Overflow na tabela CAM Grupo: Marcelo Cavalcante Paulo Martins Romulo Alves Samuel Fontes
O transbordamento na tabela CAM (Overflow Tabela CAM), é um ataque direcionado em switchs na camada 2 do modelo OSI, um switch não permite que um atacante faça um sniff no tráfego que não seja direcionado á sua máquina, por que o switch só envia os pacotes para as partes interessadas, ou seja, o tráfego não chegara à placa de rede do atacante. Na tabela CAM tem algumas informações ex: endereços MAC, Portas, e VLANS. A tabela CAM tem um tamanho limitado, ou seja, se um volume alto de novos endereços MAC forem adicionados na tabela sem os registros existentes expirarem, a tabela chegara a um ponto de novos registros não serem mais aceitos, ou seja, o switch vai fica sobrecarregado com uma quantidade elevada de endereços MAC inválidos, chegará uma hora aonde a tabela CAM vai chega ao seu limite, quando isto ocorre o switch transbordara todas as portas com o tráfego da rede, ou seja, o switch passa a trabalha como um hub. Isso que o atacante faz enviar milhares de endereços MAC inválidos para o switch armazenar em memoria ate esgota-la, e quando ocorre o transbordamento da Tabela Como, o atacante entra para fazer o sniff (Man-in-the-Middle) da rede. Vamos atacar um switch, no nosso caso o alvo e um switch da cisco, e preciso também uma distribuição Linux, no nosso caso kali Linux, vamos instalar o pacote dsniff, comando para instalar: apt-get install dsniff Vamos usar a ferramenta MACOF, do pacote dsniff para ataca o switch da cisco Mais primeiro vamos visualizar a Tabela CAM do switch, o comando no switch da cisco e: show mac address-table count Esse e o print screen da tabela CAM antem do ataque, esse caso temos um total de 5 endereços MAC na tabela
Agora vamos fazer o ataque no switch, para executar o MACOF, basta digita no terminal do kali Linux macof, e depois de enter, e você já estar fazendo o ataque, onde ferramenta MACOF enviara milhares de endereços MAC inválidos para o switch. print do MACOF rodando Esse e o print depois do ataque no switch.
Conseguimos fazer o Overflow na tabela CAM com 82072 endereços MAC inválidos, com o transbordamento da tabela e todo o trafego da rede passando em todas as portas do switch, vamos fazer sniff (Man In Then- Middle) Vamos usa o wireshark para fazer o sniff, print do wireshark rodando.
Com o wireshark rodando conseguimos captura algumas senhas, entre elas a do servidor FTP. Aproveitamos para fazer também o envenenamento de DNS na rede Onde agente usou a ferramenta SETOOLKIT pra fazer um clone do Gmail.com. Depois mandamos na rede um spoof, com um novo registro A para Gmail, avisando que quando as maquinas forem resolve o domínio Gmail.com esse era o novo registro do site, nesse caso quando as máquinas tentavam acessa o gmail.com, na verdade elas estavam se conectando em nossa pagina falsa.
Depois que os usuários acessaram o gmail.com conseguimos captura as senhas. print Agora vamos ver como proteger o switch contra esses ataques Para mitigar os ataques você deve configurar as portas do switch usando o Port-security Para ativa o port-security basta você entra na interface, e dar o seguinte comando, ex: Switchport port-security Para visualiza se uma porta está configurada basta dar o seguinte comando Ex: show port-security + interface Com o "Port Security" em modo "Enabled", o próximo passo é decidir em qual modo a opção "Violation Mode" deverá permanecer. Uma violação de segurança entra em execução quando: 1) Quando um número de endereços MAC seguros for atingidos na tabela CAM, e um host, na qual seu endereço MAC não esteja na tabela, tenta acessar a interface. 2) Um endereço adiciona dinamicamente a tabela em uma interface Segura aparecer em outra interface segura na mesma vlan É possível configurar a interface em um dos 4 modos, baseada na ação a ser tomada caso uma violação seja detectada: protect - Quando o número de endereços MAC seguros atingir o nível máximo permitido pela porta, pacotes com endereços de origem desconhecidos serão descartados, até que um número suficiente de endereços MAC seguros sejam removidos, ficando assim abaixo do valor
máximo, ou até que seja aumentado o número máximo de endereços autorizados. O administrador da rede não é notificado que uma violação de segurança ocorreu. restrict - Funcionamento quase idêntico ao protect. A única diferença é que o administrador da rede será notificado que uma violação de segurança ocorreu. Uma notificação "SNMP Trap" é enviada, uma mensagem syslog é "logada" e um "contador de violações" é incrementado. shutdown - Ao ocorrer uma violação, a interface entra em modo errordisabled, e é desativada imediatamente. Até os indicadores LED da porta são desligados. Quando uma porta segura entra em modo error-disabled, é possível retirá-la deste modo entrando com o comando de configuração global errdisable recovery cause psecure-violation ou reativando-a com os comandos shutdown e depois no shutdown. Este último é o comportamento padrão. shutdown vlan - Este é usado para configurar as violações de segurança para cada VLAN. Neste caso, a VLAN entra em modo error-disabled, ao invés de uma porta específica, quando a violação ocorre. Comandos para finalizar a configuração da porta: switchport port-security maximum valor switchport port-security violation restrict