1. 实验目的和要求
实验目的：理解网络扫描、网络侦察的作用；初步掌握搭建网络渗透测试平台；了解并熟悉常用搜索引擎、扫描工具的应用，通过信息收集为下一步渗透工作打下基础。
系统环境：Kali Linux 2、Metasploitable2、Windows
网络环境：交换网络结构
实验工具： Metasploitable2（需自行下载虚拟机镜像）、Nmap（Kali）、Goby等；WinHex、数据恢复软件等
2. 实验步骤
1、用搜索引擎Google或百度搜索麻省理工学院网站中文件名包含“network security”的pdf文档，截图搜索得到的页面。
2、编码解码
将Z29vZCBnb29kIHN0dWR5IQ==解码。截图。
3、地址信息
3.1内网中捕获到一个以太帧，源MAC地址为：98-CA-33-02-27-B5；目的IP地址为：202.193.64.34，回答问题：该用户使用的什么品牌的设备，访问的是什么网站？并附截图。
（1）设备品牌查询：
MAC地址：98-CA-33-02-27-B5
提取OUI（组织唯一标识符）：前6位十六进制字符 98:CA:33
（2）查询OUI数据库：我使用maclookup.app查询的结果显示：
根据查询可以得到访问的是一个教育网站：China Education and Research Network（中国教育和科研计算机网）
3.2 访问https://whatismyipaddress.com得到MyIP信息，利用ipconfig(Windows)或ifconfig(Linux)查看本机IP地址，两者值相同吗？如果不相同的话，说明原因。
MyIP:
(Windows)
(Linux)
本机IP地址为 （192.168.173.117），而通过 MyIP 查询得到的是 （111.55.11.139），两者并不相同。原因如下：
1. 地址类型与作用范围不同
A.192.168.173.117属于私有IP地址，仅在本地局域网内有效，一般由路由器通过 DHCP 协议分配给当前设备使用。
B.111.55.11.139属于公有IP地址，由互联网服务提供商（ISP）分配给你的路由器，用于在互联网中唯一标识你所在的整个网络。
2. 查询方式的区别
A.使用ipconfig（Windows）或 ifconfig（Linux）所获取的是本机在局域网内的私有IP地址。
B.通过MyIP类网站（如 whatismyipaddress.com）查询到的，实际上是你的路由器在互联网上所呈现的公有 IP 地址，也是外部设备在与你通信时所看到的地址。
总的来说，192.168.173.117用于内部网络通信，而111.55.11.139则用于在互联网上标识你的整个网络。
4、利用ZoomEye搜索一个基于WordPress的CMS网站，查阅资料描述其可能存在的安全问题。
缺少：X-Frame-Options（防止点击劫持攻击）；X-Content-Type-Options（防止MIME类型混淆攻击）；X-Content-Type-Option（防御跨站脚本(XSS)等攻击）
5、NMAP使用
Kali、Metasploitable2均采用NAT模式。
5.1利用NMAP扫描Metasploitable2（需下载虚拟机镜像）的端口开放情况。并附截图。说明其中四个端口的提供的服务，查阅资料，简要说明该服务的功能。
端口开放情况：
其中四个端口的提供的服务：
（1）21/tcp端口提供的服务是FTP（文件传输协议），其功能是允许客服端与服务器之间的上传，下载，删除或者重新命名文件。
（2）80/tcp端口提供的服务是HTTP（网页协议），其功能是静态内容展示：HTML/CSS/JS文件，图片，文档等。动态交互：通过PHP.ASP等后端语言处理表单提交，用户登录，数据库查询等。
Web应用支持：如博客系统，电商平台，内容管理系统等。
（3）512/tcp端口提供的服务是默认运行Rexecd(remote execution daemon),其功能是：a.接收客服端发送的远程命令请求并执行。b.需要用户提供用户名和密码。
（4）3306/tcp端口是MySQL数据库的默认端口，用于客服端与数据库之间的服务通信.
5.2利用NMAP扫描Metasploitable2的操作系统类型，并附截图。
5.3 利用NMAP穷举 Metasploitable2上dvwa的登录账号和密码。
可以得到：登录账号为：usename密码为：password
6、Winhex简单数据恢复与取证
6.1 elephant.jpg不能打开了，利用WinHex修复，说明修复过程。
图片显示异常，经 Winhex 分析发现其文件头被修改过。正确的 JPEG 文件头应为 FF D8 FF。应该将其修正为正确格式并保存，即可恢复图片的正常显示。
6.2 尝试使用数据恢复软件恢复你的U盘中曾经删除的文件。
7.某个同学手机作为热点，两台物理机连接到该热点，两台物理机都开启Wireshark，PC1 ping PC2。
7.1 Wireshark中如何仅查看两机间ping操作产生的流量，你定义的过滤规则是什么？并进行分析，ping操作用到什么协议？
ping 命令直接使用 ICMP (Internet Control Message Protocol) 协议，这是一种工作在网络层（OSI第三层/TCP-IP网际层）的协议
7.2 ping作为一个应用，是否用到传输层协议，如果用到是哪一个传输层协议（TCP或UDP）？
ping 是网络层工具。不使用任何传输层协议（既不用TCP，也不用UDP）。它直接使用网络层的ICMP协议与目标主机通信。
8、gobyhttps://gobies.org/应用，安装并试用该漏洞扫描器，扫描结果截图并分析。
扫描结果：
分析：
通过截图可以观察到有三个弱口令漏洞：（1）Tomcat 弱口令 → 端口 8180（2）MySQL 弱密码 → 端口 3306（3）FTP（vsftpd）弱口令 → 端口 21
3. 实验小结
（1）主要区分了ip.src,ip.dst,ip.addr三个的区别：
1.使用 ip.src == [本机IP] 专门查看发出的探测请求。
2.使用 ip.dst == [目标IP] 专门分析目标对探测的响应。
3.使用 ip.addr == [某IP] 总览与该IP相关的所有交互流量，这对分析双向通信和会话重建至关重要。
（2）使用Ping请求超时的常见原因有：
1. 目标关机，解决方案：检查目标状态
2. 防火墙拦截，解决方案：检查防火墙设置
3. 网络不通，解决方案：检查防火墙设置