Fortsätt med insamlingen av "enkla" datorattacker kan en intressant variant av MitM -attacker genereras från en bedrägeriteknik (Spoofing) med DHCP -protokollet.
DHCPDynamic Host Configuration Protocol är ett nätverksprotokoll, baserat på klient / serverparadigmet, som används för automatisk tilldelning av nätverkskonfigurationsparametrar.
I ett LAN -nätverk är en DHCP -server vanligtvis konfigurerad där de konfigurationer som måste beviljas DHCP -klienterna anges, vare sig det är Gateway, DNS, Subnet mask och naturligtvis IP -adress (den senare hämtas från en pool av adresser eller tilldelas från en statisk lista från klientens MAC).
Tack vare DHCP, när en värd är ansluten till nätverket, tillämpas ovannämnda inställningar och parametrar automatiskt och ingen intervention krävs från nätverksadministratören. Ett typiskt fall av detta är när vi ansluter en bärbar dator till hemnätverket och modemet tilldelar oss lämpliga nätverksinställningar.
Allmän driftNormal drift av DHCP -protokoll indikerar att:
- Inledningsvis måste en klientvärd skicka ett "DISCOVERY" -paket till nätverkssändningen för att begära att konfigurationsparametrarna tilldelas och skickas.
- Varje DHCP -server i nätverket tar emot meddelandet och svarar med ett "ERBJUDANDE" -paket där det innehåller information relaterad till den tilldelade konfigurationen.
- Klienten kan välja hela eller delar av de mottagna parametrarna och svara med ett "BEGÄRAN" -meddelande som begär att parametrarna ska tilldelas.
- Slutligen validerar servern tilldelningen av dessa parametrar och svarar med ett "DHCP ACK" -meddelande som indikerar för klienten att konfigurationen har reserverats.
DHCP -servern "känner" till de IP -adresser som den har tilldelat liksom MAC -adresserna för de datorer som den har "konfigurerat".
Vanligtvis har IP -adressen en "DHCP -leasingtid" som kallas "DHCP -leasingtid", vilket i princip anger den tid under vilken IP -adressen tilldelas värden. När den här tiden har gått kan IP -adressen förnyas (antalet hyrestarter startas om) eller en ny adress kan tilldelas.
1. DHCP -spoofing, enkel
DHCP -spoofingDHCP -bedrägeriangreppstekniken består i princip av att tilldela DHCP -konfigurationsparametrar "från en obehörig DHCP -server" i nätverket.
Scenen mer Enkel det sker när en angripare startar en DHCP -serverinstans på LAN som erbjuder IP -inställningar till de värdar som begär dem. Vid denna tidpunkt går angriparen in i ett tävlingsvillkor med nätverkets legitima DHCP.
Ibland kan en värd ta angriparens inställningar och ibland de legitima DHCP -inställningarna.
Angriparen måste känna till nätverkskonfigurationen och kommer att kunna simulera en korrekt tilldelning till värden (till exempel genom att tilldela IP -adressen som tidigare skulle ha tilldelats av legitim DHCP), men anger till exempel som Gateway eller standardgateway, värdens IP -adress. Attacker; sålunda blir attackeraren värdens standardgateway och får en mellanliggande position.
2. Bevis på koncept
Alice är en värd i nätverket, hennes DHCP -server tilldelar henne en IP -adress med DHCP.
Det finns en angripare som har startat en DHCP -server med en speciellt manipulerad konfiguration, vilket indikerar att IP -adressen ska tilldelas Alice och i synnerhet att attackerarens IP -adress ska anges som standardgateway.
Om Alice begär konfiguration via DHCP, kan attackern vinna loppet för att legitimera DHCP och framgångsrikt omkonfigurera Alices standardgateway, vilket tvingar den att använda attackeraren som standardgateway.
Inblandade systemAlice:
MAC -adress: AA: BB: CC: 22: 33: 44
IP -adress: 192.168.1.198/24
Operativsystem: Windows XP
Nätverksgateway: (DNS + DHCP):
IP -adress: 192.168.1.1/24
OS: openwrt
domän: hem
Angripare:
MAC -adress: AA: BB: CC: 88: 88: 88
IP -adress: 192.168.1.124/24
Operativsystem: GNU / Linux Ubuntu 14.04
Domän: dhcp.spoofed.casa
3. Normalt scenario
Alice begär först en IP från nätverkets DHCP -server; i Windows kan terminalen användas för att simulera denna åtgärd med kommandot:
C: \ ipconfig / förnyaNätverkets DHCP -server tilldelar Alice en IP -adress och andra nätverksparametrar. Bland dessa parametrar har det indikerats att IP -adressen för standardgatewayen är 192.168.1.1
Om ett spår till 8.8.8.8 körs i Alices terminal med kommandot:
C: \ tracert 8.8.8.8 -dDet kan ses att det första hoppet är standardgatewayen för nätverket, det vill säga 192.168.1.1:
4. Attack scenario på Alice
Angriparen vill tillämpa en DHCP Spoofing -teknik på Alice.
Du kan göra detta genom att identifiera Alices IP -adress med hjälp av lokal DNS (nslookup), med nbtscan eller någon annan metod.
Attacker installerar en DHCP-server, till exempel isc-dhcp-server. För att göra detta i Ubuntu kör i en terminal:
$ sudo apt-get install isc-dhcp-serverFör att konfigurera DHCP -servern använder angriparen kända data, till exempel Alice's IP, Alice's MAC (tack vare ARP), Subnet, DNS, etc. Konfigurationen görs genom att redigera filen dhcpd.conf, i en terminal av
$ sudo vim /etc/dhcp/dhcpd.confFör denna fallstudie ska konfigurationsfilen se ut så här:
Avsnittet "subnät" definierar delnät, mask, standardnätverksgateway, namnserver och så vidare.
Det har också angetts som domänen dhcp.spoofed.casa (förresten, bara för att markera det i skärmdumparna i den här självstudien).
Observera att nedan har en konfiguration uttryckligen angetts för Alice värd (väl differentierad med dess MAC -adress). I synnerhet har attackerarens IP -adress angetts som gateway för Alice med hjälp av instruktionen:
alternativrouter 192.168.1.124Och IP 192.168.1.198 har tvingats tilldelas Alices MAC, med respekt för konfigurationen som ursprungligen tilldelades av nätverkets legitima DHCP:
… Hårdvara ethernet AA: BB: CC: 22: 33: 44 fast adress 192.168.1.198…När den är konfigurerad startar angriparen DHCP -tjänsten med kommandot:
$ sudo /etc/init.d/isc-dhcp-server startDet skulle startas.
5. Alice luras
För att simulera tävlingsförhållandet kan Alice i en kontrollerad miljö tvingas begära konfiguration igen med DHCP.
För att göra detta släpper Alice den tilldelade IP -adressen (kör kommandot i Alices terminal):
C: \ ipconfig / release
Begär sedan en IP -adress igen:
C: \ ipconfig / förnyaOm angriparen "vinner loppet" till den legitima DHCP -servern i nätverket tilldelas de förkonfigurerade DHCP -konfigurationsparametrarna:
Alice har fått den "rätta" IP -adressen och har tilldelats angriparens IP -adress som standardgateway. Observera domänen "dhcp.spoofed.casa, för referens till den ursprungliga konfigurationen. Från och med nu kommer Alice att skicka de paket som är avsedda för Internet till angriparen, eftersom hon har fått veta att IP -adressen 192.168.1.124 är hennes standardgateway. Om ett spår till 8.8.8.8 körs från Alices terminal kan förändringen i det första hoppet observeras:
6. Slutliga överväganden
Dessutom kunde angriparen konfigurera paketförmedling och med iptables göra en maskerad för att kontrollera MitM -situationen. Sådan konfiguration har inte inkluderats eftersom den inte är en del av DHCP Spoofing proof of concept men det är värt att nämna.
Det finns andra lite mer komplexa tekniker att utföra DHCP -spoofingDetta är en av de enklaste och, av en slump, en av de vanligaste.
En typisk förekomst av denna attack (om än oavsiktligt skadlig) är vanligtvis på nätverk där en användare felaktigt ansluter en trådlös router för att komma åt LAN via wi-fi. Om en LAN -port är ansluten (det rätta är att ansluta WAN -porten) till det lokala nätverket, kommer routern att erbjuda DHCP -service till värdarna i det lokala nätverket, som konkurrerar med den legitima DHCP -servern i nätverket (till exempel ADSL -router).
I hanterade nätverk används ofta "DHCP Snooping" -funktionalitet för att mildra denna typ av attacker. I grund och botten är det som görs att för switcharna ange porten där den legitima DHCP är ansluten. Detta indikerar "sökvägen" genom switcharna genom vilka DHCP -tjänstmeddelandestrafik tillåts.
Gillade du och hjälpte denna handledning?Du kan belöna författaren genom att trycka på den här knappen för att ge honom en positiv poäng
