FTP连接与明文抓取.docx

FTP连接与明文抓取.docx

《FTP连接与明文抓取.docx》由会员分享，可在线阅读，更多相关《FTP连接与明文抓取.docx（6页珍藏版）》请在冰点文库上搜索。

FTP连接与明文抓取

FTP-连接与明文抓取

FTP连接与明文抓取

应用场景

FTPClinet

FTPServer

192.168.x.xx/24

实验目标：

●

●

●

掌握数据嗅探的原理

了解协议封装的过程

掌握典型的嗅探工具的使用

192

实验环境：

虚拟机：

Windows2003IIS6.0，Wireshark抓包软件

实验过程指导：

启动虚拟机，并设置虚拟机的IP地址，以虚拟机为目标主机进行攻防试验。

个别实验

学生可以2-3人一组的形式，攻击方来做实验。

客户端为数据捕获端。

1.设置抓包参数。

运行WireShark，界面如图：

在Capture菜单项中设置抓包的相关参数

选择Interfaces...选项，对话框显示可操作的网络适配器：

通过Options选项，设置如抓包模式、过滤器、数据包限制字节、存档文件模式、停

止规则、名字解析等参数。

设置完毕，即可开始捕获网络数据包。

2.捕获FTP数据包，嗅探密码

本步骤使用LeapFTP,学生可自行使用其它ftp连接工具进行实验。

软件访问某ftp站

点。

四层网络结构，每层都有不同的功能，由不同的协议组成。

设备驱动程序及接口卡

EthernetII的帧结构为目的MAC地址+源MAC地址+上层协议类型+数据字段+校验。

下

图为WireShark显示的协议解析，利用树形结构表示出来。

第一行为WireShark添加、该帧的相关统计信息。

包括捕获时间、编号、帧长度、帧

中所含有的协议等。

细节如图示：

第二行为链路层信息，包括目的MAC地址、源MAC地址、上层协议类型。

第三行为网络层信息，如此处为IP协议。

细节包括版本、头部长度、总长度、标志位

源/目的IP地址、上层协议等。

第四行为传输层信息，包括源/目的端口、序列号、期望的下个序列号、确认号、头部

长度、标志位、窗口长度、校验和等。

第五行为应用层信息，内容由具体的应用层协议决定，此处为FTP协议，显示的是响应

内容。

（1）连接建立

客户端运行FTP，与ftp服务器建立连接。

客户端为10.10.3.50（本地），目的服务器为10.1.1.58，发送连接建立请求。

可观

察到：

TCP标志位仅SYN置1，设置（相对）序列号为0（此处的序列号并不是真正的数据

流字节号，只表示在此次连接过程中的序号），请求与FTP服务器建立连接。

本地的源端

口号为3885，目的端口号为21（默认的FTP服务端口）。

等待确认。

服务器确认请求

服务器ftp.：

//10.1.1.58（XXX.XXX.XXX.157）收到请求数据包后，若同意请求，则向客户端

做出确认应答。

可以看到：

服务器的响应报文中，ACK、SYN标志位置1，序列号为0（理由同上），确认号为1

（是请求报文的相对序列号加1）。

相应端口如图显示：

源21，目的2139。

客户端收到

确认报文后，通知上层应用进程，连接已经建立。

客户端向服务器确认

客户端收到服务器的确认后，向服务器给出确认。

可以看到：

客户端的确认报文中，标志位仅ACK置1，相对序列号为1（请求报文序列号加1），

确认号为1（对服务器确认报文相对序列号加1）。

服务器收到客户端的确认报文后，也

通知其上层应用进程，连接已经建立。

至此，客户端与服务器之间完成了“三次握手”过程，

连接建立。

通过WireShark，我们能够了解到数据包中的全部明文信息，而且WireShark还能通过

序列号及确认号做出分析，判断该帧属于连接过程中的哪一阶段。

（2）数据传输（此部分捕获用户名、密码，为重点内容）

传输建立后，服务器的FTP进程做出响应：

150：

表示“服务就绪”。

后面为服务器返回的欢迎信息。

服务器的响应报文中ACK、PSH标志位置1，PSH位置1表示服务器希望尽快得到

客户端的响应。

客户端接收到此报文后会尽快将此报文交付应用进程，而不是等到缓存堆满

后交付。

展开应用层信息分支，我们能看到服务器的响应报文内容。

响应码为150，响应消息

为welcometoXXXXXXXXXXXXXXFTPserver。

下图为响应内容的字节码显示。

客户端收到响应报文后，完成后续操作：

本地FTP提示用户输入用户名，报文内容为向服务器发送用户名请求

从上一步服务器的响应报文中，我们能看到TCP传送下一段数据流的首字节序号将为

56。

此时客户端发送报文中的确认序号为56，可见此帧即为上一帧的应答。

标志位中，ACK、

PSH置1。

图中高亮显示的[SEQ/ACKanalysis]也说明：

客户端FTP发送的内容为用户名请求。

此时所用的用户名为ssq。

图中标黑粗下划线

所示。

服务器收到后，对此请求给予确认：

其中，标志位ACK置1。

之后，服务器FTP返回应答：

用户名正确，需要口令。

下图我们可以看到服务器详细的响应内容

标志位ACK、PSH置1，响应码、响应消息如图。

客户端收到交给本地FTP处理，用户键入口令，客户端向服务器发送请求：

请求的内容为口令PASS，消息为guest@，图中标黑粗下划线所示。

此时，

用户名、密码均已嗅探得到了。

服务器针对客户端的请求，发送了两条响应帧，图中编号41、43：

以上两帧响应客户端的请求，表示用户注册完毕。

现在，客户端已经完全登录到FTP

务器上，之后的帧为客户端对服务器的一些访问操作。

（3）连接释放

客户端向服务器发送退出连接请求：

应用进程的请求命令为QUIT。

实际操作是在LeapFTP菜单栏上选择“断开连接”。

服

务器收到后响应：

221表示服务器关闭连接，返回消息Goodbye。

现在，客户端与服务器已经断开了FTP

连接。

接下来要结束此次TCP传输连接。

服务器在对客户端FTP断开连接请求作出响应后，向客户端发送TCP连接释放应答：

标志位ACK、FIN置1，将要终止此次连接。

客户端做出响应：

●

●

●

标志位ACK、FIN置1，将要终止此次连接

客户端做出响应：

标志位为ACK置1。

客户端首先完成确认，不再接受服务器发送的数据。

之后客户端不再向服务器发送数

据应用进程通知TCP释放连接，标志位为FIN、ACK置1。

但实验时因未知原因，客户端

此时

的响应为标志位ACK、RST置1：

两个客户端发出报文的确认号相同，如图示。

正常连接释放过程中，服务器还将响应

一个ACK报文。

经三次“握手”后整个连接完全释放。