụng các phần mềm khác như là : Wireshark

 Trong trường hợp không có tùy chọn, lệnh TCPDUMP sẽ tiếp tục chạy cho đến khi nào nó nhận được một tín hiệu ngắt từ phía khách hàng Sau khi kết thúc việc bắt các gói tin, TCPDUMP sẽ báo cáo các cột sau:

o Packet capture: số lượng gói tin bắt được và xử lý

o Packet received by filter: số lượng gói tin được nhận bởi bộ lọc

o Packet dropped by kernel: số lượng packet đã bị dropped bởi cơ chế bắt gói tin của hệ điều hành

+ Wireshark: Là một bộ phân tích gói mạng (network packet analyzer) Một network packet analyzer sẽ cố gắng nắm bắt các network packets và cố gắng hiển thị dữ liệugói đó càng chi tiết càng tốt.o Sử dụng Wireshark nhằm các mục đích sau:

 Network administrators sử dụng Wireshark để khắc phục sự cố mạng

 Các kỹ sư Network security sử dụng Wireshark để kiểm tra các vấn đề bảo mật

 Các kỹ sư QA sử dụng Wireshark để xác minh các network

applications

2

 Các developers sử dụng Wireshark để gỡ lỗi triển khai giao thức

 Mọi người sử dụng Wireshark để học internals giao thức mạng

 Cách hoạt động của Wireshark:

o Bắt gói – Packet Capture

o Lọc – Filtering

o Hiển thị trực quan – Visualization

+ Network Miner: là một công cụ phân tích bảo mật mạng Nguồn Mở di động

có thể giám sát lưu lượng của bộ điều hợp mạng được kết nối trong hệ điều hành Windows

 Nó sử dụng một công cụ thu thập gói / dò tìm mạng thụ động có thể phát hiện IP, tên máy chủ, hệ điều hành, cổng và nhiều thông tin khác của bất kỳ kết nối nào Công cụ bảo mật mạng yêu cầu cài đặt riêng biệt - - của WinPcap để hoạt động đúng và đáng tin cậy

 Mục đích chính của Network Miner là thu thập dữ liệu để phân tích trong tương lai (chẳng hạn như phân tích bằng chứng pháp y) hơn là thu thập dữ liệu liên quan đến lưu lượng trên mạng Thông tin được nhóm theo máy chủ chứ không phải theo gói hoặc khung mặc dù có thể chuyển đổi chế độ xem

dễ dàng trong giao diện phần mềm

3

2 Thực hành

2.1 Sử dụng tcpdump

a) Các bước thực hiện

- Đăng nhập Linux Sniffer và xem tất cả các interfaces trong hệ thống

(root@bt:~#ifconfig -a), kích hoạt các interfaces(eth0, eth1) hoạt động ở chế độ hỗn hợp, sau đó khởi động tcpdump

4

- Kích hoạt các interfaces(eth0, eth1) hoạt động ở chế độ hỗn hợp

- Đăng nhập Windows Server và tiến hành ping đến dải mạng Internal và dải mạng External

 Dải mạng Internal:

o Ping từ máy Windows Server 2019

5

o Bắt gói tin bằng tcpdump

o Bắt gói tin và lưu lại vào 1 file pcap

6

 Dải mạng External

o Ping từ Windows Server

o Bắt gói tin bằng tcpdump

7

o Bắt gói tin và lưu vào 1 file

b) Kết quả cần đạt được

- Thu được kết quả bắt gói tin và các file pcap thông qua tcpdump

- Minh chứng:

- Chụp ảnh minh chứng màn hình với các lệnh trong cmd trong máy Linux Sniffer: + echo %USERNAME%

+ date

+ Kết quả chạy #tcpdump i eth0 icmp –

+ Kết quả chạy #tcpdump i eth1 icmp –

+ Các file pcap tương ứng

8

2.2 Sử dụng Wireshark để bắt và phân tích các gói tin

a) Các bước thực hiện

- Trên máy Linux Sniffer, bật các interfaces eth0, eth1 và khởi động Wireshark Trong Capture Interfaces chọn Start ở dòng eth để bắt gói tin trên dải mạng 1 192.168.100.0

- Dùng Windows 10 Attack ping để kiểm tra

9

- Trên Windows 10, kết nối tới ftp server

10

- Trên Linux Sniffer dừng quá trình bắt gói tin và lọc gói tin theo giao thức ftp

- Tạm dừng bắt gói tin và lưu file

11

- Trên máy Windows attack, trong Capture Interfaces chọn Start ở dòng eth để 0 bắt gói tin trên dải mạng 10.10.19.0

- Dùng Linux Sniffer ping để kiểm tra

- Trên máy Linux Sniffer, kết nối với ftp server

12

- Tạm dừng bắt gói tin, lưu file

b) Kết quả cần đạt được

- Sử dụng Wireshark để bắt và lọc ra được các gói tin ftp, các file pcap tương ứng

- Chụp ảnh minh chứng với các lệnh trong cmd: Trong máy Linux Sniffer, gõ lệnh: + echo %USERNAME%

+ date

+ Kết quả bắt gói tin từ máy Windows 10, và máy Linux Sniffer

+ Các file pcap tương ứng

13

2.3 Sử dụng NetworkMiner để bắt và phân tích các gói tin

a) Các bước thực hiện

- Trên máy Windows 10 khởi động Network Miner và chọn Socket:

Intel® PRO/1000MT Network Connection(192.168.100.5) và bắt đầu bắt gói tin

Sử dụng Internet Explorer để kết nối đến trang web của Windows Server

Internal Victim: http://192.168.100.201/ Sau đó dừng quá trình bắt gói tin

14

- Trong NetworkMiner, chọn Files/index.html để xem dữ liệu gói tin vừa bắt được

b) Kết quả cần đạt được

- Bắt được các dữ liệu trong file index.html

- Minh chứng:

- Chụp ảnh minh chứng với các lệnh trong cmd: Trong máy Windows attack mạng Internal, gõ lệnh:

+ echo %USERNAME%

15

+ date

+ Kết quả bắt gói tin từ máy Windows 10, và máy Window Server 2019 + File index.html chứa dữ liệu của máy victim