hping3攻击与snort攻击检测实验

目录

1、Land攻击部署和检测

1.1  在网关linux系统上关闭地址欺骗攻击保护：

1.2 添加检测land攻击规则

1.3 在客户机用hping3对192.168.0.100：80发动land攻击：

2、syn flood洪水攻击的部署和检测

2.1  在客户机上执行hping3攻击命令：

2.2  网关上snort检测：

3、Smurf 攻击的部署和检测

3.1 启用对广播请求的临时响应

3.2 攻击实现：

3.3 网关上用snort检测：

4、UDP 洪水攻击的部署和检测

4.1 攻击实现：

4.2 建立检测规则：

4.3 启动snort

5、端口扫描的部署与检测

5.1 TCP ACK扫描:

5.2 TCP FIN扫描:

5.3 TCP Xmas扫描:

5.4 TCP Null扫描:

5.5 UDP扫描:

---

1、Land攻击部署和检测

1.1  在网关linux系统上关闭地址欺骗攻击保护：

    $sudo vim /etc/sysctl.conf

修改为:(取消以下每行前的注释“#”)

    net.ipv4.conf.default.rp_filter=0
    net.ipv4.conf.all.rp_filter=0
    net.ipv4.ip_forward=1
    net.ipv4.conf.all.accept_redirects=1
    net.ipv4.conf.all.send.-_redirects=1

重启网关：reboot

使网关将能够转发伪造的数据包。
在网关使用snort进行land攻击检测：

修改/etc/snort/snort.conf

使用下面命令(注意中间的空格)注释掉所有include语句：

$sudo sed -i 's/include \$RULE_PATH/#include \$RULE_PATH/' /etc/snort/snort.conf

然后，sudo vim /etc/snort/snort.conf 修改snort.conf

    1、取消注释包含local.rules的命令行
    2、ipvar  HOME_NET 10.0.0.10/8
    3、#ipvar EXTERNAL_NET any
    4、ipvar EXTERNAL_NET !$HOME_NET

 sudo vim /etc/snort/rules/local.rules

1.2 添加检测land攻击规则

    alert  tcp HOME_NET any -> HOME_NET any 80 (msg:"land attack";sid:1000005;rev:1)

#启动snort

    $sudo snort -A console -c /etc/snort/snort.conf -q -i enp0s3

#enp0s3为网关的客户端网卡接口

1.3 在客户机用hping3对192.168.0.100：80发动land攻击：

    $sudo hping3 -S -p 80 10.0.0.10 -a 10.0.0.10 -s 80 --keep  --faster

2、syn flood洪水攻击的部署和检测

2.1  在客户机上执行hping3攻击命令：

$sudo hping3 -c 1000  -S  -p 80 --flood --rand-source 10.0.0.10

    -c 1000=发送的数据包的数量
    -p 80=目的地端口。这里可以使用其它开放端口
    --flood=尽可能快的发送数据包。洪水攻击模式。
    --rand-source=使用随机性的源头IP地址。

2.2  网关上snort检测：

添加/etc/snort/rules/local.rules检测规则

$sudo vim /etc/snort/rules/local.rules

    alert tcp any any -> $HOME_NET any (msg:"synflood";flags:S;th