网络安全测试实验室搭建指南

　　《网络安全测试实验室搭建指南》是帮助读者自行搭建安全测试平台的实用指南，旨在让读者利用书中讲解的知识，帮助公司网络成功抵御来自外部世界的各种攻击。《网络安全测试实验室搭建指南》分为11章，其内容涵盖了搭建测试平台所需要的软硬件资源，如何被动地收集各种信息，如何进行流量分析以及使用的流量分析工具，检测活动系统并进行结果分析的方法，枚举系统的具体方法，动态加密和隧道技术，自动攻击和相关的渗透工具，如何保障无线网络的安全，恶意软件的简介，入侵检测和恶意软件分析，以及取证检测。《网络安全测试实验室搭建指南》内容安排合理，步骤有序，旨在帮助读者切实掌握书中的知识。本书适合信息安全从业人员、系统管理员，以及打算投身信息安全行业的初学人员阅读。

　　作者：[美] 迈克尔·格雷格（Michael Gregg） 译者：曹绍华、刘俊婷、张青锋、刘玺Michael Gregg是Superior Solutions Inc.公司的CEO。该公司是一家位于休斯顿的IT安全咨询公司。Michael Gregg在IT领域有20多年的经验，获得过两个副学士学位、一个本科学位和一个硕士学位，还持有许多IT证书，比如CISSP、CISA、CISM、MCSE和CEH。Michael著作/合著了20多本图书，如Inside Network Security Assessment、Hack the Stack、Security Administrator Street Smarts以及How to Build Your Own Network Security Lab。Michael曾经在美国国会就隐私和安全漏洞作证，还在密苏里州总检察长委员会上就网络范围和手机破解的崛起作证。他还在主流的IT/安全会上发表过演讲，比如在弗吉尼亚州阿灵顿举行的NCUA审计师会议。他作为网络安全专家经常被主流的印刷出版物提及，而且还是许多网络广播站点和印刷出版物（比如CNN、FOX、NBC、赫芬顿邮报、Kiplinger杂志、纽约时报）的专家评论员。Michael喜欢回馈社会，他参与的一些公民活动有人类栖息地（Habitat for Humanity）和联合之路（United Way）等。

第1章　搭建硬件及软件的测试平台 1 1.1　为什么要搭建一个实验室　1 1.2　硬件要求　4 1.2.1　物理硬件　5 1.2.2　虚拟硬件　9 1.2.3　黑客硬件　14 1.3　软件要求　17 1.3.1　操作系统　17 1.3.2　软件和应用程序　26 1.3.3　学习软件　27 1.3.4　黑客软件　28 1.4　总结　29 1.5　关键术语　30 1.6　练习　31 1.6.1　设备清单　31 1.6.2　安装VMware Workstation　32 1.6.3　探索Linux操作系统　32 1.6.4　使用VMware创建Windows镜像　32 1.6.5　使用VMware转换器来创建虚拟机　33 1.6.6　探索其他操作系统选项　34 1.6.7　在VMware中运行Kali　34 1.6.8　在Windows虚拟机中安装常用工具　35 第2章　被动信息收集　36 2.1　从目标源着手　37 2.1.1　细致检查核心员工　39 2.1.2　垃圾搜寻（电子垃圾）　42 2.1.3　解析网页编码　45 2.1.4　破解网站身份验证的方法　48 2.2　挖掘招聘广告和分析财务数据　50 2.3　利用谷歌来挖掘敏感信息　52 2.4　探寻域名所有权　53 2.4.1　WHOIS网站　55 2.4.2　区域性互联网注册机构　57 2.4.3　域名系统　59 2.4.4　识别服务器使用的软件　62 2.4.5　服务器的实际位置　64 2.5　总结　65 2.6　关键术语　66 2.7　练习　67 2.7.1　IP地址和域名的识别　67 2.7.2　信息收集　67 2.7.3　谷歌黑客技术　69 2.7.4　旗标抓取　69 2.7.5　VisualRoute　70 第3章　网络流量分析　72 3.1　为什么数据包分析如此重要　72 3.2　如何捕获网络流量　73 3.2.1　混杂模式　73 3.2.2　集线器和交换机　73 3.2.3　捕获网络流量　77 3.2.4　防止数据包捕获　87 3.3　Wireshark　91 3.3.1　Wireshark基础　91 3.3.2　筛选和解码流量　94 3.3.3　基本数据捕获：逐层回顾　100 3.4　其他网络分析工具　107 3.5　总结　109 3.6　关键术语　110 3.7　练习　110 3.7.1　玩转数据包　110 3.7.2　用tcpdump进行数据包分析　112 3.7.3　数据包过滤器　113 3.7.4　制作一个单向数据线　114 第4章　检测活动系统并分析结果　115 4.1　TCP/IP基础知识　115 4.1.1　网络接入层　117 4.1.2　网络层　118 4.1.3　主机到主机层　121 4.1.4　应用层　123 4.2　用ICMP检测文件系统　126 4.2.1　ICMP-Ping　126 4.2.2　跟踪路由　130 4.3　端口扫描　134 4.3.1　TCP和UDP端口扫描　134 4.3.2　高级端口扫描技术　138 4.3.3　分析端口扫描　141 4.3.4　端口扫描工具　143 4.4　OS指纹　147 4.4.1　被动指纹识别　148 4.4.2　主动指纹识别　149 4.5　扫描对策　152 4.6　总结　155 4.7　关键术语　156 4.8　练习　156 4.8.1　理解Wireshark　157 4.8.2　解释TCP标志　158 4.8.3　执行一个ICMP数据包解码　159 4.8.4　用Nmap扫描端口　160 4.8.5　路由跟踪　161 4.8.6　端口扫描分析　162 4.8.7　操作系统指纹识别　163 第5章　枚举系统　164 5.1　枚举　164 5.1.1　路由器及防火墙的枚举　165 5.1.2　Windows枚举　172 5.1.3　Linux/UNIX枚举　177 5.1.4　枚举应用层协议　178 5.2　高级枚举　182 5.2.1　SCADA系统　182 5.2.2　用户代理字符串　190 5.3　攻击面映射　192 5.3.1　密码猜测和破解　192 5.3.2　嗅探散列密钥　195 5.3.3　漏洞利用　197 5.4　总结　199 5.5　关键术语　200 5.6　练习　200 5.6.1　SNMP枚举　201 5.6.2　枚举路由协议　203 5.6.3　使用DumpSec实施枚举　204 5.6.4　识别用户代理字符串　205 5.6.5　浏览器枚举　205 第6章　动态加密和隧道技术　207 6.1　加密　207 6.1.1　密钥加密　208 6.1.2　单向函数（散列）　212 6.1.3　公钥加密　213 6.1.4　混合密码　215 6.1.5　公钥认证　216 6.2　加密在认证中的角色　218 6.2.1　密码认证　219 6.2.2　会话认证　223 6.3　隐藏通信隧道技术　224 6.3.1　网络层隧道　224 6.3.2　传输层隧道技术　226 6.3.3　应用层隧道技术　227 6.4　攻击加密和认证　230 6.4.1　提取密码　230 6.4.2　密码破解　231 6.4.3　其他密码攻击　234 6.5　总结　234 6.6　关键短语　234 6.7　练习　235 6.7.1　CrypTool　235 6.7.2　提取电子邮件的用户名和密码　237 6.7.3　RainbowCrack　239 6.7.4　John the Ripper　239 第7章　自动攻击和渗透工具　241 7.1　为什么攻击和渗透工具是重要的　241 7.2　脆弱性评估工具　242 7.2.1　源代码评估工具　243 7.2.2　应用评估工具　243 7.2.3　系统评估工具　243 7.2.4　Nessus　245 7.3　自动化漏洞利用工具　252 7.3.1　Metasploit　252 7.3.2　BeEF　256 7.3.3　Core Impact　256 7.3.4　CANVAS　257 7.4　确定使用哪种工具　257 7.5　选择正确的平台　257 7.6　总结　258 7.7　关键术语　258 7.8　练习　259 7.8.1　探究N-Stalker漏洞评估工具　259 7.8.2　探究Kali Linux 上的Searchsploit　260 7.8.3　Metasploit Kali　260 第8章　保障无线网络系统安全　263 8.1　WiFi基础　263 8.1.1　无线客户端和网卡（NIC）　264 8.1.2　无线接入点　265 8.1.3　无线通信标准　266 8.1.4　蓝牙基础　267 8.2　WiFi安全　267 8.2.1　有线等效加密（WEP）　268 8.2.2　WPA（WiFi Protected Access）　269 8.2.3　802.1X认证　270 8.3　无线局域网威胁　271 8.3.1　战争驾驶　271 8.3.2　窃听（Eavesdropping）　275 8.3.3　非法和未授权接入点　278 8.3.4　拒绝服务（Denial of Service，DoS）　279 8.4　利用无线网络　280 8.4.1　查找和评估网络　280 8.4.2　设置Airodump　281 8.4.3　配置Aireplay　281 8.4.4　解除认证和ARP注入　282 8.4.5　捕获IV和破解WEP密钥　282 8.4.6　其他无线网络攻击工具　283 8.4.7　蓝牙利用　283 8.5　保护无线网络安全　284 8.5.1　深度防御　284 8.5.2　滥用检测　284 8.6　总结　285 8.7　关键术语　285 8.8　练习　286 8.8.1　使用NetStumbler　286 8.8.2　使用Wireshark捕获无线流量　287 第9章　恶意软件介绍　289 9.1　恶意软件历史　289 9.2　恶意软件类型　291 9.2.1　病毒　291 9.2.2　蠕虫　294 9.2.3　逻辑炸弹　294 9.2.4　后门和木马　295 9.2.5　Rootkit　298 9.2.6　犯罪软件　300 9.2.7　僵尸网络　302 9.2.8　高级持续性威胁　304 9.2.9　间谍软件和广告软件　304 9.3　常见的攻击媒介　305 9.3.1　社会工程　305 9.3.2　伪装　305 9.3.3　冒充电子邮件　305 9.4　抵御恶意软件　306 9.4.1　杀毒软件　306 9.4.2　文件完整性验证　307 9.4.3　用户教育　307 9.5　总结　308 9.6　关键术语　308 9.7　练习　309 9.7.1　病毒特征　309 9.7.2　构建木马　309 9.7.3　Rootkit　310 9.7.4　查找恶意软件　313 第10章　入侵检测和恶意软件分析　315 10.1　入侵检测系统综述　315 10.2　入侵检测系统的分类及组件　316 10.3　入侵检测技术原理　318 10.4　Snort概述　320 10.4.1　平台兼容性　321 10.4.2　限制访问入侵检测系统的权限　321 10.4.3　验证配置　322 10.5　编写Snort规则　323 10.5.1　规则首部　323 10.5.2　Snort记录数据包　325 10.5.3　规则内容　325 10.6　Snort进阶：检测缓存溢出　327 10.7　对攻击和入侵的响应　328 10.8　恶意软件分析　330 10.8.1　追踪恶意软件来源　331 10.8.2　搭建测试平台　335 10.8.3　恶意软件分析技术　338 10.9　总结　345 10.10　关键术语　345 10.11　练习　346 10.11.1　Windows环境下搭建一个Snort系统　346 10.11.2　分析恶意软件的通信　348 10.11.3　使用VirusTotal分析恶意软件　348 第11章　取证检测　350 11.1　计算机取证　351 11.2　采集　352 11.2.1　驱动器拆卸和散列　353 11.2.2　驱动擦除　355 11.2.3　逻辑和物理副本　355 11.3　认证　358 11.4　追踪证据分析　361 11.4.1　浏览器缓存　363 11.4.2　电子邮件证据　364 11.4.3　删除或覆盖的文件和证据　365 11.4.4　其他追踪证据　366 11.5　隐藏技术　367 11.5.1　常见的文件隐藏技术　367 11.5.2　高级文件隐藏技术　369 11.5.3　隐写术　370 11.6　反取证　373 11.7　总结　374 11.8　关键术语　375 11.9　练习　375 11.9.1　检测隐藏文件　375 11.9.2　阅读电子邮件头部　376 11.9.3　使用S-Tools嵌入和加密邮件　378