网测科技_攻击流量重放测试案例_重放攻击实例

一、攻击流量重放解析

1.1攻击流量重放原理

通过在线报文回放功能实现报文重放功能，模拟真实环境流量，可以通过Tcpdump或者Wireshark捕获的pcap文件进行重放功能，重放已知的网络攻击数据流，通过检查重放报文的完整性，确定受测设备的入侵检测和防御能力。

1.2攻击流量重放用途

感知受测设备的入侵检测和防御能力，该测试重放已知的网络攻击数据流，通过检查重放报文的完整性，确定受测设备的入侵检测和防御能力。

二、攻击流量重放在supernova测试仪中可应用的场景

2.1 网关模式

测试仪同时模拟客户端和服务器，测试流量穿过受测设备（防火墙、交换机、路由器等），得到受测设备的性能。

三、攻击流量重放用例功能介绍

3.1.分配cpu核

用例的运行需要分配cpu核数，该用例限制每个端口只绑定一个核。

3.2限速配置

攻击流量重放用例支持多种流量模型，包括固定速率：设置一个限速数值，运行过程中速率将一直保持该数值，上下浮动不超过1%；
随机速率：限速方式为随机速率时，设置最小、最大限速数值，速率将按每秒从最小速率和最大速率之间随机速率值运行直到运行结束；
梯形速率：限速方式为梯形速率时，设置一个限速数值，运行开始阶段速率将按时间或者百分比递增到该数值，中间过程将一直保持设置的限速数值，运行结束前速率按时间或者百分比递减至0，中间过程上下浮动不超过1%；
雪崩速率：限速方式为雪崩速率时，设置最大、最小速率和保持时长，测试过程中速率将以最大速率保持一段时长，再以最小速率保持一段时长，交替进行；
正弦速率：限速方式为正弦速率时，设置最大、最小速率和渐变时长，测试过程中速率会在每一个渐变时长内完成一次正弦变化；
楼梯速率：限速方式为楼梯速率时，设置初始、最大、递增速率和保持时长，测试过程中速率将以初始速率保持一段时长，按递增速率每次递增并保持一段时长，最后按最大速率一直运行结束，形状类似楼梯。
支持链路层和应用层的限速，限速单位支持最低为bps,最高为Gbps，默认为Mbps。

3.3抓包设置

可以设置需要抓的协议类型，指定IP地址、端口、文件大小或者包数。可在运行前或运行中设置抓包。

3.4延迟重放秒数

测试用例启动后，延迟多少秒开始重放，范围0 - 1,800。

3.5 延迟重放并发数

当重放用例跟HTTP并发用例混合时，TCP并发数量达到多少才开始重放，范围0 - 3,750,000。

3.6 重写报文MAC地址

是否根据测试仪网口的实际MAC地址，修改报文中的MAC地址，测试旁路监听设备可以设置为否，测试其他网络设备一般设置为是。

3.7 重写报文IP地址

是否根据用例配置中的网络参数，修改报文中的IP地址，测试旁路监听设备可以设置为否，测试其他网络设备一般设置为是。

3.8 记录丢包日志

在重放过程中，如果某个报文丢失或超时，是否记录此pcap重放详细。

3.9 报文接收跳转

当接收到正确的报文之后，是否立即跳转到下一个要发送的报文，进行发送。

3.10 丢包停止重放

在重放pcap文件时，如果有任何丢包，就中止重放此pcap文件，跳到下一个pcap文件继续重放。

3.11 流量重放次数

每个pcap文件的重放次数，0表示一直循环重放，直到测试时间终止，范围0 - 10,000,000。

3.12 极速重放超时

重放没有限速，或配置了链路层吞吐限速时，此项配置启用，表示报文等待的超时时长，0表示互不等待，单位为毫秒，范围0-1000。

四、攻击流量重放测试案例

4.1 攻击流量重放用例拓扑图

说明：测试仪使用“网关模式”模拟攻击流量重放的客户端和服务端，过一台防火墙（网关模式），测试防火墙性能。

4.2 攻击流量重放用例目的

本次案例测试防火墙的入侵检测和防御能力，由于攻击流量较多单独选择其中ms02_039_slammer_CVE-2002-0649进行测试。

4.3 攻击流量重放测试预计结果

防火墙成功拦截并记录攻击流量。

五、测试步骤

5.1创建攻击流量重放用例，配置参数。

（1）在系统安全测试中，创建流量攻击重放用例，由于过的是防火墙，需要配置网关，选择网关模式。

（2）分配CPU核数
该用例限制只能使用一个核，此步省略
（3）抓包设置，可以抓包查看。

（4）参数设置
由于非旁挂部署开启重写报文Mac地址和ip地址功能

5.2选择攻击重放对象

（1）选择攻击重放对象，选择对应攻击流量包进行重放测试

（2）点击启动用例

（4）在监控中查看运行界面

（5）生成报告
用例手动终止或者到时后，可在报告页面生成报告。

六、对预期结果进行验证

防火墙未开启防护策略，运行用例结果如下：

防火墙未开启防护策略，未进行主动拦截并记录日志：

ms02_039_slammer_CVE-2002-0649抓包如下：

防火墙开启防护策略，运行用例结果如下：

防火墙开启防护策略，进行主动拦截并记录日志：

测试仪客户端抓包为空被防火墙正常拦截：

测试服务端抓包正常发送：