Техника и технология атак злоумышленников в распределенных информационных системах. Часть 2. Атакуем и продолжаем рекогносцировку. SQL injection. Иван Андреевич Трещев

Чтение книги онлайн.

      Как можно увидеть из рисунков выше отравление таблицы происходит путем генерирования большого количества запросов с разными IP- и MAC-адресами, причем количество этих запросов огромно и все MAC-адреса привязываются к интерфейсу, к которому подключен злоумышленник (в нашем случае Fa1/2).

      Как только CAM-таблица была заполнена, мы можем открыть Wireshark и начать захват трафика. По умолчанию Wireshark настроен на захват трафика в неразборчивом режиме, однако он нам не нужен, так как коммутатор перешел в режим концентратора, а значит трафик уже неразборчивый.

      Следует заметить сходство с атакой ARP-poisoning, ведь при атаке ARP-poisoning, протокол ARP всегда будет доверять тому устройству, от которого исходил ответ. Из-за этого недостатка в дизайне коммутатор никоим образом не может проверить, что ARP-ответ был отправлен с доверенного устройства.

      Из-за этого изъяна злоумышленник имеет возможность отправить поддельный ARP-ответ на любой компьютер в сети, чтобы заставить его поверить, что определенный IP-адрес связан с определенным MAC-адресом, тем самым отравляя ARP-кэш коммутатора, который сопоставляет IP-адреса с MAC-адресами.

      Таким образом, эти две атаки, то есть ARP-poisoning и MAC-flooding, связаны с протоколом ARP.

      Чтобы узнать больше о macof, наберем «macof -h», что покажет все возможные варианты (рисунок 2.5).

      Рисунок 2.5 – Команда macof – h

      Отсюда видно, что, например, с параметром -n можно задать количество генерируемых запросов, а параметром -d можно задать IP-адрес назначения (рисунок 2.6).

      Рисунок 2.6 – Выполнение команды macof с параметрами

      Теперь пусть PC-1 попытается пройти аутентификацию на некотором сайте, а злоумышленник – перехватить данные, необходимые для авторизации на ресурсе (рисунки 2.7 – 2.8)

      Рисунок 2.7 – Пользователь аутентифицируется на ресурсе

      Если аутентификация проходит по открытому протоколу, то используя сниффер можно перехватить учетные данные пользователя.

      Как можно увидеть данная атака реализуется даже проще, чем MAC-spoofing, всего 1-й командой. Теперь рассмотрим главные методы защиты от нее.

      2.3 Защита

      Одними из главных контрмер против атаки типа MAC-flooding являются:

      – Port Security – запрещает нескольким MAC-адресам присоединятся к одному порту (установка статического MAC-адреса).

      – Реализация протокола 802.1X – позволяет применять СКАЧАТЬ