Overflow na tabela CAM

Transcrição

1 Overflow na tabela CAM Grupo: Marcelo Cavalcante Paulo Martins Romulo Alves Samuel Fontes

2 O transbordamento na tabela CAM (Overflow Tabela CAM), é um ataque direcionado em switchs na camada 2 do modelo OSI, um switch não permite que um atacante faça um sniff no tráfego que não seja direcionado á sua máquina, por que o switch só envia os pacotes para as partes interessadas, ou seja, o tráfego não chegara à placa de rede do atacante. Na tabela CAM tem algumas informações ex: endereços MAC, Portas, e VLANS. A tabela CAM tem um tamanho limitado, ou seja, se um volume alto de novos endereços MAC forem adicionados na tabela sem os registros existentes expirarem, a tabela chegara a um ponto de novos registros não serem mais aceitos, ou seja, o switch vai fica sobrecarregado com uma quantidade elevada de endereços MAC inválidos, chegará uma hora aonde a tabela CAM vai chega ao seu limite, quando isto ocorre o switch transbordara todas as portas com o tráfego da rede, ou seja, o switch passa a trabalha como um hub. Isso que o atacante faz enviar milhares de endereços MAC inválidos para o switch armazenar em memoria ate esgota-la, e quando ocorre o transbordamento da Tabela Como, o atacante entra para fazer o sniff (Man-in-the-Middle) da rede. Vamos atacar um switch, no nosso caso o alvo e um switch da cisco, e preciso também uma distribuição Linux, no nosso caso kali Linux, vamos instalar o pacote dsniff, comando para instalar: apt-get install dsniff Vamos usar a ferramenta MACOF, do pacote dsniff para ataca o switch da cisco Mais primeiro vamos visualizar a Tabela CAM do switch, o comando no switch da cisco e: show mac address-table count Esse e o print screen da tabela CAM antem do ataque, esse caso temos um total de 5 endereços MAC na tabela

3 Agora vamos fazer o ataque no switch, para executar o MACOF, basta digita no terminal do kali Linux macof, e depois de enter, e você já estar fazendo o ataque, onde ferramenta MACOF enviara milhares de endereços MAC inválidos para o switch. print do MACOF rodando Esse e o print depois do ataque no switch.

4 Conseguimos fazer o Overflow na tabela CAM com endereços MAC inválidos, com o transbordamento da tabela e todo o trafego da rede passando em todas as portas do switch, vamos fazer sniff (Man In Then- Middle) Vamos usa o wireshark para fazer o sniff, print do wireshark rodando.

5 Com o wireshark rodando conseguimos captura algumas senhas, entre elas a do servidor FTP. Aproveitamos para fazer também o envenenamento de DNS na rede Onde agente usou a ferramenta SETOOLKIT pra fazer um clone do Gmail.com. Depois mandamos na rede um spoof, com um novo registro A para Gmail, avisando que quando as maquinas forem resolve o domínio Gmail.com esse era o novo registro do site, nesse caso quando as máquinas tentavam acessa o gmail.com, na verdade elas estavam se conectando em nossa pagina falsa.

6 Depois que os usuários acessaram o gmail.com conseguimos captura as senhas. print Agora vamos ver como proteger o switch contra esses ataques Para mitigar os ataques você deve configurar as portas do switch usando o Port-security Para ativa o port-security basta você entra na interface, e dar o seguinte comando, ex: Switchport port-security Para visualiza se uma porta está configurada basta dar o seguinte comando Ex: show port-security + interface Com o "Port Security" em modo "Enabled", o próximo passo é decidir em qual modo a opção "Violation Mode" deverá permanecer. Uma violação de segurança entra em execução quando: 1) Quando um número de endereços MAC seguros for atingidos na tabela CAM, e um host, na qual seu endereço MAC não esteja na tabela, tenta acessar a interface. 2) Um endereço adiciona dinamicamente a tabela em uma interface Segura aparecer em outra interface segura na mesma vlan É possível configurar a interface em um dos 4 modos, baseada na ação a ser tomada caso uma violação seja detectada: protect - Quando o número de endereços MAC seguros atingir o nível máximo permitido pela porta, pacotes com endereços de origem desconhecidos serão descartados, até que um número suficiente de endereços MAC seguros sejam removidos, ficando assim abaixo do valor

7 máximo, ou até que seja aumentado o número máximo de endereços autorizados. O administrador da rede não é notificado que uma violação de segurança ocorreu. restrict - Funcionamento quase idêntico ao protect. A única diferença é que o administrador da rede será notificado que uma violação de segurança ocorreu. Uma notificação "SNMP Trap" é enviada, uma mensagem syslog é "logada" e um "contador de violações" é incrementado. shutdown - Ao ocorrer uma violação, a interface entra em modo errordisabled, e é desativada imediatamente. Até os indicadores LED da porta são desligados. Quando uma porta segura entra em modo error-disabled, é possível retirá-la deste modo entrando com o comando de configuração global errdisable recovery cause psecure-violation ou reativando-a com os comandos shutdown e depois no shutdown. Este último é o comportamento padrão. shutdown vlan - Este é usado para configurar as violações de segurança para cada VLAN. Neste caso, a VLAN entra em modo error-disabled, ao invés de uma porta específica, quando a violação ocorre. Comandos para finalizar a configuração da porta: switchport port-security maximum valor switchport port-security violation restrict