SECURITY02 - 数据加密、AIDE入侵检测系统、扫描与抓包

NSD SECURITY DAY02

案例1：加密与解密应用
案例2：使用AIDE做入侵检测
案例3：扫描与抓包分析

1 案例1：加密与解密应用

1.1 问题

本案例要求采用gpg工具实现加/解密及软件签名等功能，分别完成以下任务：

1. 检查文件的MD5校验和
2. 使用GPG实现文件机密性保护，加密和解密操作
3. 使用GPG的签名机制，验证数据的来源正确性

1.2 方案

加密算法主要有以下几种分类：

1.为确保数据机密性算法：

a) 对称加密算法(AES,DES)

b) 非对称加密算法（RSA，DSA）

2.为确保数据完整性算法：

a) 信息摘要（MD5，SHA256，SHA512）

1.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：检查文件的MD5校验和

1） 查看文件改动前的校验和，复制为新文件其校验和不变

1. [root@proxy ~]# vim file1.txt
2. abcdef
3. 123456779
4. [root@proxy ~]# cp file1.txt file2.txt
5. [root@proxy ~]# cat file1.txt > file3.txt
6. [root@proxy ~]# md5sum file?.txt                 //文件内容一致，则校验和也不变
7. b92aa0f8aa5d5af5a47c6896283f3536 file1.txt
8. b92aa0f8aa5d5af5a47c6896283f3536 file2.txt
9. b92aa0f8aa5d5af5a47c6896283f3536 file3.txt

2） 对文件内容稍作改动，再次检查校验和，会发现校验和已大不相

       [root@proxy ~]# echo "x" >> file1.txt

1. [root@proxy ~]# md5sum file?.txt
2. 6be3efe71d8b4b1ed34ac45f4edd2ba7 file1.txt
3. b92aa0f8aa5d5af5a47c6896283f3536 file2.txt
4. b92aa0f8aa5d5af5a47c6896283f3536 file3.txt

步骤二：使用GPG对称加密方式保护文件

GnuPG是非常流行的加密软件，支持所有常见加密算法，并且开源免费使用。

1）确保已经安装了相关软件（默认已经安装好了）

       [root@proxy ~]# yum -y install gnupg2            //安装软件

1. [root@proxy ~]# gpg --version                    //查看版本
2. gpg (GnuPG) 2.0.22

2） gpg使用对称加密算法加密数据的操作

执行下列操作：

1. [root@proxy ~]# gpg -c file2.txt
2. .. ..

根据提示依次输入两次密码即可。如果是在GNOME桌面环境，设置密码的交互界面会是弹出的窗口程序，如图-1所示：

图－1

如果是在tty终端执行的上述加密操作，则提示界面也是文本方式的，如图-2所示。

图-2

根据提示输入两次口令，加密后的文件（自动添加后缀 .gpg）就生成了，传递过程中只要发送加密的文件（比如 file2.txt.gpg）就可以了。

      [root@proxy ~]# cat file2.txt.gpg                    //查看加密数据为乱码

3）使用gpg对加密文件进行解密操作

收到加密的文件后，必须进行解密才能查看其内容。

      [root@proxy ~]# gpg -d file2.txt.gpg > file2.txt     //解密后保存

1. gpg: 3DES 加密过的数据
2. .. ..                                             //根据提示输入正确密码
4. [root@proxy ~]# cat file2.txt                     //查看解密后的文件
5. abcdef
6. 123456779

步骤三：使用GPG非对称加密方式保护文件

非对称加密/解密文件时，UserA（192.168.4.100）生成私钥与公钥，并把公钥发送给UserB（192.168.4.5），UserB使用公钥加密数据，并把加密后的数据传给UserA，UserA最后使用自己的私钥解密数据。

实现过程如下所述。

1）接收方UserA创建自己的公钥、私钥对(在192.168.4.100操作)

     [root@client ~]# gpg –gen-key //创建密钥对

1. … …
2. 请选择您要使用的密钥种类：
3. (1) RSA and RSA (default)                            //默认算法为RSA
4. (2) DSA and Elgamal
5. (3) DSA (仅用于签名)
6. (4) RSA (仅用于签名)
7. 您的选择？                                             //直接回车默认(1)
8. RSA 密钥长度应在 1024 位与 4096 位之间。
9. 您想要用多大的密钥尺寸？(2048)                             //接受默认2048位
10. 您所要求的密钥尺寸是 2048 位
11. 请设定这把密钥的有效期限。
12. 0 = 密钥永不过期
13. <n> = 密钥在 n 天后过期
14. <n>w = 密钥在 n 周后过期
15. <n>m = 密钥在 n 月后过期
16. <n>y = 密钥在 n 年后过期
17. 密钥的有效期限是？(0)                                         //接受默认永不过期
18. 密钥永远不会过期
19. 以上正确吗？(y/n)y                                         //输入y确认
21. You need a user ID to identify your key; the software constructs the user ID
22. from the Real Name, Comment and Email Address in this form:
23. “Heinrich Heine (Der Dichter) ”
24. 真实姓名：UserA
25. 电子邮件地址：UserA@tarena.com
26. 注释：UserA
27. 您选定了这个用户标识：
28. “UserA (UserA) <UserA@tarena.com>”
30. 更改姓名(N)、注释(C)、电子邮件地址(E)或确定(O)/退出(Q)？O         //输入大写O确认
31. 您需要一个密码来保护您的私钥。
33. 我们需要生成大量的随机字节。这个时候您可以多做些琐事(像是敲打键盘、移动
34. 鼠标、读写硬盘之类的)，这会让随机数字发生器有更好的机会获得足够的熵数。
38. gpg: 正在检查信任度数据库
39. gpg: 需要 3 份勉强信任和 1 份完全信任，PGP 信任模型
40. gpg: 深度：0 有效性： 1 已签名： 0 信任度：0-，0q，0n，0m，0f，1u
41. pub 2048R/421C9354 2017-08-16
42. 密钥指纹 = 8A27 6FB5 1315 CEF8 D8A0 A65B F0C9 7DA6 421C 9354
43. uid UserA (UserA) <UserA@tarena.com>
44. sub 2048R/9FA3AD25 2017-08-16

注意：生产密钥后当前终端可能会变的无法使用，执行reset命令即可，或者关闭后再开一个终端。

2）UserA导出自己的公钥文件(在192.168.4.100操作)

用户的公钥、私钥信息分别保存在pubring.gpg和secring.gpg文件内：

[root@client ~]# gpg –list-keys                         //查看公钥环

1. /root/.gnupg/pubring.gpg
2. ——————————
3. pub 2048R/421C9354 2017-08-16
4. uid UserA (User A) <UserA@tarena.com>
5. sub 2048R/9FA3AD25 2017-08-16

使用gpg命令结合–export选项将其中的公钥文本导出：

[root@client ~]# gpg -a –export UserA > UserA.pub

1. //–export的作用是导出密钥，-a的作用是导出的密钥存储为ASCII格式
2. [root@client ~]# scp UserA.pub 192.168.4.5:/tmp/
3. //将密钥传给Proxy

3）UserB导入接收的公钥信息（在192.168.4.5操作）

使用gpg命令结合–import选项导入发送方的公钥信息，以便在加密文件时指定对应的公钥。

       [root@proxy ~]# gpg –import /tmp/UserA.pub

1. gpg: 密钥 421C9354：公钥“UserA (UserA) <UserA@tarena.com>”已导入
2. gpg: 合计被处理的数量：1
3. gpg: 已导入：1 (RSA: 1)

4) UserB使用公钥加密数据，并把加密后的数据传给UserA（在192.168.4.5操作）

       [root@proxy ~]# echo “I love you .” > love.txt

1. [root@proxy ~]# gpg -e -r UserA love.txt
2. 无论如何还是使用这把密钥吗？(y/N)y                         //确认使用此密钥加密文件
3. //-e选项是使用密钥加密数据
4. //-r选项后面跟的是密钥，说明使用哪个密钥对文件加密
5. [root@proxy ~]# scp love.txt.gpg 192.168.4.100:/root    //加密的数据传给UserA

4）UserA以自己的私钥解密文件（在192.168.4.100操作）

       [root@client ~]# gpg -d love.txt.gpg > love.txt

1. 您需要输入密码，才能解开这个用户的私钥：“UserA (UserA) <UserA@163.com>”
2. 2048 位的 RSA 密钥，钥匙号 9FA3AD25，建立于 2017-08-16 (主钥匙号 421C9354)
3.                                                 //验证私钥口令
4. gpg: 由 2048 位的 RSA 密钥加密，钥匙号为 9FA3AD25、生成于 2017-08-16
5. “UserA (UserA) <UserA@163.com>”
6. [root@client ~]# cat love.txt                     //获得解密后的文件内容
7. I love you.

步骤四：使用GPG的签名机制，检查数据来源的正确性

使用私钥签名的文件，是可以使用对应的公钥验证签名的，只要验证成功，则说明这个文件一定是出自对应的私钥签名，除非私钥被盗，否则一定能证明这个文件来自于某个人！

1）在client(192.168.4.100)上，UserA为软件包创建分离式签名

将软件包、签名文件、公钥文件一起发布给其他用户下载。

       [root@client ~]# tar zcf log.tar /var/log             //建立测试软件包

1. [root@client ~]# gpg -b log.tar                     //创建分离式数字签名
2. [root@client ~]# ls -lh log.tar*
3. -rw-rw-r–. 1 root root 170 8月 17 21:18 log.tar
4. -rw-rw-r–. 1 root root 287 8月 17 21:22 log.tar.sig
5. [root@client ~]# scp log.tar* 192.168.4.5:/root        //将签名文件与签名传给UserB

2）在192.168.4.5上验证签名

       [root@proxy ~]# gpg –verify log.tar.sig log.tar

1. gpg:于2028年06月07日 星期六 23时23分23秒 CST 创建的签名，使用 RSA，钥匙号 421C9354
2. gpg: 完好的签名，来自于“UserA (UserA) <UserA@163.com>”
3. .. ..

2 案例2：使用AIDE做入侵检测

2.1 问题

本案例要求熟悉Linux主机环境下的常用安全工具，完成以下任务操作：

1. 安装aide软件
2. 执行初始化校验操作，生成校验数据库文件
3. 备份数据库文件到安全的地方
4. 使用数据库执行入侵检测操作

2.2 方案

Aide通过检查数据文件的权限、时间、大小、哈希值等，校验数据的完整性。

使用Aide需要在数据没有被破坏前，对数据完成初始化校验，生成校验数据库文件，在被攻击后，可以使用数据库文件，快速定位被人篡改的文件。

2.3 步骤

实现此案例需要按照如下步骤进行。

步骤一：部署AIDE入侵检测系统

1）安装软件包

   [root@proxy ~]# yum -y install aide

2) 修改配置文件

确定对哪些数据进行校验，如何校验数据

[root@proxy ~]# vim /etc/aide.conf

1. @@define DBDIR /var/lib/aide                            //数据库目录
2. @@define LOGDIR /var/log/aide                            //日志目录
3. database_out=file:@@{DBDIR}/aide.db.new.gz                //数据库文件名
4. //一下内容为可以检查的项目（权限，用户，组，大小，哈希值等）
5. #p: permissions
6. #i: inode:
7. #n: number of links
8. #u: user
9. #g: group
10. #s: size
11. #md5: md5 checksum
12. #sha1: sha1 checksum
13. #sha256: sha256 checksum
14. DATAONLY = p+n+u+g+s+acl+selinux+xattrs+sha256
15. //以下内容设置需要对哪些数据进行入侵校验检查
16. //注意：为了校验的效率，这里将所有默认的校验目录与文件都注释
17. //仅保留/root目录，其他目录都注释掉
18. /root DATAONLY
19. #/boot NORMAL                                    //对哪些目录进行什么校验
20. #/bin NORMAL
21. #/sbin NORMAL
22. #/lib NORMAL
23. #/lib64 NORMAL
24. #/opt NORMAL
25. #/usr NORMAL
26. #!/usr/src                                        //使用[!]，设置不校验的目录
27. #!/usr/tmp

步骤二：初始化数据库，入侵后检测

1）入侵前对数据进行校验，生成初始化数据库

[root@proxy ~]# aide –init

1. AIDE, version 0.15.1
2. AIDE database at /var/lib/aide/aide.db.new.gz initialized.
3. //生成校验数据库，数据保存在/var/lib/aide/aide.db.new.gz

2）备份数据库，将数据库文件拷贝到U盘（非必须的操作）

[root@proxy ~]# cp /var/lib/aide/aide.db.new.gz /media/

3）入侵后检测

[root@proxy ~]# cd /var/lib/aide/

1. [root@proxy ~]# mv aide.db.new.gz aide.db.gz
2. [root@proxy ~]# aide –check                            //检查哪些数据发生了变化

3 案例3：扫描与抓包分析

3.1 问题

本案例要求熟悉Linux主机环境下的常用安全工具，完成以下任务操作：

1. 使用NMAP扫描来获取指定主机/网段的相关信息
2. 使用tcpdump分析FTP访问中的明文交换信息

3.2 步骤

实现此案例需要按照如下步骤进行。

步骤一：使用NMAP扫描来获取指定主机/网段的相关信息

1）安装软件=

[root@proxy ~]# yum -y install nmap

1. //基本用法：
2. # nmap [扫描类型] [选项] <扫描目标 …>
3. //常用的扫描类型
4. // -sS，TCP SYN扫描（半开）
5. // -sT，TCP 连接扫描（全开）
6. // -sU，UDP扫描
7. // -sP，ICMP扫描
8. // -A，目标系统全面分析

2）检查192.168.4.100主机是否可以ping通

[root@proxy ~]# nmap -sP 192.168.4.100

1. Starting Nmap 6.40 ( http://nmap.org ) at 2018-06-06 21:59 CST
2. mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using –system-dns or specify valid servers with –dns-servers
3. Nmap scan report for host3 (192.168.4.100)
4. Host is up (0.00036s latency).
5. MAC Address: 52:54:00:71:07:76 (QEMU Virtual NIC)
6. Nmap done: 1 IP address (1 host up) scanned in 0.02 seconds

使用-n选项可以不执行DNS解析

[root@proxy ~]# nmap -n -sP 192.168.4.100

1. Starting Nmap 6.40 ( http://nmap.org ) at 2018-06-06 22:00 CST
2. Nmap scan report for 192.168.4.100
3. Host is up (0.00046s latency).
4. MAC Address: 52:54:00:71:07:76 (QEMU Virtual NIC)
5. Nmap done: 1 IP address (1 host up) scanned in 0.03 seconds

3）检查192.168.4.0/24网段内哪些主机可以ping通

[root@proxy ~]# nmap -n -sP 192.168.4.0/24

1. Starting Nmap 5.51 ( http://nmap.org ) at 2017-05-17 18:01 CST
2. Nmap scan report for 192.168.4.1
3. Host is up.
4. Nmap scan report for 192.168.4.7
5. Host is up.
6. Nmap scan report for 192.168.4.120
7. Host is up (0.00027s latency).
8. MAC Address: 00:0C:29:74:BE:21 (VMware)
9. Nmap scan report for 192.168.4.110
10. Host is up (0.00016s latency).
11. MAC Address: 00:50:56:C0:00:01 (VMware)
12. Nmap scan report for 192.168.4.120
13. Host is up (0.00046s latency).
14. MAC Address: 00:0C:29:DB:84:46 (VMware)
15. Nmap done: 256 IP addresses (5 hosts up) scanned in 3.57 seconds

4）检查目标主机所开启的TCP服务

[root@proxy ~]# nmap -sT 192.168.4.100

1. Starting Nmap 5.51 ( http://nmap.org ) at 2018-05-17 17:55 CST
2. Nmap scan report for 192.168.4.100
3. Host is up (0.00028s latency).
4. Not shown: 990 closed ports
5. PORT STATE SERVICE
6. 21/tcp open ftp
7. 22/tcp open ssh
8. 25/tcp open smtp
9. 80/tcp open http
10. 110/tcp open pop3
11. 111/tcp open rpcbind
12. 143/tcp open imap
13. 443/tcp open https
14. 993/tcp open imaps
15. 995/tcp open pop3s
16. MAC Address: 00:0C:29:74:BE:21 (VMware)
18. Nmap done: 1 IP address (1 host up) scanned in 1.31 seconds

5）检查192.168.4.0/24网段内哪些主机开启了FTP、SSH服务

[root@proxy ~]# nmap -p 21-22 192.168.4.0/24

1. Starting Nmap 5.51 ( http://nmap.org ) at 2017-05-17 18:00 CST
2. Nmap scan report for 192.168.4.1
3. Host is up (0.000025s latency).
4. PORT STATE SERVICE
5. 21/tcp open ftp
6. 22/tcp open ssh
8. Nmap scan report for 192.168.4.7
9. Host is up.
10. PORT STATE SERVICE
11. 21/tcp filtered ftp
12. 22/tcp filtered ssh
14. Nmap scan report for 192.168.4.120
15. Host is up (0.00052s latency).
16. PORT STATE SERVICE
17. 21/tcp open ftp
18. 22/tcp open ssh
19. MAC Address: 00:0C:29:74:BE:21 (VMware)
21. Nmap scan report for pc110.tarena.com (192.168.4.110)
22. Host is up (0.00038s latency).
23. PORT STATE SERVICE
24. 21/tcp closed ftp
25. 22/tcp closed ssh
26. MAC Address: 00:50:56:C0:00:01 (VMware)
28. Nmap scan report for 192.168.4.120
29. Host is up (0.00051s latency).
30. PORT STATE SERVICE
31. 21/tcp closed ftp
32. 22/tcp closed ssh
33. MAC Address: 00:0C:29:DB:84:46 (VMware)
35. Nmap done: 256 IP addresses (5 hosts up) scanned in 4.88 seconds

6）检查目标主机所开启的UDP服务

[root@proxy ~]# nmap -sU 192.168.4.100             //指定-sU扫描UDP

1. 53/udp open domain
2. 111/udp open rpcbind

7）全面分析目标主机192.168.4.100和192.168.4.5的操作系统信息

[root@proxy ~]# nmap -A 192.168.4.100,5

2. Starting Nmap 5.51 ( http://nmap.org ) at 2017-05-17 18:03 CST
3. Nmap scan report for 192.168.4.100                     //主机mail的扫描报告
4. … …
5. 1 1.55 ms 192.168.4.100

步骤二：使用tcpdump分析FTP访问中的明文交换信息

1）准备Vsftpd服务器（192.168.4.5操作）

[root@proxy ~]# yum -y install vsftpd

1. [root@proxy ~]# systemctl restart vsftpd

2）启用tcpdump命令行抓包

执行tcpdump命令行，添加适当的过滤条件，只抓取访问主机192.168.4.5的21端口的数据通信 ，并转换为ASCII码格式的易读文本。

这里假设，192.168.4.5主机有vsftpd服务，如果没有需要提前安装并启动服务！！！

[root@proxy ~]# tcpdump -A host 192.168.4.5 and tcp port 21

1. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
2. listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
3. .. ..                                            //进入等待捕获数据包的状态
4. //监控选项如下：
5. // -i，指定监控的网络接口（默认监听第一个网卡）
6. // -A，转换为 ACSII 码，以方便阅读
7. // -w，将数据包信息保存到指定文件
8. // -r，从指定文件读取数据包信息
9. //tcpdump的过滤条件：
10. // 类型：host、net、port、portrange
11. // 方向：src、dst
12. // 协议：tcp、udp、ip、wlan、arp、……
13. // 多个条件组合：and、or、not

3）执行FTP访问，并观察tcpdump抓包结果

从192.168.4.100访问主机192.168.4.5的vsftpd服务。

[root@client ~]# yum -y install ftp

1. [root@client ~]# ftp 192.168.4.5
2. Connected to 192.168.4.200 (192.168.4.200).
3. 220 (vsFTPd 3.0.2)
4. Name (192.168.4.200:root): tom //输入用户名
5. 331 Please specify the password.
6. Password: //输入密码
7. 530 Login incorrect.
8. Login failed.
9. ftp>quit //退出

观察抓包的结果（回到porxy主机观察tcpdump抓包的结果）：

[root@proxy ~]#

1. … …
2. 18:47:27.960530 IP 192.168.4.100.novation > 192.168.4.5.ftp: Flags [P.], seq 1:14, ack 21, win 65515, length 13
3. E..5..@.@……x…d.*..G.\c.1BvP…….USER tom
4. 18:47:29.657364 IP 192.168.4.100.novation > 192.168.4.5.ftp: Flags [P.], seq 14:27, ack 55, win 65481, length 13
5. E..5..@.@……x…d.*..G.\p.1B.P…….PASS 123

4)再次使用tcpdump抓包，使用-w选项可以将抓取的数据包另存为文件，方便后期慢慢分析。

[root@proxy ~]# tcpdump -A -w ftp.cap \

1. > host 192.168.4.5 and tcp port 21                            //抓包并保存

tcpdump命令的-r选项，可以去读之前抓取的历史数据文件

[root@proxy ~]# tcpdump -A -r ftp.cap | egrep ‘(USER|PASS)’    //分析数据包

1. .. ..
2. E..(..@.@.. …x…d.*..G.\c.1BbP………….
3. 18:47:25.967592 IP 192.168.4.5.ftp > 192.168.4.100.novation: Flags [P.], seq 1:21, ack 1, win 229, length 20
4. E..<FJ@.@.jE…d…x…*.1BbG.\cP…V…220 (vsFTPd 2.2.2)
5. … …
6. 18:47:27.960530 IP 192.168.4.100.novation > 192.168.4.5.ftp: Flags [P.], seq 1:14, ack 21, win 65515, length 13
7. E..5..@.@……x…d.*..G.\c.1BvP…….USER mickey
8. … …
9. 18:47:27.960783 IP 192.168.4.5.ftp > 192.168.4.100.novation: Flags [P.], seq 21:55, ack 14, win 229, length 34
10. E..JFL@.@.j5…d…x…*.1BvG.\pP…i~..331 Please specify the password.
11. … …
12. 18:47:29.657364 IP 192.168.4.5.ftp > 192.168.4.100.novation: Flags [P.], seq 14:27, ack 55, win 65481, length 13
13. E..5..@.@……x…d.*..G.\p.1B.P…….PASS pwd123
14. … …
15. 18:47:29.702671 IP 192.168.4.100.novation > 192.168.4.5.ftp: Flags [P.], seq 55:78, ack 27, win 229, length 23
16. E..?FN@.@.j>…d…x…*.1B.G.\}P…….230 Login successful.

步骤三：扩展知识，使用tcpdump分析Nginx的明文账户认证信息信息

1）在proxy主机(192.168.4.5)准备一台需要用户认证的Nginx服务器

[root@proxy ~]# cd /usr/local/nginx/conf/

1. [root@proxy ~]# cp nginx.conf.default nginx.conf //还原配置文件
2. [root@proxy ~]# vim /usr/local/nginx/conf/nginx.conf
3. server {
4. listen 80;
5. server_name localhost;
6. auth_basic “xx”;
7. auth_basic_user_file “/usr/local/nignx/pass”;
8. … …
9. [root@proxy ~]# htpasswd -c /usr/local/nginx/pass jerry //创建账户文件
10. New password:123 //输入密码
11. Re-type new password:123 //确认密码
12. [root@proxy ~]# nginx -s reload

2）在proxy主机使用tcpdump命令抓包

[root@proxy ~]# tcpdump -A host 192.168.4.5 and tcp port 80

3)在真实机使用浏览器访问192.168.4.5

[root@pc001 ~]# firefox http://192.168.4.5 //根据提示输入用户名与密码

4）回到proxy查看抓包的数据结果

[root@proxy ~]# tcpdump -A host 192.168.4.5 and tcp port 80

1. tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
2. listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
3. … …
4. Authorization: Basic dG9tOjEyMzQ1Ng==
5. … …

5) 查看base64编码内容

[root@proxy ~]# echo “dG9tOjEyMzQ1Ng==” | base64 -d

1. tom:123456
2. [root@proxy ~]# echo “tom:123456” | base64
3. dG9tOjEyMzQ1Ngo=