Come hackerare uno switch collegato alla rete con ARP statico?

6

Ad esempio, se c'è una rete con tre computer collegati allo stesso switch, Alice, Bob ed Eve. Se Alice e Bob si aggiungono sulla propria lista ARP come una voce ARP statica, e Eva vuole attaccare sulla connessione di rete tra Alice e Bob, come potrebbe fare?

A proposito, mi chiedo se lo sniffing sia ancora disponibile sulla rete. Se entrambi configurano l'ARP statico, non è possibile ottenere lo spoofing ARP. In questa circostanza, tcpdump o wireshark saranno ancora utilizzabili per annusare la rete?

    
posta stcheng 18.04.2013 - 22:51
fonte

2 risposte

5

Per prima cosa, chiariamo cosa si intende per una voce arp statica. Il protocollo di risoluzione degli indirizzi viene utilizzato per mappare l'indirizzo di livello 2 all'indirizzo di livello 3, in genere Ethernet e IP. Una voce arp statico significa che ci si aspetta sempre che un indirizzo IP specifico sia a un determinato indirizzo hardware. Con un'implementazione predefinita di Windows o Linux, utilizzerai uno stack TCP / IP e non potrai semplicemente fare comunicazioni dirette con solo gli indirizzi di livello 2.

Lo switch è un dispositivo relativamente stupido, determina dove inviare il traffico, ma quale traffico riceve. Senza informazioni sulla destinazione, lo switch invierà qualsiasi dato input su tutte le altre porte. Una volta che un messaggio viene inviato attraverso l'input, lo switch aggiornerà la sua tabella CAM e dirà "chiunque desideri inviare a quell'indirizzo che invierò quella porta", cioè, la sorgente per un ingresso può essere usata come destinazione per le uscite successive.

Con questa conoscenza, ora possiamo considerare l'exploit. La prima possibilità è quella di interrompere la funzionalità che decide di inviare l'uscita solo a una porta e inviarla a tutte le porte sullo switch. Potresti essere in grado di sovraccaricare lo switch in modo che continui a riempire la tabella CAM con il risultato che le voci con Alice e la posizione di Bob andranno perse. Potresti anche essere in grado di compromettere lo switch stesso attraverso una vulnerabilità o una configurazione errata. A seconda del modello, è possibile installare le utilità di sniffing sullo switch stesso, oppure è possibile trasformare la porta in una porta span / mirror e quindi monitorare il traffico o reindirizzare il traffico.

Per un attacco di overflow, leggi ulteriori informazioni su dsniff / macof.

A meno che non si utilizzino alcuni meccanismi sullo switch o qualche tipo di 802.1x che corregge l'indirizzo MAC su una determinata porta, si dovrebbe essere in grado di sovrascrivere le voci nella tabella CAM. Normalmente lo switch non suppone che un componente hardware sia sempre collegato a una particolare porta fisica. Quindi Eve può semplicemente mentire e dire all'interruttore di avere l'indirizzo MAC di Bob o di Alice. Quindi lo switch aggiornerà la tabella CAM e indirizzerà il traffico verso di me. Questo potrebbe non essere sempre efficace se c'è poco altro traffico per aggiornare la tabella ARP. Se comunichi al commutatore che sei Bob, non sarai chiaramente in grado di inviare traffico a Bob, perché lo switch pensa che la tua porta sia anche la porta di Bob a meno che Bob non invii traffico per aggiornare la tabella CAM. In ARP il poisioning è un attacco all'host, ma puoi anche attaccare nel punto dello switch.

Follow Up

risposta data 19.04.2013 - 00:51
fonte
5

L'attaccante può tentare di inondare la tabella MAC dello switch e quindi lo switch potrebbe cadere in modalità "hub". Quindi lo switch inviava i pacchetti di Alice e Bob su tutte le porte. Così Eve potrebbe annusare i loro pacchetti di rete.

Un altro modo di hackerare è avvelenare la tabella MAC dello switch. Se Eve conosce l'indirizzo MAC di Alice e Bob, Eve potrebbe dire al commutatore che ha l'indirizzo MAC di ALICE e / o BOB, quindi alcuni pacchetti o tutti i pacchetti verranno reindirizzati a Eve.

    
risposta data 18.04.2013 - 23:05
fonte

Leggi altre domande sui tag