Материал: Логико-лингвистические модели атак на компьютерные системы. Остапенко Г.А., Дмитриева Е.Ю

3.1.3 Атака при конфигурировании хоста

В некоторых случаях навязывание ложного маршрутизатора может быть произведено с помощью ICMP-сообщения Router Advertisement или через протокол DHCP.

Сообщения Router Advertisement могут использоваться хостами для установки маршрута по умолчанию, однако в реальной жизни такое происходит нечасто, так как для удаленного динамического конфигурирования стека TCP/IP хоста обычно используется протокол DHCP. Если же хост все-таки обрабатывает сообщения Router Advertisement, то сформировав подложное сообщение, злоумышленник может перенаправить на себя весь трафик хоста А, адресованный за пределы его сети, а не только трафик, адресованный узлу В. Как и в предыдущем случае, данные на обратном пути будут доставляться маршрутизатором на хост А непосредственно, минуя злоумышленника.

Фальсификация сообщений протокола DHCP будет успешна, если хост конфигурирует себя через этот протокол. В ответ на запрос DHCPDISCOVER злоумышленник оперативно возвращает хосту подложное сообщение DHCPOFFER, где в числе дополнительных параметров указывает себя в качестве маршрутизатора по умолчанию. Чтобы опередить предложение от легитимного сервера, злоумышленник может рассылать DHCPOFFER непрерывно, чтобы сделавший запрос хост получил предложение немедленно. В этом случае также происходит «половинчатый» перехват.

Отметим, что если хост принимает предложения только от определенных серверов, то злоумышленник может легко выдать себя за один из таких серверов, установив соответствующие обратные адреса в датаграммах с DHCP-сообщениями.

3.1.4 Атака на протоколы маршрутизации

Если злоумышленник хочет перехватить трафик между узлами сети Р и узлами сети Q, и при этом не находится ни в одной из сетей P или Q, но расположен на пути между ними, он может попытаться ввести в заблуждение маршрутизаторы. Маршрутизаторы не реагируют на сообщения ICMP Redirect, поэтому для успешной атаки необходимо, чтобы они использовали какой-либо протокол маршрутизации. В этом случае злоумышленник может сформировать подложные сообщения протокола маршрутизации с целью переключения требуемых маршрутов на себя. Например узел Х, приняв широковещательные RIP-сообщения, рассылаемые узлами А (вектор P=3) и В (вектор Q=2), отправляет сообщение с вектором Q=1 на индивидуальный адрес маршрутизатора А, а сообщение P=2 — на индивидуальный адрес В.

Рисунок 3.2 - Навязывание ложного RIP-маршрутизатора X для перехвата трафика между сетями P и Q

Возможна ситуация, когда значение вектора, объявляемого, например, маршрутизатором В: Q=1. В этом случае Х не может немедленно предложить лучшего маршрута, но он может применить следующий прием. Сначала, выбрав паузу в рассылке RIP-сообщений маршрутизатором В, Х от имени В отправляет в А вектор Q=16, что заставит маршрутизатор А удалить из своей таблицы маршрут в сеть Q, так как до этого А отправлял датаграммы в Q через В. Сразу же вслед за этим Х отправляет вектор Q=1 от своего имени, и А устанавливает маршрут в сеть Q через Х. Последующие векторы Q=1 от В будут проигнорированы, поскольку они не предлагают лучшего маршрута.

IBGP-соседи для пересылки датаграмм друг другу могут пользоваться результатами работы внутреннего протокола маршрутизации, злоумышленник может предварительно атаковать протокол внутренней маршрутизации, замкнув на себя трафик между сетями, в которых находятся BGP-маршрутизаторы (например, это сети P и Q на рисунок 3.2) и модифицируя данные BGP-соединения в своих целях.

Конечно, атака на протокол BGP выглядит трудноосуществимой, но, тем не менее, такие атаки возможны. Аутентификация TCP-сегментов с помощью алгоритма MD5 поможет избежать неприятностей.

3.2 Протокол telnet

Протокол TELNET позволяет обслуживающей машине рассматривать все удаленные терминалы как стандартные "сетевые виртуальные терминалы" строчного типа, работающие в коде ASCII, а также обеспечивает возможность согласования более сложных функций (например, локальный или удаленный эхо-контроль, страничный режим, высота и ширина экрана и т.д.) TELNET работает на базе протокола TCP. На прикладном уровне над TELNET нахо- дится либо программа поддержки реального терминала (на стороне пользователя), либо прикладной процесс в обсуживающей машине, к которому осуществляется доступ с терминала.

Работа с TELNET походит на набор телефонного номера. Пользователь набирает на клавиатуре что-то вроде

telnet delta

и получает на экране приглашение на вход в машину delta.

3.2.1 Протокол ftp

FTP (File Transfer Protocol, протокол передачи файлов). FTP был создан исключительно для удобной передачи файлов между системами, но без малейшей попытки сделать эту передачу безопасной. Протокол FTP вообще очень неудобен в реализации - этот протокол никогда не создавался для реализации в какой-либо клиентской программе. Например, FTP не определяет формат, в котором должен выдаваться список файлов. Протокол FTP создавался как расширение обычного протокола telnet, т.е. все команды FTP должны были даваться пользователем из командной строки и подразумевал наличие у пользователя shell доступа на FTP сервер. Протокол FTP поддерживает 2 режима - пассивный и активный и используется для передачи файлов (получения или хранения) а так же получения оглавлений каталогов. В обоих режимах FTP используется контрольное соединение, которое устанавливается клиентом на 21й (по-умолчанию) порт FTP сервера. По контрольному соединению никакие данные, ни файлы, ни оглавления каталогов, не передаются. Для передачи любого файла или оглавления устанавливается отдельное соединение.

Рисунок 3.3 - Активный режим FTP

В активном режиме клиент открывает со своей стороны порт, сообщает IP адрес и номер порта серверу в команде PORT, сервер устанавливает соединение на порт, выбраный клиентом (в качестве порта источника обычно используется 20).

Рисунок 3.4 - Пассивный режим FTP

В пассивном режиме клиент дает команду PASV, на что сервер открывает TCP порт, сообщает ее клиенту, после чего клиент устанавливает на него соединение. После установки второго соединения (DATA connection) клиент может дать команду на получение или отправку данных, которые и будут переданы без какой-либо модификации через это дополнительное соединение, после чего оно немедленно будет разорвано. Изначально, эти два режима предназначались для того, чтобы клиент мог переписать файл с одного сервера на другой, не закачивая файл к себе.

Рисунок 3.5 - Перезапись файла между двумя сервами FTP

Для этого клиент мог установить контрольное соединение на сервер A, дать ему команду PASV, установить соединение на сервер B и дать ему команду PORT с данными переданными сервером A в ответ на команду PASV. Таким образом DATA connection устанавливалось между серверами A и B, после чего клиент может дать команду на хранение файла одному серверу и передачу файла второму серверу. FTP - протокол, предназначенный для передачи файлов между удаленными хостами. Для получения доступа к серверу по данным протоколам пользователю необходимо пройти на нем процедуру идентификации и аутентификации. В качестве информации, идентифицирующей пользователя, выступает его идентификатор (имя), а для аутентификации используется пароль.

3.2.3 Программы анализаторы сетевого трафика (сниффиры)

Анализатор трафика, или снифер (от англ. to sniff — нюхать) — сетевой анализатор трафика, программа или программно-аппаратное устройство, предназначенное для перехвата и последующего анализа, либо только анализа сетевого трафика, предназначенного для других узлов.

Перехват трафика может осуществляться:

- обычным «прослушиванием» сетевого интерфейса (метод эффективен при использовании в сегменте концентраторов (хабов) вместо коммутаторов (свитчей), в противном случае метод малоэффективен, поскольку на снифер попадают лишь отдельные фреймы);

- подключением снифера в разрыв канала;

ответвлением (программным или аппаратным) трафика и направлением его копии на снифер;

- через анализ побочных электромагнитных излучений и восстановление таким образом прослушиваемого трафика;

- через атаку на канальном (2) (MAC-spoofing) или сетевом (3) уровне (IP-spoofing), приводящую к перенаправлению трафика жертвы или всего трафика сегмента на снифер с последующим возвращением трафика в надлежащий адрес.

В начале 1990-х широко применялся хакерами для захвата пользовательских логинов и паролей, которые в ряде сетевых протоколов передаются в незашифрованном или слабозашифрованном виде. Широкое распространение хабов позволяло захватывать трафик без больших усилий в больших сегментах сети практически без риска быть обнаруженным.

Сниферы применяются как в благих, так и в деструктивных целях. Анализ прошедшего через снифер трафика позволяет:

Обнаружить паразитный, вирусный и закольцованный трафик, наличие которого увеличивает загрузку сетевого оборудования и каналов связи (сниферы здесь малоэффективны; как правило, для этих целей используют сбор разнообразной статистики серверами и активным сетевым оборудованием и её последующий анализ).

Выявить в сети вредоносное и несанкционированное ПО, например, сетевые сканеры, флудеры, троянские программы, клиенты пиринговых сетей и другие (это обычно делают при помощи специализированных сниферов — мониторов сетевой активности).

Перехватить любой незашифрованный (а порой и зашифрованный) пользовательский трафик с целью получения паролей и другой информации.

Локализовать неисправность сети или ошибку конфигурации сетевых агентов (для этой цели сниферы часто применяются системными администраторами)

Поскольку в «классическом» снифере анализ трафика происходит вручную, с применением лишь простейших средств автоматизации (анализ протоколов, восстановление TCP-потока), то он подходит для анализа лишь небольших его объёмов.

3.2.4 Принцип работы сниффира

Рассмотрим принцип работы сниффера на примере CommViev.

Интерфейс программы состоит из пяти закладок, позволяющих просматривать данные и выполнять различные действия с перехваченными пакетами. Чтобы начать сбор пакетов, необходимо выбрать сетевое устройство из списка на панели управления и нажать кнопку Начать захват или выбрать Файл => Начать захват из меню. При прохождении сетевого трафика через выбранное устройство CommView начнёт отображать информацию.

Эта закладка отображает подробную информацию о сетевых соединениях вашего компьютера (только для протоколов IP и IPv6). Чтобы начать захват пакетов, выберите Файл => Начать захват или нажмите соответствующую кнопку на панели инструментов.

Рисунок 3.6 - Подробная информацию о сетевых соединениях

Ниже описывается назначение колонок таблицы:

Локальный IP – показывает локальный IP-адрес. Для входящих пакетов это IP-адрес получателя, для исходящих и транзитных - IP-адрес источника.