Paweł Pokrywka. Radar w Ethernecie. Lokalizowanie hostów w sieci LAN

Transkrypt

1 Paweł Pokrywka Radar w Ethernecie Lokalizowanie hostów w sieci LAN

2 Traceroute w L3 Idea dekrementacja pole TTL nagłówka IP ICMP Time Exceeded, gdy TTL == lokalizowanie hosta/routera z dokładnością do routera Traceroute w L? odpowiednik routera switch nie ma odpowiednika TTL przełączniki nie modyfikują ramek

3 Lokalizowanie A gdyby się udało? intruza cennych zasobów Tworzenie mapy sieci LAN dokumentacja sieci audyt przygotowania do ataku

4 Jak to osiągnąć? Zarządzalne przełączniki admin drogie napastnik trzeba uzyskać dostęp Ingerencja w fiz. strukturę sieci kłopotliwe, szczególnie dla napastnika Badanie opóźnień host A bliżej niż B gdy ping A < ping B? Obciążanie fragmentów sieci MAC Spoofing

5 Podstawy: ramka Ethernet 7 B B 6 B 6 B B,4 B 4,46-5 B 4 B Preambuła SFD Adres docelowy Adres źródłowy Długość/typ [VLAN] Dane [Dopełnienie] FCS [Rozszerzenie] Jak rozpoznać koniec ramki? Software? Hardware

6 Podstawy: przełączanie 8.d Procesy przekazywanie (Forwarding Process) uczenie (Learning Process) Tablica MAC (Filtering Database) pamięć CAM mac - port

7 Podstawy: switch /5 Switch

8 Podstawy: switch /5 Switch

9 Podstawy: switch 3/5 Switch

10 Podstawy: switch 4/5 Switch

11 Podstawy: switch 5/5 Switch

12 Rozpoznawanie struktury sieci 3

13 Rozpoznawanie struktury sieci Kontrolowane hosty 3

14 Rozpoznawanie struktury sieci Wysyłam ramkę do podszywając się pod (niah, niah!) Ramka zawierająca nieprawidłowy pakiet, np. truncated IP Adres docelowy Adres źródłowy Typ = IP : > kolory 3 UWAGA: Ważny krok, powtarzany w każdym następnym przykładzie!

15 Rozpoznawanie struktury sieci : > 3

16 Rozpoznawanie struktury sieci : > 3

17 Rozpoznawanie struktury sieci Dostałem ramkę od zawierającą nieprawidłowy pakiet IP - ignoruje : > 3

18 Rozpoznawanie struktury sieci 3

19 Rozpoznawanie struktury sieci 3: 3 > Wysyłam ramkę do 3

20 Rozpoznawanie struktury sieci Wiem gdzie jest! Nie muszę floodować ramki na wszystkie porty!? 3: 3 > 3

21 Rozpoznawanie struktury sieci 3: 3 > 3

22 Rozpoznawanie struktury sieci Hm? Dostałem ramkę adresowaną do Gdzie moja ramka? 3: 3 > 3

23 Rozpoznawanie struktury sieci 3

24 Rozpoznawanie struktury sieci Wysyłam ramkę do podszywając się pod Dostałem ramkę od 3 : >

25 Rozpoznawanie struktury sieci Wysyłam ramkę do Dostałem ramkę od 3 3 3: 3 > Hm? Tym razem nie dostałem ramki adresowanej do

26 Interpretacja wyników Można rozróżnić dwa ułożenia Powtarzanie testów dla różnych kombinacji = mapa sieci Wady trzeba kontrolować aż dwa hosty dla jednego testu aby zmapować sieć trzeba kontrolować (prawie) wszystkie hosty! 3 3

27 Demonstracja: Etherbat Administrator zna układ przełączników ale nie wie do którego podłączony jest chaker

28 Demonstracja: Etherbat Administrator zna układ przełączników ale nie wie do którego podłączony jest chaker

29 Przypomnienie sieci z przykładu 3 Hosty i 3 muszą być pod kontrolą badacza

30 Pomysł Czy można poprosić 3 o wysłanie ramki do MAC spoofing, SA=3? niweluje skuteczność testu jeśli jest to możliwe bez MAC spoofingu to nie trzeba kontrolować 3 test się upraszcza! Wyślij ramkę, ale nie do mnie, tylko do kogoś innego! 3 Hm...?

31 Pakiet ARP Komunikat do wszystkich: Kto ma adres IP=X? Odpowiedź hosta X: Ja mam ten adres, mój MAC to xx:xx:xx B Typ warstwy fizycznej = Ethernet B Typ protokołu wyższej warstwy = IP B B B 6 B Długość adresu sprzętowego Dług. protokołu wyższej warstwy Kod operacji Adres sprzętowy źródła = 6 = 4 = Request, Reply (adres MAC) 4 B Adres źródłowy wyższej warstwy (adres IP) 6 B Adres sprzętowy przeznaczenia (adres MAC) 4 B Adres docelowy wyższej warstwy (adres IP)

32 6 B 6 B B Ramka z pakietem ARP Adres docelowy Adres źródłowy Długość/typ B Typ warstwy fizycznej = Ethernet B B B B 6 B 4 B 6 B 4 B Typ protokołu wyższej warstwy Długość adresu sprzętowego Dług. protokołu wyższej warstwy Kod operacji Adres sprzętowy źródła Adres źródłowy wyższej warstwy Adres sprzętowy przeznaczenia Adres docelowy wyższej warstwy = ARP = IP = 6 = 4 = Request, Reply!

33 Asymetryczny ARP Request Adres źródłowy ramki!= adres źródłowy podany w nagłówku ARP Odpowiedź jest wysyłana na adres z nagłówka ARP, a nie na adres źródłowy ramki! DoS ze zrzuceniem odpowiedzialności na inny host

34 Rozpoznawanie struktury sieci 3 Kontrolowany host 3

35 Rozpoznawanie struktury sieci 3 Wysyłam ramkę do podszywając się pod Dostałem ramkę od : > 3

36 Rozpoznawanie struktury sieci 3 Proszę 3 o wysłanie ramki do : > 3 arp src = 3 Dostałem ARP Request o mój adres IP

37 Rozpoznawanie struktury sieci 3 Dostałem ramkę adresowaną do 3: 3 > Wysyłam ARP Reply na adres z nagłówka ARP czyli do 3

38 Problem Ciągle pozostaje wymaganie aż trzech hostów

39 Rozpoznawanie struktury sieci 4 Sieć uproszczona dla czytelności Kontrolowany host 3 Host 3 usunięty z testu

40 Rozpoznawanie struktury sieci 4 Kontrolowany host

41 Rozpoznawanie struktury sieci 4 Wysyłam ramkę do podszywając się pod Dostałem ramkę od : >

42 Rozpoznawanie struktury sieci 4 Proszę o wysłanie ramki do Dostałem ARP Request o mój IP : > broadcast arp src =!

43 Rozpoznawanie struktury sieci 4 Wysyłam ARP Reply na adres : > Host wysłał ramkę na adres przypisany do portu z którego przyszła ramka nie przekazuję dalej!

44 Rozpoznawanie struktury sieci 4 Nowa trasa do hosta

45 Rozpoznawanie struktury sieci 4 Proszę o wysłanie ramki do Dostałem ARP Request o mój IP : > arp src =

46 Rozpoznawanie struktury sieci 4 Wysyłam ARP Reply na adres Dostałem ramkę od Nie otrzymałem ramki adresowanej do Czyli host znajduje się na trasie - : >

47 Etherbat 3 testy podstawowe A, A różnica w kolejności hostów B Test pomocniczy B wykrywanie błędów 3 = 8 wykrywanych konfiguracji

48 Problemy: kiedy wynik jest fałszywy? Symetryczny ARP? Cichy host (w przykładach host ) transmituje dane niektóre transmisje wykrywane przed podsłuch powtarzanie testów komunikat jabber -> kilka konfiguracji hostów testy B gwarantują wykrycie jabberu Filtrowanie (port-security itp.) większość przypadków wykrywana Duplikaty część można wykryć (nie w tej wersji) Straty w sieci ginące ramki Praktycznie nie do wykrycia Switche i switche

49 Switche i switche Pierwsza ramka SA=DA kolejność procesów uczenia i przekazywania Ramki DA=PAUSE zapamiętywanie adresu SA przekazywanie Odporność Etherbata

50 Switche i switche Specyfikacje układów stosowanych w switchach informują o spełnianiu standardu 8.3 Te same układy nie zapamiętują adresu źródłowego ramek PAUSE 8.3-5, section,.4 Definitions: (...) switch: A layer interconnection device that conforms to the (...) 8.D-998. Syn: bridge. 8.D-998, Annex A, A.6 Relay and filtering of frames: Mandatory: Are correctly received frames submitted to the Learning Process? Wynik: urządzenie które nie zapamiętuje adresu źródłowego ramek PAUSE nie jest switchem w rozumieniu standardu 8.3

51 Tryb optimistic Czasami wykrywane jest wiele konfiguracji etherbat -o Wybór najbardziej prawdopodobnej

52 Jak nie dać się zlokalizować? Zabezpieczenie sieci przed MAC spoofingiem Generowanie ruchu najlepiej broadcasty, propagują się wszędzie, uczą wszystkie switche małe ramki, często Blaster na wszystkich komputerach niestety dostepny tylko pod Windows ;-) Modyfikować/filtrować ARP arptables

53 Etherbat: dalsze pomysły Tryb batch aplikacja GUI do wizualizacji Tryby pracy jeden host - dokładny fingerprinting trasy od A do B trzy hosty (może lepsze wyniki przy dziwnych switchach) Wydajność przy dużym pps możliwość uruchamiania etherbata na gateway'u Optymalizacja testów teraz dokładność wyników jak najmniej ramek

54 Etherbat: dalsze pomysły Rozszerzenie narzędzia o inne protokoły Każdy asymetryczny protokół da się wykorzystać! IPv6 IPX ARP+L3/4 (np. IP/ICMP, IP/TCP syn/rst) inne?

55 Reklama: Ispara Storm Guard Eliminacja negatywnych zjawisk w sieci LAN ataki DoS/DDoS wirusy spam Kwarantanna zainfekowanych hostów ruch komputera nie dostaje się do Ethernetu! nie wymaga zarządzalnych urządzeń Sprzętowa akceleracja przetwarzania pakietów mbit, 448 pps, opóźnienia ~ Więcej informacji:

56 Dziękuję za uwagę. Paweł Pokrywka Ispara Storm Guard