Descrição da atividade: elaborar um relatório sobre Prova de Conceito de ataque Man in the Middle (MITM) através do transbordamento da tabela MAC.

Transcrição

1 Tecnologia de Redes - Marissol Descrição da atividade: elaborar um relatório sobre Prova de Conceito de ataque Man in the Middle (MITM) através do transbordamento da tabela MAC. Definições e Conceitos Um switch tem como papel entregar pacotes para as partes interessadas, não permitindo que você sniff o tráfego que não lhe é direcionado, portanto existem meios de se subverter esse sistema fazendo com que o switch peca essa característica fundamental. Atacar switches que pertencem à mesma rede em que o atacante se infiltra como MITM, é possível por meio de um ataque denominado MAC Flooding. Nesse tipo de ataque utiliza-se um software que consegue preencher rapidamente, com vários números MAC uma tabela que o switch possui para endereçamento e entrega de pacotes, chamada ARP. Durante o ataque o switch não consegue mais trabalhar adequadamente, podendo travar ou abandonar a tabela ARP e começa a trabalhar como se fosse um Hub, um simples replicador de sinais elétricos. Dessa forma todos os pacotes são endereçados a todas as portas em Broadcast. Nesse momento, outro software sniffer, consegue capturar dados de pacotes trafegados, tornando a rede vulnerável. MAC Flooding Técnica utilizada para comprometer a segurança da rede de switches. Esse ataque bombardeia o switch por pacotes com endereços forjados de destinos MAC, dessa forma, a memória do switch que é limitada, logo é preenchida com os endereços falsos, provocando uma falha chamada 'failopen mode', assim, cada pacote entra em um broadcast de saída, como em um hub, em vez de enviar para o endereço correto conforme seu funcionamento padrão, ele envia pacotes por todas as portas. Isso permite que o atacante capture todo o tráfego da rede até que o switch seja reiniciado. Switch Cisco c TT

2 Um switch é uma evolução em redes, quando tinha-se apenas os hub's. O hub atua apenas na camada 1 do modelo OSI, ou seja, apenas replica sinais elétricos que entra em uma porta e para todas as outras portas. Com o surgimento do switch, pode haver várias transmissões simultâneas, quando para o mesmo host, de forma alternada, praticamente evitando a colisão de pacotes, aumentando o desempenho da rede. Ele trabalha com as duas primeiras camadas do modelo OSI. Possuem a capacidade de identificar a origem e destino do frame (MAC Address). Para ser capaz de identificar o destino do frame, o switch realiza um processo de aprendizagem. 1 o. Processo: Learning Ao ligar um switch sua tabela MAC está vazia. Cada frame que chega até o switch contém o MAC Address do host que originou o frame. Então o switch armazena este MAC na tabela CAM e associa a porta pela qual o frame chegou. 2 o. Processo: Filtering Após o switch 'aprender' os MAC Address e associá-los às respectivas portas, a próxima comunicação entre dispositivos conhecimentos se fará de forma direta, pela porta do host de destino. 3 o. Processo: Forwarding É o encaminhamento propriamente dito do frame de um host conhecido a uma porta do outro host conhecimento que estão na tabela. 4 o. Processo: Aging O aging adiciona um tempo de vida, por padrão dura 300 segundos, para o armazenamento na

3 tabela, ou seja, apenas hosts ativos permaneceram na tabela. Tabela ARP (CAM) A tabela CAM é usada para comutar rapidamente frames (quadros) para o seu destino. Esse é o passo a passo de preenchimento da tabela: Host A está ligado à porta 1 do switch e Host B está ligado à porta 2 switch. Host A envia o tráfego para o switch. O switch olha para o quadro e registra o endereço MAC de origem (do Host A) e coloca uma entrada na tabela CAM. Host A está na porta 1 do switch, tem o endereço MAC de AAAA, VLAN 1 e o timestamp (aging). Host B não se comunicou com a switch ainda. Host A decide se comunicar com o Host B. Quando o host A envia um quadro para o switch destinado para o Host B, o switch percebe o endereço MAC de destino (para o Host B) no quadro, consulta a tabela CAM para esse endereço MAC, mas não o encontra. Porque o destino MAC é desconhecido, o switch marca o quadro para inundações e envia o quadro unicast a todas as portas com a mesma associação VLAN. Host B responde ao quadro unicast. O switch registra o quadro de entrada do Host B e registros de host do B MAC, localização de porta, VLAN ID, e aplica um timestamp. Na próxima vez que o host A envia um quadro destinado ao Host B, o switch consulta a sua tabela CAM, encontra Host B na tabela e envia o quadro diretamente para o Host B. Man in the Middle (MITM) Denominado, atacante, utiliza-se de vários recursos com a intenção de provocar vulnerabilidades na rede invadida. O MITM intercepta a comunicação entre dois sistemas. Por exemplo, em uma transação http o alvo é a conexão TCP entre cliente e servidor. Usando técnicas diferentes, o atacante divide a conexão TCP original em 2 novas conexões, uma entre o cliente e o atacante e o outro entre o atacante e o servidor. Assim que a conexão TCP é interceptado, o atacante será capaz de ler, inserir e modificar os dados na comunicação interceptada.

4 O MITM não é apenas uma técnica de ataque, mas também é usado geralmente durante a fase de desenvolvimento de uma aplicação web ou ainda é usado para avaliações de vulnerabilidade Web. Existem algumas ferramentas para realizar um ataque MITM, tais como: PacketCreator, Ettercap. Caim e Abel e Dsniff. Estas particularmente são muito eficientes em redes LAN, com capacitade de interceptação de comunicação entre hosts. As principais interações suscetíveis a ataques MITM são: sites financeiros (entre login e autenticação); ligações feitas para serem garantidos chaves públicas ou privadas; outros sites que requerem logins, onde há algo a ser ganho por ter acesso. No caso do MAC flooding, o atacante utiliza-se, geralmente de um sniffer, nesse exemplo, utilizamos o Wireshark, para capturar dados de outros computadores (como senhas, s, etc). Isso não seria possível com o funcionamento normal do switch. Apresentação das Ferramentas Wireshark Trata-se de um analisador de protocolo, que permite a captura e navegação no tráfego de uma rede em tempo de execução. Verifica os pacotes transmitidos pelos dispositivos de comunicação. Também chamado de sniffer (farejador), bastante utilizado por administradores de rede para detectar problemas e conexões suspeitas e inúmeras outras atividades. Em Linux o usuário deve ter poderes de super usuário, root e a interface deve estar em modo promíscuo. O Wireshark possui grande vantagem de implementação de filtros para os pacotes capturados.

5 Macof Trata-se de um pequeno utilitário que faz parte da suíte Dsniff (Linux). Em nosso teste utilizamos a distribuição Linux (Kaly Linux) que contém a suíte disponibilizada. Sistemas convidados Kali Linux Windows 7 Softwares VirtualBox (Kali Linux atacante) CentOs 6.5 (Servidor ftp) Putty (acesso ao switch, via porta console) Dsniff Macof Wireshark (sniffer)

6 TRANSBORDAMENTO DA TABELA CAM (MAC ADDRESS OVERFLOW) Primeiramente deve-se conectar via console o switch. Executar o terminal Putty. Executar o seguinte comando para visualização do número de endereços Mac na tabela CAM no Switch. # clear mac address-table dynamic # show mac address-table count Fig. 1: Estado normal do switch antes do ataque. Executar o seguinte comando para verificar o uso da CPU antes do ataque. # show process cpu Fig 2: Verifique que a cpu está com 4% de uso antes do ataque. Executar o comando de preenchimento da tabela Cam do switch # macof

7 Fig. 3: Demonstração do preenchimento da tabela CAM. Verifique o transbordamento da tabela CAM através do seguinte comando. # show mac address-table count Fig 4: Estado do switch após o ataque. Verificação de estado 'fail-open' da tabela CAM Executar o seguinte comando para verificar o uso da CPU após o ataque. # show process cpu

8 Fig. 5: Verifique que o estado da CPU após o ataque subiu para 36%. Utilização do Wireshark como sniffer para captura de login e senha na autenticação, utilizando um envio de pacote ftp. Fig 6: Tela do Wireshark com a captura de login e senha capturada. Referências

9 o-ataque/