Продължавайки с колекцията от "прости" компютърни атаки, интересен вариант на MitM атаки може да бъде генериран от техника на измама (Spoofing), използвайки DHCP протокола.
DHCPDynamic Host Configuration Protocol е мрежов протокол, базиран на парадигмата клиент / сървър, използван за автоматично присвояване на параметрите на мрежовата конфигурация.
В LAN мрежа обикновено се конфигурира DHCP сървър, където се посочват конфигурациите, които трябва да бъдат предоставени на DHCP клиентите, било то шлюз, DNS, маска на подмрежата и разбира се IP адрес (последният се взема от група адреси или се присвоява от статичен списък от клиентски MAC).
Благодарение на DHCP, когато хост е свързан към мрежата, гореспоменатите настройки и параметри се прилагат автоматично и не се изисква намеса от мрежовия администратор. Типичен случай за това е, когато свързваме лаптоп към домашната мрежа и модемът ни присвоява подходящите мрежови настройки.
Обща операцияНормална работа на DHCP протокол показва, че:
- Първоначално клиентският хост трябва да изпрати пакет „ОТКРИВАНЕ“ на мрежовото излъчване, за да поиска задаването и изпращането на конфигурационните параметри.
- Всеки DHCP сървър в мрежата получава съобщението и отговаря с пакет „OFFER“, в който включва информация, свързана с зададената конфигурация.
- Клиентът може да избере всички или част от получените параметри и да отговори със съобщение „ЗАЯВКА“ с искане за присвояване на споменатите параметри.
- И накрая, сървърът потвърждава присвояването на тези параметри и отговаря със съобщение „DHCP ACK“, показващо на клиента, че конфигурацията е запазена.
DHCP сървърът "знае" тези IP адреси, които е назначил, както и MAC адресите на компютрите, които е "конфигурирал".
Обикновено IP адресът има „DHCP lease time“, наречено „DHCP lease time“, което основно показва времето, през което IP адресът е присвоен на хоста. След като изтече това време, IP адресът може да бъде подновен (броят на времето за наемане се рестартира) или може да се присвои нов адрес.
1. DHCP спуфинг, просто
DHCP спуфингТехниката за атака на DHCP измама се състои основно от присвояване на конфигурационни параметри на DHCP „от неоторизиран DHCP сървър“ в мрежата.
Сцената повече Прост това се случва, когато нападателят стартира екземпляр на DHCP сървър в локалната мрежа, предлагайки IP настройки на хостовете, които ги искат. В този момент нападателят влиза в състезателно състояние с легитимния DHCP на мрежата.
Понякога хост може да вземе настройките на Нападателя, а понякога законните настройки на DHCP.
Нападателят трябва да знае мрежовата конфигурация и ще може да симулира правилно присвояване на хоста (например чрез присвояване на IP адреса, който преди това би бил присвоен от легитимен DHCP), но посочвайки например като шлюз или шлюз по подразбиране, IP адреса на хоста. по този начин Нападателят става шлюз по подразбиране на хоста и печели посредническа позиция.
2. Доказване на концепцията
Алиса е хост в мрежата, нейният DHCP сървър й присвоява IP адрес, използвайки DHCP.
Има нападател, който е стартирал DHCP сървър със специално манипулирана конфигурация, което показва, че IP адресът трябва да бъде присвоен на Алиса и по -специално, че IP адресът на нападателя трябва да бъде посочен като шлюз по подразбиране.
Ако Алиса поиска конфигурация чрез DHCP, атакуващият може да спечели надпреварата за легитимен DHCP и успешно да конфигурира по подразбиране шлюза на Алиса, принуждавайки го да използва атакуващия като шлюз по подразбиране.
Включени системиАлиса:
MAC адрес: AA: BB: CC: 22: 33: 44
IP адрес: 192.168.1.198/24
Операционна система: Windows XP
Мрежов шлюз: (DNS + DHCP):
IP адрес: 192.168.1.1/24
ОС: openwrt
домейн: дом
Нападател:
MAC адрес: AA: BB: CC: 88: 88: 88
IP адрес: 192.168.1.124/24
Операционна система: GNU / Linux Ubuntu 14.04
Домейн: dhcp.spoofed.casa
3. Нормален сценарий
Алиса първо иска IP от DHCP сървъра на мрежата; в windows терминалът може да се използва за симулиране на това действие с командата:
C: \ ipconfig / подновяванеDHCP сървърът на мрежата присвоява на Алис IP адрес и други мрежови параметри. Сред тези параметри е посочено, че IP адресът на шлюза по подразбиране е 192.168.1.1
Ако проследяване до 8.8.8.8 се изпълни в терминала на Алиса с командата:
C: \ tracert 8.8.8.8 -dМоже да се види, че първият хоп е шлюзът по подразбиране на мрежата, тоест 192.168.1.1:
4. Сценарий на атака срещу Алиса
Нападателят иска да приложи DHCP Spoofing техника към Алиса.
Можете да направите това, като идентифицирате IP адреса на Алиса, като използвате локален DNS (nslookup), използвате nbtscan или друг метод.
Нападателят инсталира DHCP сървър, например isc-dhcp-сървър. За да направите това в Ubuntu, изпълнете в терминал:
$ sudo apt-get install isc-dhcp-сървърЗа да конфигурира DHCP сървъра, Нападателят използва известни данни, като IP на Алиса, MAC на Алиса (благодарение на ARP), Подмрежа, DNS и т.н. Конфигурирането се извършва чрез редактиране на файла dhcpd.conf, в терминал на
$ sudo vim /etc/dhcp/dhcpd.confЗа този казус конфигурационният файл трябва да изглежда така:
Разделът "подмрежа" определя подмрежата, маската, мрежовия шлюз по подразбиране, сървъра за имена и т.н.
Той също така е посочен като домейн dhcp.spoofed.casa (между другото, само за да го подчертае на екранните снимки в този урок).
Имайте предвид, че по -долу е изрично посочена конфигурация за хоста на Алиса (добре диференцирана от неговия MAC адрес). По -специално, IP адресът на Нападателя е посочен като шлюз за Алиса посредством инструкцията:
опционни рутери 192.168.1.124И IP 192.168.1.198 е принуден да бъде присвоен на MAC на Alice, като се спазва конфигурацията, първоначално зададена от легитимния DHCP на мрежата:
… Хардуерен Ethernet AA: BB: CC: 22: 33: 44 фиксиран адрес 192.168.1.198…След като бъде конфигуриран, нападателят стартира DHCP услугата с командата:
$ sudo /etc/init.d/isc-dhcp- стартиране на сървъраЩеше да бъде започнато.
5. Алиса е измамена
За да симулира състезателното състояние, в контролирана среда Алис може да бъде принудена да поиска отново конфигурация, използвайки DHCP.
За да направи това, Алис освобождава назначения IP адрес (изпълнете командата в терминала на Алиса):
C: \ ipconfig / release
След това отново поискайте IP адрес:
C: \ ipconfig / подновяванеАко нападателят "спечели надпреварата" към легитимния DHCP сървър в мрежата, предварително конфигурираните DHCP конфигурационни параметри ще бъдат присвоени:
Алиса е получила "правилния" IP адрес и е назначена IP адреса на нападателя като шлюз по подразбиране. Обърнете внимание на домейна „dhcp.spoofed.casa, за справка с първоначалната конфигурация. От този момент нататък Алис ще изпраща пакетите, предназначени за интернет, на Нападателя, тъй като й е казано, че IP адресът 192.168.1.124 е нейният шлюз по подразбиране. Ако проследяване до 8.8.8.8 се изпълни от терминала на Алиса, промяната в първия скок може да се наблюдава:
6. Заключителни съображения
Освен това нападателят може да конфигурира препращане на пакети и с iptables да направи маскарад, за да контролира ситуацията MitM. Такава конфигурация не е включена, тъй като не е част от DHCP Spoofing доказателство за концепцията, но си струва да се спомене.
Има и други малко по -сложни техники за изпълнение DHCP спуфингТова е един от най -простите и случайно един от най -честите.
Типична поява на тази атака (макар и непреднамерено вредна) обикновено е в мрежи, където потребител неправилно свързва безжичен рутер за достъп до локалната мрежа чрез wi-fi. Ако LAN порт е свързан (правилното би било да свържете WAN порта) към локалната мрежа, рутерът ще предложи DHCP услуга на хостовете на локалната мрежа, конкурирайки се с легитимния DHCP сървър на мрежата (например ADSL рутер).
В управляваните мрежи функционалността "DHCP Snooping" често се използва за смекчаване на тези видове атаки. По принцип това, което се прави, е да посочите на превключвателите порта, където е свързан законният DHCP. Това показва "пътя" през Превключвателите, по които е разрешен трафик на DHCP услуга.
Хареса ли ви и помогнахте на този урок?Можете да възнаградите автора, като натиснете този бутон, за да му дадете положителна точка
