前阵子业务上碰到了 DDOS 攻击，正好是 DNS 反射型的，之前只是听过，没自己处理过，仔细学习了一番之后做点记录。
traceroute路由跟踪是利用IP数据包的TTL值来实现的，Linux 下 traceroute 首先发出 TTL = 1 的UDP 数据包，第一个路由器将 TTL 减 1 得 0 后就不再继续转发此数据包，而是返回一个 ICMP 超时报文，traceroute 从超时报文中即可提取出数据包所经过的第一个网关的 IP 地址。然后又发送了一个 TTL = 2 的 UDP 数据包，由此可获得第二个网关的 IP 地址。依次递增 TTL 便获得了沿途所有网关的 IP 地址。
hping 是一个命令行的网络工具（与ping命令类似，但功能更强大），它可以生成和发送自定义的TCP/IP数据包，对指定的主机或端口进行探测。它支持TCP，UDP，ICMP 和 RAW-IP 协议。
arpspoof是一个好用的ARP欺骗工具，Kali linux中自带了该工具，在ubuntu中，安装它只需运行命令：
TCP自从1974年被发明出来之后，历经30多年发展，目前成为最重要的互联网基础协议，但TCP协议中也存在一些缺陷。
Ettercap是Linux下一个强大的欺骗工具，刚开始只是作为一个网络嗅探器，但在开发过程中，它获得了越来越多的功能，在中间的攻击人方面，是一个强大而又灵活的工具。
最近项目遇到了一个非常神奇的问题，细节不过多描述了，问题大概跟下图中的拓扑类似，就是路由器将数据包发给了服务器的eth1口，但是服务器的路由是从eth2出去，导致了此服务器不响应外部任何的业务请求。
在世界杯举办期间，链路劫持的攻击风险估计会升高很多。链路劫持攻击是各类应急响应事件中危害比较大的，溯源起来有一定的难度，很多新手会感觉无从下手。本次ABC_123就分享一个自己曾经做过的真实的链路劫持分析案例。
本文介绍了如何编写一个简单的驱动程序，该驱动程序可以控制硬件设备。首先介绍了驱动程序的基本结构和组成，包括驱动程序、设备、设备文件、操作系统和硬件之间的交互。然后详细讲解了驱动程序的开发过程，包括设备树、设备驱动、设备驱动的加载和运行，以及如何使用驱动程序开发工具编写驱动程序。最后，介绍了驱动程序在实际开发中的应用，包括驱动程序开发中的常见问题和解决方法，以及如何在生产环境中部署驱动程序。通过本文的学习，可以加深对驱动程序的理解，掌握驱动程序开发的基本技能，为后续的驱动程序开发工作打下坚实的基础。"，"summary_detail":[{"title":"本文介绍了如何编写一个简单的驱动程序，该驱动程序可以控制硬件设备。","summary":"本文介绍了如何编写一个简单的驱动程序，该驱动程序可以控制硬件设备。首先介绍了驱动程序的基本结构和组成，包括驱动程序、设备、设备文件、操作系统和硬件之间的交互。然后详细讲解了驱动程序的开发过程，包括设备树、设备驱动、设备驱动的加载和运行，以及如何使用驱动程序开发工具编写驱动程序。最后，介绍了驱动程序在实际开发中的应用，包括驱动程序开发中的常见问题和解决方法，以及如何在生产环境中部署驱动程序。通过本文的学习，可以加深对驱动程序的理解，掌握驱动程序开发的基本技能，为后续的驱动程序开发工作打下坚实的基础。
在谈RST攻击前，必须先了解TCP：如何通过三次握手建立TCP连接、四次握手怎样把全双工的连接关闭掉、滑动窗口是怎么传输数据的、TCP的flag标志位里RST在哪些情况下出现。下面我会画一些尽量简化的图来表达清楚上述几点，之后再了解下RST攻击是怎么回事。
原文链接：https://robertheaton.com/2020/04/27/how-does-a-tcp-reset-attack-work/
DoS是Denial of Service的简称，即 拒绝服务 ，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。
arpspoof 是一款进行arp欺骗的工具，攻击者可以通过它来毒化受害者arp缓存，将网关mac替换为攻击者mac，然后攻击者可截获受害者发送和收到的数据包，可获取受害者账户、密码等相关敏感信息。ARP欺骗，是让目标主机的流量经过主机的网卡，再从网关出去，而网关也会把原本流入目标机的流量经过我得电脑。
经过黑衣人和老周的合作，终于清除了入侵Linux帝国的网页病毒，并修复了漏洞。不曾想激怒了幕后的黑手，一场新的风雨即将来临。
在本文中介绍了支持Wi-Fi的802.11标准中的三个设计缺陷。 一个设计缺陷在帧聚合功能，另外两个缺陷在帧分段功能。这些设计缺陷使攻击者能够以各种方式伪造加密的帧，进而使敏感数据得以泄露。还发现了与聚合、分段相关的常见实现缺陷，这进一步加剧了攻击的影响。 本研究结果影响了从WEP一直到WPA3的所有受保护的Wi-Fi网络，这意味着自1997年发布以来，所发现的缺陷就一直是Wi-Fi的一部分。在实验中，所有设备都容易受到一个或多个本研究攻击的影响，确认所有Wi-Fi设备都可能受到影响。 最后，提供了一种工具来测试设备是否受到任何漏洞的影响，并讨论了防止攻击的对策（https://www.fragattacks.com ）。
从图中可以看出，此时虚拟机不断地向物理机发送ARP应答包，这个应答包将网关的ip地址192.168.1.1和虚拟机的MAC地址00:0c:29:ee:fa:6d 绑定在一起，从而将物理机的ARP缓存表中的网关的MAC地址修改为虚拟机的MAC地址。 arp -a查看mac绑定地址
在现实生活中，比如你去市场买菜，在交完钱后你要求先去干一些别的事情，稍候再来拿菜；如果这个时候某个陌生人要求把菜拿走，卖菜的人会把菜给陌生人吗？！当然，这只是一个比喻，但这恰恰就是会话劫持的喻意。所谓会话，就是两台主机之间的一次通讯。例如你Telnet到某台主机，这就是一次Telnet会话；你浏览某个网站，这就是一次HTTP会话。而会话劫持（Session Hijack），就是结合了嗅探以及欺骗技术在内的攻击手段。例如，在一次正常的会话过程当中，攻击者作为第三方参与到其中，他可以在正常数据包中插入恶意数据，也可以在双方的会话当中进行简听，甚至可以是代替某一方主机接管会话。
任务环境说明： ü 服务器场景：Linux ü 服务器场景操作系统：Linux（版本不详）
1.MAC欺骗 攻击原理：MAC地址欺骗（或MAC地址盗用）通常用于突破基于MAC地址的局域网访问控制，例如在交换机上限定只转发源MAC地址修改为某个存在于访问列表中的MAC地址即可突破该访问限制，而且这种修改是动态的并且容易恢复。还有的访问控制方法将IP地址和MAC进行绑定，目的是使得一个交换机端口只能提供给一位用户的一台主机使用，此时攻击者需要同时修改自己的IP地址和MAC地址去突破这种限制。
TTL 由8比特组成，可以用来确定在到达目的地之前数据包经过了几跳，当计算机发送一个IP数据包时会设置TTL字段为数据包在到达目的地之前所应经过的中继跳转的上限值，数据包每经过一个路由设备，TTL值就自减一，若减至0还未到目的地，路由器会丢弃该数据包以防止无限路由循环。
什么是DDOS流量攻击？我们大多数人第一眼看到这个DDOS就觉得是英文的，有点难度，毕竟是国外的，其实简单通俗来讲，DDOS攻击是利用带宽的流量来攻击服务器以及网站。
现在我们已经知道了目标的IP，下一步就是想办法如何侵入目标系统，如果没有办法物理接触目标，那么我们的方法就只能是线上了，那么入侵的途径就是端口了，只有对方开了端口，我们的数据才能流动过去，所以接下来就讲讲如何对端口开放情况进行扫描
本文试图理顺和归纳ACM CCS 20上UC Riverside和清华大学的研究人员宣布的针对域名系统（DNS）的新攻击——SAD DNS（Side channel AttackeD DNS）的原理和细节，已被记录为 CVE-2020-25705
ARP 缓存是 ARP 协议的重要组成部分。ARP 协议运行的目标就是建立 MAC 地址和 IP 地址的映射，然后把这一映射关系保存在 ARP 缓存中，使得不必重复运行 ARP 协议。因为 ARP 缓存中的映射表并不是一直不变的，主机会定期发送 ARP 请求来更新它的 ARP 映射表，利用这个机制，攻击者可以伪造 ARP 应答帧使得主机错误的更新自己的 ARP 映射表，这个过程就是 ARP 缓存中毒。 这样的后果即使要么使主机发送 MAC 帧到错误的 MAC 地址，导致数据被窃听；要么由于 MAC 地址不存在，导致数据发送不成功。 关键 netwox 命令:
Ettercap最初设计为交换网上的sniffer，但是随着发展，它获得了越来越多的功能，成为一款有效的、灵活的中介攻击工具。它支持主动及被动的协议解析并包含了许多网络和主机特性（如OS指纹等）分析。
链路层具有最大传输单元MTU这个特性，它限制了数据帧的最大长度，不同的网络类型都有一个上限值。以太网的MTU是1500，你可以用 netstat -i 命令查看这个值。如果IP层有数据包要传，而且数据包的长度超过了MTU，那么IP层就要对数据包进行分片(fragmentation)操作，使每一片的长度都小于或等于MTU。
https://github.com/TheKingOfDuck/burpFakeIP
ARP中间人攻击（ARP spoofing）是一种利用本地网络的ARP协议漏洞进行欺骗的攻击方式，攻击者会向目标主机发送虚假ARP响应包，使得目标主机的ARP缓存中的IP地址和MAC地址映射关系被篡改，从而使得目标主机将网络流量发送到攻击者指定的虚假MAC地址。攻击者可以在不被发现的情况下窃取目标主机的网络流量、信息等，也可以进行其他的恶意行为，如中间人攻击、监听等。
Nmap 是一款网络扫描和主机侦测的非常有用的工具。合理使用，不仅可以用来信息收集和枚举，同时也可以用来作为一个漏洞探测器或安全扫描器。另外 Nmap 还跨平台，适用于 Windows、Linux 和 Macintosh 等主流操作系统，功能强大，乃居家网络安全测试之必备利器
DDoS 攻击，全称是 Distributed Denial of Service，翻译成中文就是分布式拒绝服务。
QUIC（Quick UDP Internet Connection）是谷歌制定的一种基于UDP的低时延的互联网传输层协议。随着最近的标准化和各大型科技公司的兴趣日益浓厚，QUIC 协议获得越来越多的关注。本研究对从QUIC设计中产生的客户端请求伪造攻击进行了初步分析。目前相关脚本已开源：https://github.com/yurigbur/QUICforge 本研究分析了三种请求伪造攻击模式，并了解它们如何用于协议假冒攻击和流量放大攻击。然后，探索了各个协议消息的可控攻击空间，并证明其中一种攻击模式可以
Scapy是一个Python程序，使用户能够发送，嗅探和剖析并伪造网络数据包。此功能允许构建可以探测，扫描或攻击网络的工具。
在数字化日益深入的今天，网络安全问题愈发凸显其重要性。其中，ARP攻击作为一种常见的网络攻击方式之一，往往给企业和个人用户带来不小的困扰。ARP协议是TCP/IP协议族中的一个重要协议，负责把网络层(IP层)的IP地址解析为数据链路层(MAC层)的MAC地址，用于实现IP地址到MAC地址的映射。
然而，对***者呢？与管理员感兴趣的是对数据包进行分析不同，***者，感兴趣的是数据包的内容，尤其是账号，口令等敏感内容。
原英文的帮助文档可以在 http://linux.die.net/man/8/ettercap 查看 或者在安装有ettercap的Linux终端输入”man ettercap”查看
Ether(src=[本机MAC],dst=[目标MAC])/ARP(hwsrc=[本机MAC],psrc=[网管IP],hwdst=[目标MAC],pdst=[目标IP],op=2)
讲个笑话：手中没有剑，和有剑不用是两种事，因此这里特地学了一下DDOS攻击。使用的工具主要事kali机中的hping3，网安实在是太神奇了，有很多牛逼的工具，但是由于时间有限，所以这里就只学一下hping3，本着能够完成攻击机的任务的目的来学习的。
数据可用性是一种以使用者为中心的设计概念，易用性设计的重点在于让产品的设计能够符合使用者的习惯与需求。以互联网网站的设计为例，希望让使用者在浏览的过程中不会产生压力或感到挫折，并能让使用者在使用网站功能时，能用最少的努力发挥最大的效能。基于这个原因，任何有违信息的“可用性”都算是违反信息安全的规定。因此，世上不少国家，不论是美国还是中国都有要求保持信息可以不受规限地流通的运动举行。
C/S 架构，服务器端被植入目标主机，服务器端通过反弹连接和客户端连接。从而客户端对其进行控制。
渗透测试面试题目 一、基础问题 1.请你用一分钟时间介绍下你自己 2.现在在哪个城市 3.最快什么时候可以到岗 4.项目经历 5.对面试的岗位职责和工作内容了解吗 二、技术问题 1.拿到一个待检测的站，你觉得应该先做什么 1)信息收集 1，获取域名的whois信息,获取注册者邮箱姓名电话等。 2，查询服务器旁站以及子域名站点，因为主站一般比较难，所以先看看旁站有没有通用性的cms或者其他漏洞。 3，查看服务器操作系统版本，web中间件，看看是否存在已知的漏洞，比如IIS，APACHE,NGINX的解析漏洞4
📷 一、目标说明 -iL 从已有的ip列表文件中读取并扫描 -iR+ 扫描数量 随机选择目标进行扫描 --exclude+ip 不扫描此ip 二、主机发现 -sL 列出要扫描的ip -sn 不进行端口扫描 -Pn 将所有主机都默认为在线，跳过主机发现 -PS/PA/PU/PY 使用TCP、SYN/ACK、UDP或SCTP协议去发现端口 -PE/PP/PM： 使用ICMP响应（echo）、时间戳或子网掩码请求来发现探测 -PO
IPv6基于它的极大IP地址空间以及对应的协议栈安全设计，可以缓解IPv4网络所面临的扫描泛滥、攻击不可追查、易于遭受DDoS、IP Spoofing等攻击。
一、Brigde——桥接：默认使用VMnet0 1、原理： Bridge 桥"就是一个主机，这个机器拥有两块网卡，分别处于两个局域网中，同时在"桥"上，运行着程序，让局域网A中的所有数据包原封不动的流入B，反之亦然。这样，局域网A和B就无缝的在链路层连接起来了，在桥接时，VMWare网卡和物理网卡应该处于同一IP网段 当然要保证两个局域网没有冲突的IP. VMWare 的桥也是同样的道理，只不过，本来作为硬件的一块网卡，现在由VMWare软件虚拟了！当采用桥接时，VMWare会虚拟一块网卡和真正的物理网卡就行桥接，这样，发到物理网卡的所有数据包就到了VMWare虚拟机，而由VMWare发出的数据包也会通过桥从物理网卡的那端发出。 所以，如果物理网卡可以上网，那么桥接的软网卡也没有问题了，这就是桥接上网的原理了。 2、联网方式： 这一种联网方式最简单，在局域网内，你的主机是怎么联网的，你在虚拟机里就怎么连网。把虚拟机看成局域网内的另一台电脑就行了！ 提示：主机网卡处在一个可以访问Internet的局域网中，虚拟机才能通过Bridge访问Internet。
ok!~又是一次超级烧脑的故障处理过程,这次故障还是非常考验推理及基础知识的扎实性的.
信息是如何通过网络传输被另一个程序接收到的？我们讨论的虚拟化网络是狭义的，它指容器间网络。
查询放大攻击的原理是，通过网络中存在的DNS服务器资源，对目标主机发起的拒绝服务攻击，其原理是伪造源地址为被攻击目标的地址，向DNS递归服务器发起查询请求，此时由于源IP是伪造的，固在DNS服务器回包的时候，会默认回给伪造的IP地址，从而使DNS服务成为了流量放大和攻击的实施者，通过查询大量的DNS服务器，从而实现反弹大量的查询流量，导致目标主机查询带宽被塞满，实现DDOS的目的。
ARP（Address Resolution Protocol）地址解析协议，将已知IP地址转换为MAC地址，由RFC820定义 ARP协议在OSI模型中处于数据链路层，在TCP/IP模型中处于网络层 ARP协议与数据链路层关联网络层
本次嗅探试验所使用到的工具有两个，ettercap和driftnet。 ettercap是一款现有流行的网络抓包软件，他利用计算机在局域网内进行通信的ARP协议的缺陷进行攻击，在目标与服务器之间充当中间人，嗅探两者之间的数据流量，从中窃取用户的数据资料。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
云直播
对象存储
