基于kali的获取敏感信息方法浅析

2019-04-30 11:11刘峙晨梁丽琴苏雨薇陈荣贵林晓刚王炅
智富时代 2019年3期
关键词:个人信息网络安全互联网

刘峙晨 梁丽琴 苏雨薇 陈荣贵 林晓刚 王炅

【摘 要】Kali Linux是基于Debian的Linux发行版,设计用以数字取证的操作系统。预装了许多渗透测试软件,包括nmap 、Wireshark等。而ARP协议是局域网中常见协议,此次研究使用arp欺骗。目标的隐私信息。使用arpspoof工具进行测试。获取目标的账号密码,说明了网络的脆弱性。本次研究使用的是kali自带的arpspoof工具。

【关键词】互联网;网络安全;个人信息

一、引言

随着互联网技术的不断发展,据统计,2018年全国病毒感染次数11.25亿次病毒总体数量比2017年同期上涨55.63%。[1]在局域网内获取用户隐私信息,账号密码等方法越来越多。灰色链条总能带来更多的利益,犯罪分子被利益吸引投入各种黑产领域。对网络安全构成了严重威胁,为了更好地保障计算机网络技术的应用,我们进行了关于基于kali的获取内网敏感信息方法分析研究。而路由器作为最为常见的网络设备,arp协议是tcp/ip协议的一个基本协议,arp协议高效,快捷,但不安全,容易遭受中间人攻击。网络协议通常抽象难以理解。对于初学者理解困难,因此我们使用图表进行arp协议详细描述,对于抽象协议的理解有很大帮助,展现网络易受攻击的风险。

二、ARP欺骗攻击原理以及kali内置工具的介绍

1、ARP协议介绍

地址解析协议,即ARP协议,在局域网中,当主机发送信息时会将包含目标ip的ARP请求广播到所有局域网中的主机,当目标机接收到消息后返回ip和物理地址,主机不会判断该返回信息真假,直接将返回信息存入arp缓存中,以便下次直接发送,节约时间。ARP协议高效,但是不安全。

首先,arp协议不会确定信息是否被正确的目标主机收到,arp协议下主机只考虑将数据发送出去,其次,arp协议建立在对整个局域网中所有主机都信任的基础之上,局域网中接收到信息的所有主机都可以应答。也就是说,无论局域网中哪一台主机应答,arp协议都不会核实是否是目标主机的应答。

为了更好的说明整个过程,我们用拓扑图表示,假设局域网中A、B、C主机是信任关系,主机C欲向A发送数据包,C主机在内网中进行广播,中间人B通过前期准备,可以发现A的漏洞,使A暂时无法工作,然后B发送包含自己MAC地址的ARP应答给C。电脑C在接收到ARP应答后会更新ARP缓存,而不考虑是否是A发出的应答(图1),所以C就将发往A的数据包发向了B,B再将数据发给C,但A和C却对此全然不知,因此B就实现对A和C的监听。(图2)

2、中间人攻击之Ettercap嗅探工具介绍

中间人攻击的两种常用方法:ARP欺骗、DNS欺骗。本文使用ARP欺骗。

Ettercap工具是在Linux系统下运行的。我们常称呼它为嗅探工具,有ARP欺骗,DNS,劫持,中间人攻击等功能。总之这是一款强大的安全测试工具。

本文主要研究使用Ettercap工具的中间人攻击。其实Ettercap的功能是很强大的,插件提供了很多功能,例如ARP响应、DNS欺骗、Dos攻击等。

三、模拟arp欺骗获取账号密码

(1)首先,找到目标ip与网关ip

root@kali:~# ip route

default via 192.168.0.1 dev eth0 proto dhcp metric 100 //確定自己的网关192.168.0.1

Nmap scan report for 192.168.0.101 //找到目标ip192.168.0.101

(2)配置配置端口转发后开启ARP欺骗

root@kali:~# echo 1 >/proc/sys/net/ipv4/ip_forward //开启转发

root@kali:~# arpspoof -i eth0 -t 192.168.0.1 192.168.0.104 //开始欺骗

(3)启动ettercap嗅探工具

root@kali:~# ettercap -Tq -i eth0

ettercap 0.8.2 copyright 2001-2015 Ettercap Development Team //启动成功

(4)登录龙珠直播网页,输入账号:13685000000 密码:abc123456

在Ettercap工具中就会显示截取的账号密码

HTTP : 124.160.150.51:80 -> USER: 13685000000 PASS: abc123456 INFO: http://login.longzhu.com/enter //成功获取账号密码

四、结论

在日常生活中,开放的wifi,热点随处可见,但是他们的安全性却无法保证,大数据统计表明仅从2015年下半年到2016年上半年,我国网民因垃圾信息、诈骗信息、个人信息泄露等遭受的经济损失就高达915亿元。[2]2019年315晚会现场展示了如何使用网络技术获取个人隐私信息。本文展示了利用kali系统自带的Ettercap工具进行欺骗等攻击获取内网用户的浏览内容,账号密码等私人信息。加强个人网络安全意识,避免接入不明无线网络,均能降低个人无线网络使用过程中的信息泄露风险。注意使用网络的安全性,人们应该更加谨慎的连接公共场合未知的互联网。以保护自己的信息安全。

【参考文献】

[1]2018年中国网络安全报告[R]瑞星网.

[2]中国互联网协会[R] 2016年中国网民权益保护与调查报告2016.06.22.

猜你喜欢
个人信息网络安全互联网
如何保护劳动者的个人信息?
个人信息保护进入“法时代”
警惕个人信息泄露
网络安全
网络安全人才培养应“实战化”
上网时如何注意网络安全?
从“数据新闻”看当前互联网新闻信息传播生态
互联网背景下大学生创新创业训练项目的实施
个人信息保护等6项通信行业标准征求意见