ZAKŁAD SYSTEMÓW ROZPROSZONYCH. Politechnika Rzeszowska BEZPIECZEŃSTWO I OCHRONA INFORAMCJI

Transkrypt

1 ZAKŁAD SYSTEMÓW ROZPROSZONYCH Politechnika Rzeszowska BEZPIECZEŃSTWO I OCHRONA INFORAMCJI Laboratorium 9: ARP spoofing 1. Wstęp teoretyczny ARP spoofing ARP spoofing jest bardzo efektywnym sposobem na podsłuchiwanie i przechwytywanie połączeń w sieci, ponieważ pozwala atakującemu na podglądanie przychodzących i odchodzących komunikatów zupełnie jakby był on serwerem Proxy. Protokół odwzorowania adresów ARP Dwie maszyny mogą się komunikować tylko wtedy, kiedy znają nawzajem swoje adresy fizyczne MAC. Przekształcenia adresu IP na adres fizyczny dokonuje protokół odwzorowania adresów ARP (Address Resolution Protocol). Kiedy jeden komputer chce wysłać jakieś dane do innego, rozpoczyna od wysłania zapytania w formie pakietu ARP do wszystkich komputerów w danej sieci. Wygląda to mniej więcej tak: Kto jest komputerem ?. Informacja ta jest wysyłana do wszystkich komputerów w sieci, ale tylko jeden na nią odpowie: Ja jestem komputerem :3E:41:D2:53:21, ostatni numer to adres fizyczny MAC komputera. Komputer, który rozsyłał zapytanie otrzymuje ten adres MAC do swoje specjalnej tablicy. Teraz nie będzie musiał pytać drugi raz wszystkie komputery o ten adres tylko już będzie wiedział gdzie wysyłać dane, ponieważ MAC jest niezmienny. Zastosowanie Po pierwsze trzeba wiedzieć, że komputer w sieci odbiera odpowiedzi ARP od innych komputerów, mimo że nie zadawał na nie pytania. Oznacza to ze sami możemy wysłać taki pakiet i komputer, do którego wysyłamy odbierze go i doda do specjalnej tablicy. Czyli możemy przesłać pakiet ze sfałszowanymi informacjami, spójrzmy na taka prostą sieć:

2 W takiej sieci informacje przypływają tak (prawidłowo): Komputer1 -> Switch -> Router -> INTERNET Komputer2 -> Switch -> Router -> INTERNET Jeśli np. my jesteśmy KOMP1 to możemy wysłać takie informacje Do Routera: "ja jestem Komputer2", a do Komputer2: "ja jestem Router", Po wykonaniu takiej operacji informacje w sieci przepływają trochę inaczej. W takiej sieci informacje przypływają tak (nieprawidłowo xd): Komputer1 -> Switch -> Router -> INTERNET Komputer2 -> Komputer1 -> Switch -> Router -> INTERNET Jak widać wszelkie informacje z komputera2 przechodzą teraz przez komputer atakującego, oznacza to, że teraz możemy podsłuchiwać niemal całą komunikację.

3 2. ARP Spoofing 2.1. Przechwytywanie konta danych Czas przejść z teorii do praktyki. Za zadanie będzie dokonać przechwycenia danych do logowania na konto mailowe ofiary. Wykorzystamy do tego dwa systemy: Windows XP (Komputer1) jako atakujący Windows XP (Komputer2) jako ofiara 2. Zaczynamy od komputer2. Uruchamiamy Command Line poprzez Start -> Uruchom wpisujemy cmd, a następnie ipconfig /all aby uzyskać informacje adresie ip komputera który będziemy nasłuchiwać. Można oczywiście podsłuchiwać całą sieć, jednak w tym zadaniu skupimy się na przechwytywaniu danych z konkretnego komputera w naszej sieci. 3. Po odnalezieniu IP ofiary przechodzimy na komputer1 i uruchamiamy program ettercap. 5. Po wyświetleniu okna ettercapa przechodzimy do konfiguracji. Postępuj według poniższych obrazków

4 6. Po wybraniu interfejsu program wyświetla nam podstawowe informacje na temat naszego połączenia oraz sieci, do której jesteśmy podłączeni m.in. nazwę interfejsu, który używamy, adres fizyczny, adres internetowy czy maskę podsieci. 7. Następnie zajmujemy się przeskanowaniem wszystkich hostów w naszej sieci. Aby uruchomić skanowanie należy kliknąć w zakładce Hosts na Skan for hosts. 8. Okno skanowania przedstawia nam postęp w skanowaniu. 9. Po zakończonym skanowaniu w dolnej części okna programu zostaje wyświetlona informacja ile hostów zostało odnalezionych w naszej sieci.

5 10. Aby odnaleźć naszą ofiarę musimy wyświetlić listę hostów. 11. Teraz widzimy wszystkie aktualnie aktywne hosty rozpoczynając od bramy sieci i adresu serwera DHCP. Adres bramy ustawiamy, jako target 1 zaś adres ofiary w tym przypadku jako target Jeżeli poprawnie wykonamy dodawanie adresów w dolnej części okna ettercapa powinniśmy zobaczyć dokładnie taką informacje: 13. Po poprawnym ustawieniu adresów ofiar przechodzimy do zakładki Mitm i wybieramy pozycje Arp poisoning. Patrz poniżej.

6 14. Teraz zaznaczamy Sniff remote connections. i zatwierdzamy. 15. Po wciśnięciu OK powinniśmy zobaczyć informację. 16. Teraz wystarczy już tylko przejść do zakładki Start i kliknąć na Start sniffing 17. Po chwili powinniśmy ujrzeć komunikat Starting Unified sniffing (patrz poniżej) od teraz nasz komputer przechwytuje dane z komputera Zatem przejdźmy teraz na komputer 2 i sprawdźmy czy rzeczywiście to działa. Uruchamiamy przeglądarkę i logujemy się na konto pocztowe o danych: Login: konto_probne1 Hasło: 12345

7 19. Teraz wracamy na komputer 1 i sprawdzamy czy ettercap podsłuchał jakieś informacje. Otrzymaliśmy login, hasło oraz adres strony, z której logowanie było dokonane 20. Uruchamiamy przeglądarkę i sprawdzamy czy te dane są prawdziwe. 21. Uzyskane za pomocą programu ettercap są porawne.

8 2.2. Wykrywanie ARP Spoofing 1. Włączamy komputer 2 (komputer ofiary) i uruchamiamy program Wireshark. Następnie klikamy na okienko Interface List. 2. Teraz powinno pojawić się okno informujące nas o znajdowanych przez Wireshark interfejsach. Przechodzimy dalej klikając Start. 3. W tej chwili wszystkie informacje zdobywane przez Wireshark, są wyświetlane na ekranie. 4. Interesuje nas tylko protokół ARP. Dlatego aby uzyskiwać jedynie przydatne nam dane w polu Filters wpisujemy arp i klikamy Enter. Teraz Wireshark będzie podawał nam tylko informacje dotyczące protokołu ARP. 5. Po wyświetleniu okna ettercapa przechodzimy do konfiguracji. Postępuj według poniższych obrazków

9 6. Po wybraniu interfejsu uzyskujemy bardzo ważne informacje o naszym połączeniu. Warto zapamiętać adres MAC oraz adres fizyczny. 7. Następnie zajmujemy się przeskanowaniem wszystkich hostów w naszej sieci. Aby uruchomić skanowanie należy kliknąć w zakładce Hosts na Skan for hosts. 8. Okno skanowania przedstawia nam postęp w skanowaniu. 9. Po zakończonym skanowaniu w dolnej części okna programu zostaje wyświetlona informacja ile hostów zostało odnalezionych w naszej sieci. 10. Wyświetlamy listę hostów.

10 11. Adres bramy ustawiamy, jako target 1 zaś target 2 zostawiamy pusty, po prostu Ettercap będzie nasłuchiwał całą sieć. 12. Po poprawnym ustawieniu przechodzimy do zakładki Mitm i wybieramy pozycje Arp poisoning. Patrz poniżej. 14. Teraz zaznaczamy Sniff remote connections. i zatwierdzamy. 15. Po wciśnięciu OK powinniśmy zobaczyć informację. 16. Teraz wystarczy już tylko przejść do zakładki Start i kliknąć na Start sniffing

11 17. ARP Spoofing jest już uruchomiony. Powracamy teraz do komputera, 2 aby sprawdzić wyniki pracy Wiresharka. Jak widać uzyskaliśmy bardzo wiele danych i lista jest wciąż na bieżąco uzupełniana. 18. Czas odszukać informacje dotyczące ARP Spoofing. W tym celu zatrzymujemy prace Wiresharka, patrz poniżej. 19. Aby jakoś uporządkować otrzymane wyniki klikamy na kolumnę Info. 20. Teraz bardzo wyraźnie widać podmianę adresu MAC bramy. Na początku jest to adres 00:03:47:9a:3d:89 by po chwili został zmieniony na 08:00:27:09:49:54, jak dobrze pamiętamy jest to adres MAC komputera atakującego. Łatwo także zauważyć, że Source (źródło) także uległo zamianie.