Продолжая коллекцию «простых» компьютерных атак, можно создать интересный вариант атак MitM с помощью метода обмана (Spoofing) с использованием протокола DHCP.
DHCP
Протокол динамической конфигурации хоста - это сетевой протокол, основанный на парадигме клиент / сервер, используемый для автоматического назначения параметров конфигурации сети.
В сети LAN сервер DHCP обычно настраивается, где указываются конфигурации, которые должны быть предоставлены клиентам DHCP, будь то шлюз, DNS, маска подсети и, конечно, IP-адрес (последний берется из пула адресов или назначается из статический список из MAC клиента).
Благодаря DHCP, когда хост подключен к сети, вышеупомянутые настройки и параметры применяются автоматически, и вмешательство сетевого администратора не требуется. Типичный случай этого - когда мы подключаем ноутбук к домашней сети, и модем назначает нам соответствующую конфигурацию сети.
Общая операция
Нормальная работа протокола DHCP указывает, что:
- Первоначально клиентский хост должен отправить пакет DISCOVERY в Broadcast сети, чтобы запросить его назначение и отправить параметры конфигурации
- Каждый DHCP-сервер в сети получает сообщение и отвечает пакетом «ПРЕДЛОЖЕНИЕ», который включает в себя информацию, относящуюся к назначенной конфигурации.
- Клиент может выбрать все или часть полученных параметров и ответить сообщением «ЗАПРОС», запрашивающим назначение этих параметров.
- Наконец, сервер проверяет назначение этих параметров и отвечает сообщением «DHCP ACK», указывающим клиенту, что конфигурация была зарезервирована.
DHCP-сервер «знает» те IP-адреса, которые он назначил, а также MAC-адреса компьютеров, для которых он «настроен».
Обычно IP-адрес имеет «время аренды DHCP», называемое «время аренды DHCP», которое в основном указывает время, в течение которого IP-адрес назначается хосту. По истечении этого времени IP-адрес может быть обновлен (перезапущен счетчик времени аренды) или назначен новый адрес.
1. DHCP Spoofing, Простой
Спуфинг DHCP
Техника мошеннической атаки DHCP в основном состоит в назначении параметров конфигурации DHCP «от сервера DHCP», не авторизованных в сети.
Самый простой сценарий имеет место, когда злоумышленник запускает экземпляр DHCP-сервера в локальной сети, предлагая IP-конфигурации хостам, которые его запрашивают. В этот момент злоумышленник входит в состояние гонки с законным DHCP сети.
Возможно, что иногда хост принимает конфигурацию атакующего, а иногда - настройку законного DHCP.
Злоумышленник должен знать конфигурацию сети и может имитировать правильное назначение хосту (например, назначая IP-адрес, который ранее назначил законный DHCP), но указывая, например, в качестве шлюза по умолчанию или шлюза, IP-адрес хоста. атакующий; таким образом, злоумышленник становится шлюзом по умолчанию хоста и получает промежуточную позицию.
2. Подтверждение концепции
Алиса является хостом в сети, DHCP-сервер сети назначает IP-адрес через DHCP.
Злоумышленник запустил DHCP-сервер со специально настроенной конфигурацией, которая указывает, какой IP-адрес должен быть назначен Алисе, и, в частности, что IP-адрес злоумышленника должен быть указан в качестве шлюза по умолчанию.
Если Алиса запрашивает настройку через DHCP, атакующий может выиграть гонку на законном DHCP и перенастроить шлюз Алисы по умолчанию, заставив ее использовать атакующего в качестве шлюза по умолчанию.
Системы, вовлеченные
Алиса :
MAC-адрес: AA: BB: CC: 22: 33: 44
IP-адрес: 192.168.1.198/24
ОС: Windows XP
Сетевой шлюз: (DNS + DHCP):
IP-адрес: 192.168.1.1/24
ОС: openwrt
домен: дом
атакующий:
MAC-адрес: AA: BB: CC: 88: 88: 88
IP-адрес: 192.168.1.124/24
ОС: GNU / Linux Ubuntu 14.04
Домен: dhcp.spoofed.casa
3. Нормальный сценарий
Первая Алиса запрашивает IP-адрес с DHCP-сервера сети; В окнах терминал можно использовать для имитации этого действия с помощью команды:
C: \ ipconfig / renewDHCP-сервер сети назначает Алисе IP-адрес и другие сетевые параметры. Среди этих параметров было указано, что IP-адрес шлюза по умолчанию - 192.168.1.1.$config[ads_text5] not found
Если в терминале Алисы выполняется трассировка до 8.8.8.8 с помощью команды:
C: \ tracert 8.8.8.8 -dМожно видеть, что первый переход является шлюзом по умолчанию сети, то есть 192.168.1.1:
4. Сценарий атаки на Алису
Злоумышленник хочет применить технику спуфинга DHCP на Алисе.
Для этого вы можете идентифицировать IP-адрес Алисы, используя локальный DNS (nslookup), nbtscan или любым другим способом.
Атакующий устанавливает DHCP-сервер, например isc-dhcp-server. Для этого в Ubuntu запустите в терминале:
$ sudo apt-get установить isc-dhcp-серверДля настройки DHCP-сервера атакующий использует известные данные, такие как IP-адрес Алисы, MAC-адрес Алисы (спасибо ARP), подсеть, DNS и т. Д. Конфигурация выполняется путем редактирования файла dhcpd.conf в терминале
$ sudo vim /etc/dhcp/dhcpd.confВ этом примере файл конфигурации должен выглядеть следующим образом:
Раздел «подсеть» определяет подсеть, маску, сетевой шлюз по умолчанию, сервер имен и т. Д.
Он также был указан как домен dhcp.spoofed.casa (кстати, просто чтобы выделить его в записях этого урока).
Обратите внимание, что ниже была явно указана конфигурация для хоста Алисы (хорошо дифференцируемая по его MAC-адресу). В частности, IP-адрес злоумышленника был указан в качестве шлюза для Алисы с помощью инструкции:
опциональные маршрутизаторы 192.168.1.124И было вынуждено назначить IP 192.168.1.198 MAC-адрес Алисы, учитывая конфигурацию, которую изначально назначил законный сетевой DHCP:
... Ethernet оборудование AA: BB: CC: 22: 33: 44фиксированный адрес 192.168.1.198 ...После настройки злоумышленник запускает службу DHCP с помощью команды:
$ sudo /etc/init.d/isc-dhcp-server startЭто было бы начато.$config[ads_text5] not found
5. Алиса обманута
Чтобы смоделировать состояние гонки, в контролируемой среде Алиса может быть вынуждена повторно запросить конфигурацию через DHCP.
Для этого Алиса освобождает назначенный IP-адрес (выполните команду в терминале Алисы):
C: \ ipconfig / release
Затем запросите IP-адрес еще раз:
C: \ ipconfig / renewЕсли злоумышленник «выиграет гонку» на легитимном DHCP-сервере в сети, предварительно назначенные параметры конфигурации DHCP будут назначены:
Алиса получила «правильный» IP-адрес и была назначена IP-адресом злоумышленника в качестве шлюза по умолчанию. Обратите внимание на домен «dhcp.spoofed.casa», как ссылку на исходную конфигурацию. С этого момента Алиса будет отправлять пакеты, предназначенные для Интернета, атакующему, поскольку ей сообщили, что IP-адрес 192.168.1.124 является ее шлюзом по умолчанию. Если трасса на 8.8.8.8 выполняется с терминала Алисы, можно наблюдать изменение в первом прыжке:
$config[ads_text5] not found
6. Заключительные соображения
Кроме того, злоумышленник может настроить пересылку пакетов и с помощью iptables сделать маскировку для управления ситуацией MitM. Эта конфигурация не была включена, поскольку она не является частью доказательства спуфинга DHCP, но ее стоит упомянуть.
Существуют и другие методы, более сложные для выполнения спуфинга DHCP, это один из самых простых и, по совпадению, один из самых частых.
Типичное возникновение этой атаки (хотя и без вредных намерений) обычно происходит в сетях, где пользователь неправильно подключает беспроводной маршрутизатор для доступа к локальной сети через Wi-Fi. Если порт локальной сети подключен (было бы правильно подключить порт WAN) к локальной сети, маршрутизатор предложит услугу DHCP хостам локальной сети, конкурирующим с законным сервером DHCP сети (например, маршрутизатором ADSL),
$config[ads_text6] not foundВ управляемых сетях функция «DHCP Snooping» часто используется для смягчения таких атак. В основном, это делается для указания коммутаторам порта, к которому подключен законный DHCP. Это указывает «путь» через коммутаторы, через которые разрешен трафик сообщений службы DHCP.
- 0
СТАТЬИ