Laboratorium nr 4 Ataki aktywne



Podobne dokumenty
Laboratorium - Przechwytywanie i badanie datagramów DNS w programie Wireshark

Zadanie OUTSIDE /24. dmz. outside security- level /24. inside security- level /16 VLAN

Laboratorium - Używanie programu Wireshark do obserwacji mechanizmu uzgodnienia trójetapowego TCP

Topologia sieci. Cele nauczania.

1. Zgodnie z poniższym schematem ustanów połączenia: konsolowe i ethernetowe z urządzeniem

Problemy z bezpieczeństwem w sieci lokalnej

Laboratorium - Używanie wiersza poleceń systemu IOS do obsługi tablic adresów MAC w przełączniku

SIECI KOMPUTEROWE I TECHNOLOGIE INTERNETOWE

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Zagrożenia warstwy drugiej modelu OSI - metody zabezpieczania i przeciwdziałania Autor: Miłosz Tomaszewski Opiekun: Dr inż. Łukasz Sturgulewski

Zakład Teleinformatyki i Telekomutacji LABORATORIUM SIECI

LABORATORIUM SIECI. Zakład Cyberbezpieczeństwa IT PW. Instrukcja do ćwiczenia: Switching, VLAN & Trunking Przedmiot: Sieci Lokalne (LAN)

Część I: Podstawowa konfiguracja routera

ZADANIE.02 Podstawy konfiguracji (interfejsy) Zarządzanie konfiguracjami 1,5h

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)


dopełnienie wystarczy wpisać początek polecenia, np: en i nacisnąć klawisz TAB na klawiaturze, a system dopełni nam poleceni do enable,

ZiMSK. mgr inż. Artur Sierszeń mgr inż. Łukasz Sturgulewski ZiMSK 1

Wireshark analizator ruchu sieciowego

PBS. Wykład Organizacja zajęć. 2. Podstawy obsługi urządzeń wykorzystywanych podczas laboratorium.

Ćwiczenie 6 Przełącznik zarządzalny T2500G-10TS (TL-SG3210).

Wprowadzenie do obsługi systemu IOS na przykładzie Routera

dostępu do okręslonej usługi odbywa się na podstawie tego adresu dostaniemu inie uprawniony dostep

Instrukcja podłączenia bramki IP 1R+L oraz IP 2R+L w trybie serwisowym za pomocą usługi telnet.

MODEL WARSTWOWY PROTOKOŁY TCP/IP

4. Podstawowa konfiguracja

Ćwiczenie Konfiguracja statycznych oraz domyślnych tras routingu IPv4

Podstawowa konfiguracja routerów. Interfejsy sieciowe routerów. Sprawdzanie komunikacji w sieci. Podstawy routingu statycznego

Ćwiczenie Rozwiązywanie problemów związanych z trasami statycznymi IPv4 oraz IPv6 Topologia

System kontroli dostępu ACCO NET Instrukcja instalacji

Laboratorium podstaw telekomunikacji

Interfejsy: Ethernet do połączenia z siecią LAN Serial do połączenia z siecią WAN. pełną konfigurację urządzenia. Zadanie

ZAKŁAD SYSTEMÓW ROZPROSZONYCH. Politechnika Rzeszowska BEZPIECZEŃSTWO I OCHRONA INFORAMCJI

Ćwiczenie Konfiguracja routingu między sieciami VLAN

Wykaz zmian w programie SysLoger

T: Zabezpieczenie dostępu do komputera.

1) Skonfiguruj nazwę hosta na ruterze zgodną z przyjętą topologią i Tabelą adresacji.

Switching, VLAN & Trunking 2

Spoofing. Wprowadzenie teoretyczne

PODSTAWOWA KONFIGURACJA LINKSYS WRT300N

Akademia Techniczno-Humanistyczna w Bielsku-Białej

Wstęp. Skąd pobrać program do obsługi FTP? Logowanie

Telefon IP 620 szybki start.

ZADANIE.07 Różne (tryb tekstowy i graficzny) 2h

Metody zabezpieczania transmisji w sieci Ethernet

ARP Address Resolution Protocol (RFC 826)

Telefon AT 530 szybki start.

ZADANIE.08 RADIUS (authentication-proxy, IEEE 802.1x) 2h

Laboratorium 2 Sieci Komputerowe II Nazwisko Imię Data zajęd

Ćwiczenie 5a Sieć komputerowa z wykorzystaniem rutera.

ZADANIE.07 Różne (tryb tekstowy i graficzny) 2h

SIP Studia Podyplomowe Ćwiczenie laboratoryjne Instrukcja

Rozdział 5: KONFIGURACJA ROUTERÓW ZA POŚREDNICTWEM IOS

Konfiguracja IPSec Brama IPSec w Windows 2003 Server

Zadanie OUTSIDE /24. dmz. outside /24. security- level /16

Wykład 2: Budowanie sieci lokalnych. A. Kisiel, Budowanie sieci lokalnych

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Ćwiczenie 5b Sieć komputerowa z wykorzystaniem rutera.

Administracja sieciami LAN/WAN Komunikacja między sieciami VLAN

Zadanie1: Odszukaj w serwisie internetowym Wikipedii informacje na temat hasła SOHO (ang. Small Office/Home Office).

PODSTAWOWA OBSŁUGA PROGRAMU PROGRAMU PACKET TRACER TRYB REAL TIME

Sieci Komputerowe Laboratorium 11. VLAN i VTP

ZADANIE.01 Cisco.&.Juniper Wprowadzenie do ZiMSK (budowa sieci, połączenie konsolowe, usuwanie konfiguracji urządzeń)

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Zadanie OUTSIDE /24. dmz. outside /24. security- level /16

Metody ataków sieciowych

Instrukcja do laboratorium 1

Ćwiczenie Wykrywanie błędów w routingu między sieciami VLAN

Laboratorium 3.4.3: Usługi i protokoły

Konwerter RS-485->TCP/IP [ethernet] ATC-1000 SZYBKI START [konfiguracja urządzenia do współpracy z programem Meternet]

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Warsztaty z Sieci komputerowych Lista 3

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Wykład Nr Sieci bezprzewodowe 2. Monitorowanie sieci - polecenia

Lab 2 ĆWICZENIE 2 - VLAN. Rodzaje sieci VLAN

Laboratorium 6.7.2: Śledzenie pakietów ICMP

Zadanie 6. Ile par przewodów jest przeznaczonych w standardzie 100Base-TX do transmisji danych w obu kierunkach?

Laboratorium sieci. Instrukcja do Laboratorium: Protokoły routingu IP Michał Jarociński, Piotr Gajowniczek v.3.03, kwiecień 2015

Ping. ipconfig. getmac

Ćwiczenie Konfiguracja routingu inter-vlan 802.1Q opartego na łączach trunk

Pracownia internetowa w każdej szkole (edycja jesień 2005)

Laboratorium 3.4.2: Zarządzanie serwerem WWW

Warsztaty z Sieci komputerowych Lista 3

Laboratorium Badanie protokołu ARP w wierszu poleceń systemu Windows, wierszu poleceń IOS oraz w programie Wireshark

Konwerter RS-485->Ethernet [TCP/IP] CN-ETH-485 INSTRUKCJA [konfiguracja urządzenia do współpracy z programem MeternetPRO]

Czym jest router?... 3 Vyatta darmowy router... 3 Vyatta podstawowe polecenia i obsługa... 3 Zarządzanie użytkownikami... 3 Uzupełnianie komend...

SIECI KOMPUTEROWE I TECHNOLOGIE INTERNETOWE

Konfiguracja połączenia G.SHDSL punkt-punkt w trybie routing w oparciu o routery P-791R.

Projekt LAN. Temat: Skaner bezpieczeństwa LAN w warstwie 2. Prowadzący: dr inż. Krzysztof Szczypiorski Studenci: Kończyński Marcin Szaga Paweł

BEZPIECZEŃSTWO W SIECIACH

OBSŁUGA I KONFIGURACJA SIECI W WINDOWS

VLAN 2 zadania. Uwagi. Przygotowanie. Zadanie 1 Klasyczny VLAN, komputery obsługują znaczniki 802.1Q. Zadanie 2 Ingress filtering (cz.

Tworzenie maszyny wirtualnej

Laboratorium sieci komputerowych

LABORATORIUM SIECI KOMPUTEROWYCH (compnet.et.put.poznan.pl)

Instalacja i konfiguracja serwera IIS z FTP

LINUX. Instalacja oprogramowania

Konfigurowanie sieci VLAN

Transkrypt:

Laboratorium nr 4 Ataki aktywne I. Przepełnienie tablicy CAM przełącznika Tablica CAM (Content-addressable memory) przełącznika zawiera powiązanie adresów warstwy 2 (Ethernet) z portami fizycznymi przełącznika oraz sieciami VLAN do których przyporządkowany jest dany adres. Przepełnienie tablicy CAM następuje, gdy na danym porcie przełącznik obierze zbyt duża ilość pakietów z różnymi źródłowymi adresami MAC (Proszę sprawdzić jaki jest maksymalny rozmiar tablicy CAM na przełącznikach Cisco Catalyst 2960 używanych w trakcie ćwiczenia). Przełącznik po otrzymaniu ramki z nieznanym adresem MAC zachowuje się jak koncentrator i rozsyła ramkę na wszystkie porty w obrębie danej sieci VLAN poza portem źródłowym na którym pojawiła się ramka. Zastanów się jakie może to mieć skutki dla bezpieczeństwa przesyłanych danych. Wykonanie ćwiczenia 1) Do przeprowadzenia ataku potrzebne będą 4 komputery oraz przełącznik (Rysunek 1). Komputer Atakującego powinien działać pod kontrolą systemu Debian podczas uruchamiania należy wpisać dragonlab. Na pozostałych komputerach uruchamiamy system Windows. 2) W trakcie instalacji Debiana, można zestawić sieć w której będzie przeprowadzany atak. Schemat zestawianej sieci został przedstawiony na rysunku 1. Użytkownik 1 będzie starał się logować do serwera FTP uruchomionego na komputerze Użytkownika 2, Atakujący będzie zalewał sieć losowymi pakietami przepełniając tablice CAM przełącznika, a Obserwator będzie monitorował ruch w sieci za pomocą programu Wireshark.

Użytkownik 1 Użytkownik 2 (Serwer FTP) fa 0/1 fa 0/2 fa 0/3 Cisco fa 0/4 Catalyst 2960 Obserwator (Wireshark) Atakujący (System Debian) Rysunek 1. Schemat sieci wykorzystywanej do ataku CAM table overflow. 3) Na jednym z komputerów z Windowsem należy uruchomić konsolę konfiguracyjną przełącznika. W tym celu kabel konsolowy (rollover) z komputera należy wpiąć do specjalnie wyprowadzonego gniazda w szafie oznaczonego SXX, gdzie XX to numer przełącznika w szafie. Następnie proszę uruchomić program Putty, zaznaczyć w nim tryb połączenia szeregowego i uruchomić połączenie. Konieczne może okazać się wciśnięcie enter, aby zobaczyć informacje z przełącznika. Po uruchomieniu systemu operacyjnego przełącznika pojawiają się następujące pytania: Would you like to enter the initial configuration dialog? [yes/no]: (należy odpowiedzieć no) Would you like to terminate autoinstall? [yes]: (należy wcisnąć enter lub wpisać yes) Następnie możemy przystąpić do konfiguracji przełącznika. Chcemy przypisać wszystkie używane porty (fa0/1 fa0/4) do jednego VLANu, np. VLANu 100. W tym celu kolejno wykonujemy następujące komendy: Switch> enable Switch# configure terminal Switch(config)# interface range fa0/1-4 Switch(config-if-range)# switchport mode access Switch(config-if-range)# switchport access vlan 100

4) Na komputerze obserwatora, należy uruchomić Wireshark a. 5) Komputery użytkownika 1 oraz użytkownika 2 należy zaadresować w jednej podsieci tak aby była między nimi łączność. Na komputerze użytkownika 2 uruchamiamy program serwera FTP (Start Programy FTP Server), w zakładce Show user accounts dodajemy nowego użytkownika i uruchamiamy serwer przyciskiem Start. 6) Na stacji z Debianem należy zainstalować pakiet dsniff wykonujący atak CAM table overflow (generujący pakiety z losowymi adresami źródłowymi MAC): W wierszu poleceń wpisujemy: sudo apt-get install dsniff Jeśli będą problemy z zainstalowaniem pakietu z domyślnych repozytoriów, proszę dodać nowe repozytoria do pliku: /etc/apt/sources.list Przykładowe repozytoria: deb http://ftp.pl.debian.org/debian/ squeeze main non-free contrib deb-src http://ftp.pl.debian.org/debian/ squeeze main non-free contrib deb http://security.debian.org/ squeeze/updates main contrib non-free deb-src http://security.debian.org/ squeeze/updates main contrib non-free deb http://ftp.pl.debian.org/debian/ squeeze-updates main non-free contrib deb-src http://ftp.pl.debian.org/debian/ squeeze-updates main non-free contrib Po dodaniu wpisów do pliku, należy zaktualizować pakiety poleceniem: sudo apt-get update 7) Przystępujemy do ataku. Na stacji z debianem uruchamiamy aplikację atakującą. Atak przepełniający powinien trwać około 20-30 sekund. W trakcie trwania ataku należy nawiązać sesję ftp między komputerem użytkownika 1, a serwerem. Jako klienta FTP można użyć, np. przeglądarki. Generowanie pakietów rozpoczynamy poleceniem: sudo macof i eth1 a kończymy kombinacją klawiszy ctrl+c. Przy dłuższym ataku mogą wystąpić problemy z zawieszaniem się przełącznika lub nieprawidłowym działaniem stacji obserwatora spowodowanym słabą wydajnością karty sieciowej.

8) Po przeprowadzonym ataku, można sprawdzić, czy faktycznie się powiódł, sprawdzając czy komputer obserwatora przechwycił hasło sesji ftp. Wygodnie jest użyć odpowiedniego filtru w programie Wireshark. Jeśli nie udało się przechwycić hasła, na przełączniku należy wykonać komendę: Switch# clear mac-address-table dynamic (wyjście do trybu Switch# poprzez komendy exit) I przeprowadzić atak ponownie. Należy użyć innej przeglądarki lub wyczyścić historię przeglądania, gdyż przeglądarka bieżące hasło zapisała już do pamięci podręcznej. 9) Do zapobiegania atakowi CAM Table Overflow służy mechanizm port security. Aby skonfigurować go na przełączniku należy wpisać następujące komendy: Switch(config)# interface range fa0/1-4 Switch(config-if-range)# switchport port-security Switch(config-if-range)# switchport port-security maximum 5 vlan access Switch(config-if-range)# switchport port-security violation shutdown Switch(config-if-range)# switchport port-security macaddress sticky Proszę wyjaśnić do czego służą poszczególne komendy. 10) Przeprowadzając kolejny atak (uruchamiając kolejny raz program macof) można sprawdzić czy wprowadzone komendy przyniosły efekt. Co się stało? Jak zareagował przełącznik? Czy można przechwycić hasła wykorzystywane do innych połączeń (http, https, telnet, ssh)?

II. ARP Spoofing Address Resolution Protocol (ARP) to protokół sieciowy, którego zadaniem jest zamiana adresów warstwy sieciowej (IP) na adresy warstwy łącza danych (MAC). Protokół ten działa następująco: Host chcący ustalić adres fizyczny urządzenia wysyła żądanie ARP request do wszystkich hostów znajdujących się w tej samej sieci. Na zapytanie odpowiada tylko host, którego adres IP jest identyczny z adresem IP umieszczonym w zapytaniu. Odpowiedź zawiera adres IP i fizyczny hosta docelowego. Odebrany adres fizyczny zapisywany jest w tablicy ARP. Urządzenie sieciowe w tablicy ARP przetrzymuje pary adresów IP i fizycznych, dzięki temu nie musi wysyłać zapytania ARP request przy każdym wysyłanym pakiecie. Atak ARP spoofing polega na przechwytywaniu pakietów ARP i ingerowaniu w nie w taki sposób, by pośredniczyć w transmisji między dwoma urządzeniami. Przykładowo, atakujący który chciałby pośredniczyć w transmisji między Użytkownikiem, a Ruterem (Rysunek 2), modyfikuje tablice ARP obu urządzeń w taki sposób, że Ruter wysyłający pakiety na adres IP hosta wysyła je do Atakującego (na jego adres MAC), a Użytkownik wysyłając pakiety pod adres IP swojej bramy domyślnej wysyła je również do atakującego. Użytkownik 1 Ruter Przełącznik Atakujący Rysunek 2. Przykładowy schemat ataku ARP spoofing.

Wykonanie ćwiczenia 1) Należy zestawić sieć taką sieć jak na rysunku 3. Internet Użytkownik Serwer HTTPS Atakujący Rysunek 3. Schemat sieci wykorzystywanej do ataku ARP spoofing. W tym celu dwóm komputerom należy zapewnić dostęp do Internetu. 2) Na komputer atakującego proszę ściągnąć i zainstalować aplikację Cain & Abel v4.9.40. 3) Po uruchomieniu programu należy skonfigurować go tak, był w stanie wykonać atak zatruwanie ARP (ARP poisoning): Należy uruchomić tryby Sniffer i ARP Poison Routing poprzez przycisk Będąc w zakładce Sniffer nacisnąć przycisk i zeskanować sieć w poszukiwaniu dostępnych hostów. Przebywając nadal w zakładce Sniffer naciskamy u dołu zakładkę APR, ponownie naciskamy, w celu dodania adresów urządzeń, które ma podsłuchiwać atakujący (adres IP użytkownika i jego bramy domyślnej). 4) Na tym etapie atakujący powinien uczestniczyć w transmisji między użytkownikiem, a jego bramą domyślną. 5) Na komputerze użytkownika należy nawiązać połączenie z dowolnym serwerem za pomocą zabezpieczonego połączenia HTTPS. Można skorzystać tutaj z popularnych portali społecznościowych lub kont poczty elektronicznej. Proszę używać fikcyjnych danych do logowania. 6) Po nawiązaniu sesji HTTPS, na komputerze atakującego jest możliwość oglądnięcia zarówno certyfikatu, jak i haseł użytych w czasie jej trwania.

Czy możliwa jest komunikacji bez protokołu ARP? W jaki sposób atakujący może ingerować w tablicę ARP użytkownika? O czym informuje komunikat przeglądarki podczas próby nawiązania sesji HTTPS? Dlaczego przeglądarka zgłasza błąd? Proszę porównać komunikaty dwóch dostępnych przeglądarek? Proszę subiektywnie ocenić, który z nich zapewnia większe bezpieczeństwo? Czy połączenie HTTPS zawsze jest bezpieczne? Jaki mechanizm należałoby zastosować, aby zabezpieczyć sieć przed atakiem typu ARP spoofing/poisoning? Proszę go krótko opisać. Po wykonaniu laboratorium na komputerze z Debianem należy ponownie zainstalować Windows (komenda labreinstall). Na pozostałych należy usunąć oprogramowanie instalowane w trakcie ćwiczenia.