ARP-spoofing. 8
Oleg Petukhov, avvocato nel campo del diritto internazionale e della protezione dei dati personali, specialista nel campo dell'informazione sicurezza, protezione delle informazioni e dei dati personali.
Canale Telegram: https://t.me/protezionedelleinformazioni
Gruppo in telegramma: https://t.me/protezionedelleinformazioni1
Sito: https://legascom.ru
E-mail: online@legascom.ru
#protezionedelleInformazioni #sicurezzadelleinformazioni
ARP spoofing (ARP Cache poisoning) è un attacco utilizzato per ascoltare una rete costruita su Switch.
ARP (inglese: ARP) Il protocollo Address Resolution Protocol (Address Resolution Protocol) è un protocollo di basso livello utilizzato nelle reti di computer per determinare l'indirizzo del livello di collegamento a un indirizzo noto del livello di rete.
L'essenza di questo attacco è la seguente. L'attaccante invia falsi pacchetti ARP per convincere il computer della vittima che il computer in ascolto è la destinazione finale. Inoltre, i pacchetti dal computer della vittima vengono intercettati e inviati al destinatario reale, l'indirizzo MAC del mittente in essi viene sostituito in modo che anche i pacchetti di risposta passino attraverso il computer di ascolto. Il computer in ascolto diventa il» gateway «per il traffico della vittima e gli aggressori hanno la possibilità di ascoltare il traffico eseguendo un attacco man-in-the-middle.
Vale la pena notare che quando si tenta di ascoltare il traffico di diversi computer che comunicano attivamente e, di conseguenza, l'overflow delle tabelle APR che si verifica in questo caso, è possibile un sovraccarico e, di conseguenza, un calo della rete. Questo, tra le altre cose, è irto del rilevamento di un attacco.
Vale anche la pena notare che questo attacco può essere implementato solo se si ha accesso alla rete locale. Cioè, un utente malintenzionato al di fuori della rete locale non sarà in grado di eseguire lo Spoofing ARP. Per implementare questo attacco, dovrà prima prendere il controllo di una delle macchine che si trova nella rete locale aziendale, e solo allora da questa macchina per avvelenare la cache ARP. D'accordo, non il modo più semplice per implementare l'attacco.
Facciamo un po ' di lavoro pratico sull'implementazione dello spoofing ARP.
Quindi quali saranno i dati originali.
Ci sono più computer collegati allo switch. Dobbiamo intercettare il traffico che viene trasmesso tra queste macchine. Se utilizziamo l'utilità tcpdump descritta in precedenza, possiamo vedere solo i pacchetti provenienti da o verso la nostra macchina. D'accordo, non molto informativo. Per ascoltare il traffico che va ad altri host, dobbiamo "avvelenare" L'ARP della cache. Per risolvere questo problema, avremo bisogno di sniffer speciali.
Nel nostro esempio, utilizzeremo l'utilità ettercap questa applicazione ha edizioni sia sotto la piattaforma Windows che sotto la piattaforma *nix.
L'intercettazione può essere effettuata in tre modi. E se le opzioni MAC e IP standard non ci interessano molto, ARP poisoning based sniffing è esattamente la funzione di cui abbiamo bisogno. Allo stesso tempo, non è necessario alcuno sforzo per applicarlo: l'intera configurazione si riduce alla specifica delle macchine in ascolto in destination e source.
In qualità di intermediario, è possibile non solo intercettare i pacchetti di rete, ma anche, utilizzando Ettercap, eliminarli o persino modificarli. Separatamente, vale la pena notare la funzione di intercettare le password che passano attraverso i protocolli crittografati SSH1, SSH2 e SSL/HTTPS. Per usarlo, è necessario eseguire un programma con filtri speciali (ad esempio, per ssh in questo modo: ettercap-F etter.filter.ssh).
Ora, in realtà, pratica. Per ascoltare il traffico scambiato dalle macchine 192.168.1.2 e 192.168.1.254, è necessario eseguire il comando seguente:
root@kali : # ettercap -T -M arp -L log /192.168.1.2/ /192.168.1.254/
Le opzioni significano:
- T-USA l'interfaccia testuale (console) ;
- M arp-usa il modulo ARP-spoofing per eseguire un attacco;
- L log-registra il registro di intercettazione in file denominati log.*.
Gli argomenti indicano gli indirizzi IP delle macchine contro le quali eseguire L'attacco ARP-spoofing.
Il risultato di questa utility viene visualizzato sullo schermo e scritto in un file di testo. Per interrompere la registrazione, è necessario premere q.
È altamente indesiderabile interrompere il lavoro dell'utilità in altri modi (ad esempio Ctrl-Z), poiché le tabelle ARP di quelle due macchine rimarranno avvelenate. E poiché il programma intermediario ettercap non funzionerà più, la comunicazione tra gli host scomparirà, il che sembrerà molto sospetto.
Per visualizzare il traffico intercettato, è possibile utilizzare l'utilità etterlog. Il file di log predefinito è denominato log.eci.
È così che, ad esempio, potrebbero apparire le credenziali intercettate di una casella di posta elettronica POP 3.
etterlog log.eci
etterlog NG-0.7.3 copyright 2001-2004 ALoR & NaGA
Log file version : NG-0.7.3
Timestamp : Thu Jan 21 12:23:11 2012
Type : LOG_INFO
1698 tcp OS fingerprint
7587 mac vendor fingerprint
2183 known services
==================================================
IP address : 192.168.15.2
MAC address : 00:04:75:75:46:B1
...
MANUFACTURER : Sohoware
DISTANCE : 0
TYPE : LAN host
FINGERPRINT :
OPERATING SYSTEM : UNKNOWN
PORT : TCP 110 | pop-3 []
ACCOUNT : user
/ password
(192.168.15.2)
==================================================
Considera anche il lavoro di questa utility con un'interfaccia grafica. Per fare ciò, è necessario eseguire il comando
ettercap –G
Quindi dovremmo scegliere il tipo di intercettazione del traffico Unified o Bridged. Il primo produce una semplice intercettazione del traffico, mentre il secondo è progettato per interferire con il processo di trasferimento del traffico. Scegli unified. Successivamente, indichiamo l'interfaccia di rete utilizzata. È possibile specificare sia l'opzione cablata che quella wireless.
Quindi dobbiamo decidere da chi vogliamo intercettare il traffico. Per fare ciò, è necessario eseguire la scansione della rete per i nodi attivi. Per avviare la scansione, selezionare host, quindi Scan for hosts. Otteniamo un elenco di nodi attivi con indirizzi IP e MAC. Seleziona il nodo desiderato e fai clic su Aggiungi a destinazione 1. In questa finestra c'è ancora un pulsante Aggiungi a destinazione 2. Nel caso in cui vogliamo intercettare solo il traffico tra due nodi specifici dall'elenco, è necessario specificare il secondo nodo e premere Add to Target 2. E se vogliamo intercettare tutto il traffico per questo nodo, non è necessario selezionare il secondo nodo.
Quindi avvia la scansione premendo Start, Start Sniffing. Successivamente, completiamo il processo di avvelenamento ARP selezionando MITM / Arp Poisoning. L'opzione Sniff Remote Connections deve essere abilitata.
Quindi, già in Wireshark, è possibile intercettare il traffico in modo simile a come abbiamo fatto in precedenza.
Al termine della raccolta dei pacchetti in Ettercap, è necessario disabilitare ARP poison premendo Start / Stop sniffing.
Un utente malintenzionato, una volta nella rete, può eseguire un attacco man-in-the-middle, MitM, ovvero tentare di mediare tra nodi legali. Con MitM è possibile implementare molti attacchi diversi, non solo legati all'ascolto, ma anche alla modifica del traffico che passa. Ma nel contesto dell'argomento, implementiamo l'intercettazione delle password, conoscendo allo stesso tempo un paio di utili utilità di Kali Linux.
Quindi, supponiamo di sapere quali nodi sono attualmente attivi sulla rete. Poiché la macchina dell'attaccante funge da intermediario, per prima cosa dobbiamo consentire l'inoltro dei pacchetti IP (ip forwarding). Puoi farlo come segue:
echo 1 > /proc/sys/net/ipv4/ip_forward
Ora è necessario implementare lo spoofing ARP (ovvero lo spoofing degli indirizzi MAC per indirizzi IP specifici). La macchina dell'attaccante sarà l'intermediario tra il gateway predefinito e la rete locale. Se l'indirizzo del gateway è 192.168.1.1 e il nostro indirizzo è 192.168.1.100, per lo spoofing è necessario eseguire quanto segue.
arpspoof –t 192.168.1.1 192.168.1.100
L'utilità arpspoof è destinata allo spoofing degli indirizzi MAC.
Per il corretto funzionamento dello spoofing ARP, è necessario eseguire lo spoofing nella direzione opposta.
arpspoof –t 192.168.1.100 192.168.1.1
Successivamente, Dobbiamo iniziare a intercettare il traffico. È vero, a differenza degli esempi precedenti, qui intercetteremo, o meglio, non visualizzeremo tutto il traffico, ma solo le password di varie applicazioni. Per questo useremo l'utilità dsniff.
root@kali:~# dsniff
---------------
05/21/00 10:49:10 bob -> unix-server (ftp)
USER bob
PASS dontlook
---------------
05/21/00 10:53:22 karen -> lax-cisco (telnet)
karen
supersecret
---------------
05/21/00 11:01:11 karen -> lax-cisco (snmp)
[version 1]
private
Come risultato del lavoro, abbiamo intercettato diverse password.
Dsniff consente di intercettare password inviate tramite HTTP, dati POST, HTTP Basic and Digest authentications, FTP, IRC, POP, IMAP, SMTP, NTLMv1/v2 (HTTP, SMB, LDAP, ecc.).
Per prevenire lo spoofing ARP, è possibile utilizzare l'utilità arpwatch. Questa utility consente di catturare un attacco, tuttavia deve essere eseguito su entrambe le macchine attaccate, altrimenti l'attaccante potrebbe tentare un attacco unilaterale. Inoltre, arpwatch cattura solo l'attacco, ma non lo impedisce. Per prevenire, è necessario sviluppare script aggiuntivi e gestori di eventi.
Una possibile difesa consiste nell'utilizzare un ARP statico. La tabella ARP può essere generata manualmente, mentre diventa non vulnerabile agli attacchi ARP. Per fare ciò, è necessario aggiungere gli indirizzi MAC necessari alla tabella.
Se disabiliti L'uso di ARP sulle interfacce di rete, saranno disponibili solo i sistemi (1) i cui indirizzi MAC sono stati aggiunti alla tabella ARP del nostro nodo e (2) il nostro indirizzo MAC è stato aggiunto alle tabelle ARP dei nodi,
con cui viene effettuato lo scambio di traffico.
Se non si disabilita L'uso di ARP sulle interfacce di rete, l'indirizzo MAC impostato staticamente ha la precedenza. Se non viene fornito alcun indirizzo MAC per un indirizzo IP, viene utilizzata una richiesta ARP.
Altri metodi per combattere lo spoofing ARP sono l'uso della crittografia e l'applicazione di VLAN VLAN.
Il computer di un utente malintenzionato può utilizzare lo spoofing ARP contro il computer della vittima solo se si trova sulla stessa rete a livello di collegamento. Nel caso in cui siano separati dal router, un attacco non è possibile (è possibile un attacco al router, ma questa è una questione completamente diversa).
Le VLAN aiutano a segmentare una rete: trasformare una singola rete in molti frammenti isolati a livello di collegamento che sono interconnessi da un router. L'attacco ARP-spoofing è possibile solo tra computer che si trovano nella stessa VLAN'e. nel caso più estremo, quando ci sono solo due computer in ogni VLAN'e: il computer vero e proprio e il router − l'attacco ARP-spoofing diventa impossibile in linea di principio. Sfortunatamente, tale organizzazione di rete è molto impegnativa per le risorse del router e viene utilizzata raramente.
Uno dei motivi principali per cui questo metodo di protezione è impopolare è la necessità di supportare gli switch VLAN, nonché la necessità di dedicare tempo alla configurazione aggiuntiva delle apparecchiature di rete.