Bài giảng Kỹ thuật tấn công và phòng thủ trên không gian mạng

KỸ THUẬT TẤN CÔNG VÀ PHÒNG THỦ TRÊN KHÔNG GIAN MẠNG

Institute of Network Security – www.istudy.vn

NỘI DUNG

• Module 01: Tổng quan An ninh mạng • MMoodduullee 0022:: KKỹỹ tthhuuậậtt ttấấnn ccôônngg • Module 03: Kỹ thuật mã hóa • Module 04: Bảo mật hệ điều hành • Module 05: Bảo mật ứng dụng • Module 06: Virus và mã độc • Module 07: Các công cụ phân tích an ninh mạng • Module 08: Chính sách bảo mật và phục hồi thảm họa dữ liệu • Ôn tập • Báo cáo đồ án • Thi cuối khóa

Institute of Network Security – www.istudy.vn

Module 02: KỸ THUẬT TẤN CÔNG

• Lesson 01: Footprinting và Reconnaissance • Lesson 02: Google Hacking • Lesson 03: Scanning Networks • Lesson 04: Enumeration • Lesson 05: System Hacking • Lesson 06: Sniffer • Lesson 07: Social Engineering • Lesson 08: Denial of Service • Lesson 09: Session Hijacking • Lesson 10: SQL Injection • Lesson 11: Hacking Wireless Networks • Lesson 12: Buffer Overflow

Institute of Network Security – www.istudy.vn

SNIFFER

Institute of Network Security – www.istudy.vn

Nội dung

• Khái niệm và ảnh hưởng của Sniifing trong không gian

mạng

• Hoạt động của Sniffing • Phân loại Sniffing • Các hình thức tấn công dựa trên Sniffing

Institute of Network Security – www.istudy.vn

Khái niệm Sniffing

• Sniffer là phương pháp nghe lén các gói tin trong mạng nội bộ (Kẻ tấn công và nạn nhân có chung Subnet IP). • Thông tin người dùng có thể bị truy xuất và sử dụng bất

hợp pháp khi hệ thống bị Sniffing.

Institute of Network Security – www.istudy.vn

Tác hại của Sniffing

Telnet Password

Router Configuration

Email Traffic

Syslog Traffic

Web Traffic

DNS Traffic

Chat Sessions

FTP Password

Institute of Network Security – www.istudy.vn

Hoạt động của Sniffer

• Hacker sử dụng các gói tin nghe lén (hoặc giả mạo) lan

truyền vào trong mạng thông qua Switch hoặc Hub.

• Người tấn công có thể bắt và phân tích tất cả các Traffic

của người dùng trong cùng Subnet.

Capture

Attacker

Institute of Network Security – www.istudy.vn

Các nguy cơ dẫn tới Sniffing

• Hệ thống doanh nghiệp sử dụng nhiều Switch, trong đó

mở ra những Port không cần thiết.

• Hacker có thể gắn các Laptop vào Port và tiến hành

Sniffing.

• Không tiến hành phân chia Subnet cho hệ thống. • Cơ chế bảo mật lỏng lẻo. • Nhân viên không được phổ biến về các mối nguy hại.

Institute of Network Security – www.istudy.vn

Sniffer hoạt động như thế nào?

• Sniffer chuyển NIC của máy tính sang chế độ Promiscous có thể lắng nghe tất cả dữ liệu đang vận chuyện qua Segment mà nó kết nối.

• Sniffer có thể đọc được toàn bộ nội dung dựa và cách phân giải gói

tin bắt được (Decapsulation).

Sniffer

Switch

Pomiscucous Mode

Institute of Network Security – www.istudy.vn

Phương thức tấn công Switch

MAC Flooding

DNS Poisoning

ARP Poisoning

Switch

DHCP Attacks

Password Sniffing

Spoofing Attack

Institute of Network Security – www.istudy.vn

Phân loại Sniffing

• Passive Sniffing • Active Sniffing

Institute of Network Security – www.istudy.vn

Phân loại Sniffing: Passive Sniffing

Thực hiện Sniffing thông qua một Hub. Trên Hub, dữ liệu sẽ được đẩy ra tất cả các Port.

Không cần gửi ra gói tin giả mạo nào, chỉ cần bắt các gói tin từ Port về.

Thường ít sử dụng do ngày nay Hub không còn được ưa chuộng nhiều, thay vào đó là Switch.

Institute of Network Security – www.istudy.vn

Phân loại Sniffing: Active Sniffing

• Được thực hiện trên

Switch.

• Sniffer gửi ra những gói tin giả mạo nhằm mục đích thu thập dữ liệu trên mạng.

DHCP Star vation

Institute of Network Security – www.istudy.vn

Các giao thức dễ bị tấn công Sniffing

Dữ liệu gửi dưới dạng clear text Password và dữ liệu gửi dưới dạng clear text Password và dữ liệu gửi dưới dạng clear text

HTTP

SMTP

NNTP

POP

FTP

IMAP

Telnet & Rlogin

Thăm dò Username và Password

Password và dữ liệu gửi dưới dạng clear text Password và dữ liệu gửi dưới dạng clear text Password và dữ liệu gửi dưới dạng clear text

Institute of Network Security – www.istudy.vn

Ảnh hưởng của Sniffing trong mô hình OSI

Application Stream 7 7 Application Application

POP3, IMAP IM, SSL, SSH 6 6 Presentation Presentation

g n ơ ư h t

5 5 Session Session

Protocols/Ports 4 4 Transport Transport

n ổ T

IP Address 3 3 Network Network

Tổn thương

2 2 Data Link Data Link

Physical Links

1 1 Physical Physical

Institute of Network Security – www.istudy.vn

Các loại tấn công dạng Sniffing

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

MAC Address/CAM Table

• Bảng CAM (Content Address Memory) có dung lượng

hữu hạn.

• Bảng CAM lưu trữ các địa chỉ MAC đang hoạt động trên

Port cùng thông số VLAN tương ứng.

002A.BFFA.8C3E

24 Bit đầu = Mã qui định nhà sản xuất cấp bởi IEEE

24 Bit sau = Nhà sản xuất định nghĩa cho Interface

002A.BF

FA.8C3E

48 Bit Hexadecimal

FFFF.FFFF.FFFF

Địa chỉ MAC Broadcast

Institute of Network Security – www.istudy.vn

Hoạt động của bảng CAM

Institute of Network Security – www.istudy.vn

Tràn bảng CAM

• Khi bảng CAM tràn, các gói tin ARP Request sẽ được đẩy

ra tất cả các Port của Switch (Flooding).

• Việc này sau đó làm Switch chuyển mạch như Hub. • Quá trình tấn công tràn bảng MAC sẽ lây lan sang các

Switch lân cận.

Traffic A

MAC

Port

Y

3

Traffic A

B Port 1

MAC B

Z

3 C

3

Traffic A

MAC A

C có thể thấ Traffic của A và B

MAC C

Institute of Network Security – www.istudy.vn

MAC Flooding

• MAC Flooding tấn công làm tràn bảng CAM của Switch bằng cách phát ra vô số các gói tin với MAC giả mạo, không có thật.

MAC Address

Flood

User1

Attacker Switch

User2

Institute of Network Security – www.istudy.vn

MAC Flooding

• Lúc đó Switch hành động như Hub, đẩy các Frame thông

tin ra tất cả các Port trừ Port nhận vào.

• Attacker có thể bắt gói dễ dàng.

MAC Address

Flood

User1

Attacker Switch

User2

Institute of Network Security – www.istudy.vn

Phòng thủ MAC Attack

• Port Security: Gán tĩnh địa chỉ MAC trên Port được chỉ định. Chỉ cho phép dữ liệu xuất phát từ MAC này đi vào Port.

MAC A MAC C MAC D …

Fa0/1 FA0/2

Switch MAC B MAC A

SwitchX(config)#interface FastEthernet 0/1 SwitchX(config-if)#switchport mode access SwitchX(config-if)#switchport port-security SwitchX(config-if)#switchport port-security maximum 1 SwitchX(config-if)#switchport port-security mac-address {MAC Adress | sticky} SwitchX(config-if)#switchport port-security violation {shutdown | restrict | protect}

Institute of Network Security – www.istudy.vn

DHCP Attack

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

Hoạt động của DHCP

• DHCP Server cấp phát, quản lý thông tin cấu hình TCP/IP của các Client như địa chỉ IP, Default Gateway, DNS Server, và khoảng thời gian được cấp phát.

DHCP Discover (Broadcast)

DHCP Offer (Unicast)

DHCP Request (Broadcast)

DHCP ACK (Unicast)

DHCP Client DHCP Server

Institute of Network Security – www.istudy.vn

DHCP Request/Reply Message

Message

Tác dụng

DHCPDISCOVER Client Broadcast để xác định vị trí Server

DHCPOFFER

Server trả lời DHCPDISCOVER bằng gói Offer hỏi những tham số Client muốn nhận

DHCPREQUEST

Client có thể gửi về Server (a) Các tham số cần xin cấp, (b) Xác nhận lại việc sử dụng địa chỉ trước đó, (c) Gia hạn thêm thời gian sử dụng

Server gửi cho Client các tham số cấu hình cần thiết

DHCPACK

DHCPNAK

Server thông báo với Client đã sử dụng sai địa chỉ lớp mạng (Có thể do Client tự thay đổi), hoặc đã hết hạn sử dụng IP được cấp

Client thông báo với Server địa chỉ lớp mạng đã được sử dụng

DHCPDECLINE

Client thông báo với Server hủy bỏ IP được cấp, trả về cho Server và dừng đếm khoảng thời gian Release

DHCPRELEASE

Client xin cấp một số thông số phụ khi Client đã có địa chỉ IP

DHCPINFORM

Institute of Network Security – www.istudy.vn

DHCP Starvation Attack

• Attacker broadcast bản tin DHCP Request cho toàn bộ

dải IP và cố lấy tất cả các IP có thể cấp về mình.

• Đây là phương thức tấn công từ chối dịch vụ (DoS) dựa

trên bản tin DHCP.

DHCP Discover (Broadcast) x (Size of Scope) DHCP Offer (Unicast) x (Size of DHCP Scope)

DHCP Request (Broadcast) x (Size of Scope)

DHCP ACK (Unicast) x (Size of Scope)

Attacker DHCP Server

Institute of Network Security – www.istudy.vn

Rogue DHCP Server Attack (Giả mạo DHCP Server)

• Attacker giả mạo DHCP Server cấp thông tin cấu hình

TCP/IP cho Client.

DHCP Discover (Broadcast)

DHCP Offer (Unicast)

DHCP Request (Broadcast)

1 3

DHCP ACK (Unicast)

DHCP Server

4 2 Thông tin cài đặt TCP/IP sai lệch:

• Attacker làm Gateway • Attacker làm DNS Server • Từ chối dịch vụ vì sai IP

Rogue DHCP Server Attacker

Institute of Network Security – www.istudy.vn

Phòng thủ DHCP Starvation và Rogue Server Attack

• Sử dụng Port Security ngăn chặn DHCP Starvation

Attack.

• Sử dụng tính năng DHCP Snooping ngăn chặn Rogue

DHCP Server Attack.

Institute of Network Security – www.istudy.vn

Phòng thủ DHCP Starvation và Rogue Server Attack

• DHCP Snooping:

– Cho phép cấu hình Port dưới 2 dạng Trusted và Untrusted

User Attacker

Untrusted

– Untrusted Port sẽ loại bỏ bản tin DHCP Reply đi vào nó

Trusted

– Trusted port sẽ chấp nhận DHCP Reply vào, do đó nên cấu hình trên đường Uplink tới DHCP Server thật

DHCP Server

Institute of Network Security – www.istudy.vn

Phòng thủ DHCP Starvation và Rogue Server Attack

• Bật tính năng DHCP Snooping Switch(config)# ip dhcp snooping

• Cấu hình Trusted Interface trên Switch

Switch(config-if)# ip dhcp snooping trust

• Số lượng các Packet DHCP cho phép qua trong 1 giây Switch(config-if)# ip dhcp snooping limit rate [rate]

• Bật tính năng DHCP Snooping trên VLAN

Switch(config-if)# ip dhcp snooping vlan [vlan-id]

• Tắt tính năng mang thông tin về Port gửi DHCP Request

(Chỉ một số Server hỗ trợ) Switch(config)# no ip dhcp snooping information option

Institute of Network Security – www.istudy.vn

ARP Poisoning

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

ARP (Address Resolution Protocol) là gì?

ARP là giao thức ánh xạ địa chỉ IP để tìm ra địa chỉ vật lý của thiết bị trong mạng Local

ARP gửi gói tin Request để tìm địa chỉ vật lý của thiết bị

Khi một thiết bị muốn liên lạc với thiết bị khác, nó tìm địa chỉ MAC đích trong ARP cache. Nếu không có, nó broadcast gói Request ra toàn mạng

Tất cả các thiết bị nhận được gói Request sẽ so sánh IP của chúng với IP đích trong gói Request

I need MAC address of 192.168.1.1 (Broadcast)

192.168.1.100

192.168.1.1

Hi, I’m 192.168.1.1, MAC address 010c.1111.10af

Nếu có thiết bị nào có IP trùng IP đích trong gói Request, thiết bị đó sẽ gửi gói tin Reply đính kèm MAC của mình

Institute of Network Security – www.istudy.vn

ARP Spoofing Attack

• Attacker có thể giả mạo gói tin ARP để thu thập dữ liệu

trên mạng.

• ARP Spoofing tạo ra một lượng lớn các gói ARP Request

và Reply nhằm đưa Switch vào tình trạng quá tải.

• Việc Attacker làm tràn ARP cache của máy tính nạn nhân

còn gọi là Poisoning.

• Bảng ARP bị tràn bởi vô số các gói ARP giả mạo, lúc này Attacker có thể thu thập được toàn bộ dữ liệu qua Switch.

Institute of Network Security – www.istudy.vn

Hoạt động của ARP Spoofing

Here, I’m 10.1.1.1, my MAC address is 1:2:3:4:5:6

Hey 10.1.1.1, are you there?

Send ARP Request

Các User hợp pháp gửi ARP Response

User B User C

User A

Hacker rình rập các gói Request và Reponse, sau đó giả mạo như User hợp pháp

No, I’m 10.1.1.1, my MAC address is 9:8:7:6:5:4

User D

Attacker

Institute of Network Security – www.istudy.vn

Các nguy cơ xuất phát từ ARP Spoofing

• Bằng cách giả mạo các gói tin ARP, Attacker có thể chuyển hướng tất cả các kết nối giữa hai thiết bị khiến toàn bộ traffic đi về máy của mình. – Từ chối dịch vụ – Chặn dữ liệu – Nghe lén cuộc gọi VoIP – Đánh cắp Password – Chỉnh sửa dữ liệu

Man-in-the-middle Attack

Institute of Network Security – www.istudy.vn

Phòng thủ ARP Poisoning

• Sử dụng DAI (Dynamic ARP

Inspection) – DAI tương thích với các Trusted và

Untrusted Port trên Switch

– Trusted Port cho qua tất cả các gói

tin ARP

User Attacker

Untrusted

– Untrusted Port xác nhận sự đúng

đắn của các gói tin ARP

Trusted

DHCP Server

Trusted

DHCP Snooping xây dựng bảng ánh xạ IP- MAC phục vụ cho việc kiểm soát của DAI

Institute of Network Security – www.istudy.vn

Phòng thủ ARP Poisoning

• Cấu hình kích hoạt DAI trên các VLAN

Switch(config)# ip arp inspection vlan [vlan_id,vlan_id,…]

• Cấu hình Trusted và Untrusted Interface trên Switch

Switch(config-if)# ip arp inspection trust

• Cấu hình DAI loại bỏ các gói ARP nếu địa chỉ IP không

hợp lệ

Switch(config-if)# ip arp inspection validate {[src-mac] [dst-mac] [ip]}

• Kiểm tra

Switch# show ip dhcp snooping bindings Switch# show ip arp inspection

Institute of Network Security – www.istudy.vn

Spoofing Attack

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

MAC Spoofing/Duplicating

• Hiện tượng nhân bản một địa chỉ MAC dựa vào các công cụ Sniff hệ thống mạng nhằm lấy địa chỉ MAC hợp pháp của Client khi tham gia vào mạng.

• Bằng cách lắng nghe trên mạng, một User giả mạo có thể sử dụng địa chỉ MAC của User hợp lệ để thu thập các gói tin gửi cho User hợp lệ này.

Rule: Allow A:B:C:D:E

My MAC address is A:B:C:D:E

User hợp lệ

No, my MAC address is A:B:C:D:E

Attacker Internet

Institute of Network Security – www.istudy.vn

Các nguy cơ xuất phát từ Spoofing Attack

• MAC Spoofing

– Attacker có thể sử dụng MAC đang hoạt động trên mạng

– Attacker có thể định danh mình như một người dùng hợp lệ

•

IP Spoofing – Ping of death – ICMP unreachable storm – SYN flood – Địa chỉ IP tin cậy có thể bị

giả mạo

Attacker

Institute of Network Security – www.istudy.vn

Phòng thủ Spoofing Attack

IP DHCP Snooping

• • DAI (Dynamic ARP Inspection) •

IP Source Guard – Được cấu hình trên Untrusted Port, dử dụng cơ sở dữ liệu của

DHCP Snooping để xác định tính hợp lệ của địa chỉ IP

– Kích hoạt IP Source Guard, bảo vệ IP (Theo CSDL DHCP

Snooping) và MAC (Theo CSDL Port-security)

Switch(config-if)# ip veirfy source vlan dhcp snooping port- security

Institute of Network Security – www.istudy.vn

Phòng thủ Spoofing Attack

10.10.10.1 MAC A

DHCP Snooping Enabled Dynamic ARP Inspection Enabled IP Source Gurad Enabled

User B

10.10.10.1 MAC C

10.10.10.2 MAC C

10.10.10.5 MAC B 10.10.10.2 MAC B 10.10.10.5 MAC C Attacker

Institute of Network Security – www.istudy.vn

DNS Poisoning

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

Kỹ thuật DNS Poisoning

• Kỹ thuật DNS Poisoning đánh lừa DNS Server rằng nó đã nhận được thông tin phân giải địa chỉ trong khi thực tế nó không nhận được gì.

• Kết quả là tên miền được phân giải ra một địa chỉ IP

khác địa chỉ hợp lệ.

Institute of Network Security – www.istudy.vn

Một số kỹ thuật DNS Poisoning

DNS Cache Poisoning

Intranet DNS Spoofing (Local Network)

Proxy Server DNS Poisoning

Internet DNS Spoofing (Remote Network)

Victims Attacker

DNS Attack Script DNS Server

Institute of Network Security – www.istudy.vn

Internet DNS Spoofing

What is IP of istudy.vn?

Website thật: istudy.vn 200.0.0.254

Router IP: 10.0.0.254

DNS Request

User IP: 10.0.0.3

các

tới

Attacker poison Router chuyển DNS Request về máy của mình

Attacker bắt gói và chuyển hướng Website thật

User B

istudy.vn 10.0.0.5

Website giả

Attacker IP: 10.0.0.5

Institute of Network Security – www.istudy.vn

Intranet DNS Spoofing

Website giả 65.0.0.2

Website thật: istudy.vn 200.0.0.254

What is IP of istudy.vn?

User truy cập vào 65.0.0.2

Attacker bắt gói và chuyển hướng tới Website thật

User IP: 10.0.0.3

Attacker chạy 1 DNS Server tại Vietnam 100.0.0.5

Institute of Network Security – www.istudy.vn

Proxy Server DNS Poisoning

What is IP of istudy.vn?

Website thật: istudy.vn 200.0.0.254

User IP: 10.0.0.3

Attacker bắt gói và chuyển hướng tới Website thật

Attacker chuyển các Request của User tới Website giả

Attacker chạy 1 Proxy Server tại Vietnam 100.0.0.5

Website giả 65.0.0.2

Institute of Network Security – www.istudy.vn

DNS Cache Poisoning

• Attacker làm thay đổi các Record lưu trữ của DNS Server, do đó DNS Server sẽ query vào địa chỉ IP của một Website giả được thiết lập bởi Attacker.

• Nếu DNS Server không xác minh lại các gói tin DNS Response, nó sẽ lưu trữ những Record với các IP sai lệch.

Institute of Network Security – www.istudy.vn

DNS Cache Poisoning

What is IP of istudy.vn?

Query for DNS Info

User

DNS Cache của User được cập nhật IP của Website giả

Internal DNS

Authoritative Server for istudy.vn

Bị chuyển hướng tới Website giả

Website giả

Attacker Rogue DNS

Institute of Network Security – www.istudy.vn

Phòng thủ DNS Spoofing

Phân giải tất cả các DNS query vào Local DNS Server

Block các DNS Request tới External DNS Server

Triển khai DNSSEC

Cấu hình cho người dùng một Port ngẫu nhiên làm Source Port (nằm trong khoảng định sẵn) cho mỗi gói query gửi đi

Cấu hình Firewall loại bỏ các gói tin DNS đi ra Externel DNS Server

Hạn chế sử dụng dịch vụ DNS, bằng cách phân quyền cho User

1 2 3 4 5 6 7

Sử dụng cách hạn chế tần suất DNS Non-Existent Domain (NXDOMAIN)

Institute of Network Security – www.istudy.vn

Sniffing Tool

MAC Attack

DHCP Attack

ARP Poisoning

Spoofing Attack

DNS Poisoning

Sniffing Tool

Institute of Network Security – www.istudy.vn

Sniffing Tool: Wireshark

• Tool miễn phí dùng để bắt các gói tin trên giao diện

mạng của máy tính.

• Wireshark có thể bắt được hầu hết các gói tin trong mạng hiện nay như Ethernet, 802.11, PPP/HDLC, ATM, Bluetooth, Token Ring, Frame Relay, FDDI, …

Wireshark Tool Attacker Network Victim

Institute of Network Security – www.istudy.vn

Sniffing Tool: Wireshark

Institute of Network Security – www.istudy.vn

Sniffing Tool: Wireshark Follow TCP Stream

Institute of Network Security – www.istudy.vn

Sniffing Tool: Wireshark Filter

tcp.flags.reset==1

Hiển thị tất cả các TCP Reset

http.request

Hiển thị tất cả các gói HTTP GET

tcp contains traffic

Hiển thị tất cả các gói TCP có từ ‘traffic’

udp contains 33:27:58

Hiển thị tất cả các gói UDP trong đó có giá trị Hexa 0x33 0x27 0x58

tcp.analysis. retransmission

Hiển thị tất cảc cá phiên truyền lại trong quá trình truyền tin

Institute of Network Security – www.istudy.vn

Sniffing Tool: Cain & Abel

Institute of Network Security – www.istudy.vn

Tóm lược bài học

• Sniffing là phương thức nghe lén các gói tin trên mạng. • Phương thức sử dụng trong Sniffing rất đa dạng: DHCP

Attack, ARP Poisoning, DNS Poisoning, Spoofing,…

• Phòng chống Sniffing bằng một số phương thức bảo mật như: DHCP Snooping, DAI, IP Source Guard, DNSSEC,…

Bài giảng Kỹ thuật tấn công và phòng thủ trên không gian mạng - Module 06: Virus và mã độc

Tags: