Перехват: как работают MITM-атаки в Ethernet, IPv4 и IPv6

[ADMIN]

Глубокое техническое погружение в то, как MITM-атаки на самом деле работают в сетях Ethernet, IPv4 и IPv6, от ARP и DHCP до подмены IPv6 RA, DNS и FHRP.

Интро​

Атаки MITM широко используются тестировщиками проникновения, поскольку они оказывают значительное влияние, позволяя им перехватывать учетные данные из различных служб. MITM также часто участвует в ретрансляционных атаках, когда злоумышленник выполняет боковое перемещение по инфраструктуре. Однако проведение атак MITM несет определенные риски.
В общем, концепция сетевой подмены довольно проста: просто притворитесь шлюзом по умолчанию или DNS-сервером, который завершает доступ к хостам. Но если вы совершаете ошибки или не знаете, как работают сети, вы можете нарушить нормальную работу инфраструктуры. Сетевым администраторам, в частности, подобные атаки никогда не нравились из-за высокого риска сбоев.

В сети много материалов об атаках MITM, с примерами того, как использовать различные инструменты. Но в этой статье я сосредоточусь на том, как правильно выполнять MITM. Я также сосредоточусь на практических атаках MITM, которые имеют ощутимый эффект. Цель этой статьи не в том, чтобы научить MITM атакам с нуля; моя цель - дать вам лучшее понимание процессов, которые происходят во время MITM атак.

Отказ от ответственности​

Этот материал предназначен только для образовательных целей и предназначен для специалистов по информационной безопасности. Приведены все примеры и методики для демонстрации возможных векторов атак и последующей разработки и интеграции защитных механизмов. Использование описанных методов вне юридического и согласованного контекста не допускается. Ответственность за использование этой информации лежит исключительно на читателе.

Подготовка​

Прежде всего, прежде чем выполнить атаку MITM, злоумышленник должен оценить свои риски и убедиться, что его ОС работает бесперебойно, проверив отсутствие конкретных конфигураций, которые могли бы помешать нормальному транспортному потоку. В этой главе я обсужу лучшие практики.

1. Беспорядочный режим

Вам необходимо перевести сетевой адаптер в беспорядочный режим, чтобы он мог захватывать все сетевые пакеты, проходящие через сегмент сети:

:~$ sudo ip набор ссылок dev {iface} promisc on

1. Брандмауэр

Проверьте настройки брандмауэра, чтобы убедиться, что после MITM не существует правил, которые могли бы испортить трафик:

:~$ sudo iptables -L
:~$ sudo iptables -t nat -L
:~$ sudo iptables -t mangle -L
:~$ sudo iptables -t raw -L

Нетфильтр является брандмауэром уровня ядра, а iptables - интерфейсом для управления им из пользовательского пространства.

1. Маршрутизация

В дистрибутивах Linux маршрутизация по умолчанию отключена. Вы должны включить его самостоятельно. Это можно сделать с помощью системной утилиты сисктл
Если вы явно не включаете маршрутизацию, то при выполнении MITM трафик от жертв к вашей машине будет закольцован обратно в ваш интерфейс, что приведет к непреднамеренному DoS.

:~$sudo sysctl -w net.ipv4.ip_forward=1
:~$sudo sysctl -w net.ipv6.conf.all.forwarding=1
:~$ sudo ip6tables -A FORWARD -i {iface} -j ACCEPT

Однако этот метод потерпит неудачу, если вы перезагрузите свою систему.

1. НАТ

В большинстве сценариев MITM NAT используется не для самой атаки, а для просмотра второй части трафика, которая потенциально может содержать учетные данные. Это связано с асимметричной маршрутизацией - явлением, при котором трафик идет в одну сторону, а возвращается в другую. Благодаря маскировке асимметричная маршрутизация не помешает злоумышленнику увидеть трафик, идущий в обе стороны.

:~$ sudo iptables -t nat -A POSTROUTING -o {iface} -j МАСКАРАД

Однако следует понимать, что включение NAT в сценарий MITM эффективно меняет топологию сети на уровне L3 для целевого хоста. Для внешних сервисов несколько хостов, стоящих за злоумышленником, начинают отображаться как единый источник трафика, что может привести к нарушению работы служб, привязанных к IP-адресу.

Особенно чувствительными к этому являются

• системы мониторинга;
• протоколы с соединениями высокой длительности;
• сервисы, использующие обратные соединения или строгие ACL.

Кроме того, NAT упрощает обнаружение присутствия MITM: внезапная агрегация трафика за одним IP-адресом, идентичные параметры сети и изменения в моделях поведения могут быть обнаружены с помощью инструментов мониторинга и защиты сети. По этой причине NAT следует использовать сознательно и выборочно.

1. ТТЛ Манипулирование

MITM часто добавляет дополнительный переход к маршруту: пакет физически проходит через хост злоумышленника, а это означает, что трассировка может отображать этот хост как отдельный шаг. Поскольку трассировка опирается на ответы TTL и ICMP от промежуточных устройств, любая дополнительная точка на пути потенциально становится видимой.

Иногда злоумышленник пытается компенсировать это искусственным изменением TTL транзитных пакетов так, чтобы с точки зрения трассировки количество прыжков выглядело так же, как и раньше. Идея проста: если MITM добавляет +1 скачок, то скорректированный TTL может визуально сгладить добавленный переход в трассе:

:~$ sudo iptables -t mangle -A PREROUTING -i {iface} -j TTL --ttl-inc 1

1. Перенаправление ICMP

Во время атаки MITM ваша машина может генерировать пакеты перенаправления ICMP, которые могут запускать датчики IDS/IPS, поэтому отключайте перенаправление ICMP сисктл команды:

:~$sudo sysctl -w net.ipv4.conf.all.send_redirects=0
:~$sudo sysctl -w net.ipv4.conf.{iface}.send_redirects=0
:~$sudo sysctl -w net.ipv4.conf.all.accept_redirects=0
:~$sudo sysctl -w net.ipv4.conf.default.accept_redirects=0
:~$sudo sysctl -w net.ipv6.conf.all.accept_redirects=0
:~$sudo sysctl -w net.ipv6.conf.default.accept_redirects=0

То же самое относится и к IPv6:

:~$ sudo ip6tables -A INPUT -p ipv6-icmp --icmpv6-type redirect -j DROP
:~$ sudo ip6tables -A ВЫХОД -p ipv6-icmp --icmpv6-type redirect -j DROP

1. Обработка поточного трафика (пересылка)

Во время обработки встроенного трафика в MITM хост злоумышленника фактически становится частью пути передачи данных. В этом режиме нагрузка на систему определяется не только полосой пропускания канала, но и возможностями сетевого стека ядра для обработки большого количества пакетов и их состояний.

Ограничения проявляются следующим образом

• обработка большого объема трафика;
• очереди сетевых интерфейсов и задержки при их перегрузке;
• увеличение количества файловых дескрипторов;
• нагрузка на подсистему обработки подключений с полным состоянием.

Следующие параметры не являются обязательными и не являются универсальным рецептом. Они предоставляются, чтобы помочь понять, какие подсистемы Linux становятся узкими местами при обработке встроенного трафика.

1. Дескрипторы файлов

Это позволяет увеличить глобальный лимит для файловых дескрипторов. Обычно это актуально для систем, обрабатывающих большое количество параллельных соединений.

:~$sudo sysctl -w fs.file-max=100000

1. Очередь связей

Устанавливает максимальную длину очереди соединений, ожидающих принятия приложением.

:~$sudo sysctl -w net.core.somaxconn=65535

1. Размер очереди пакетов

Управляет размером очереди пакетов на уровне сетевого интерфейса. Это может уменьшить потерю пакетов во время пиковых нагрузок, но может увеличить задержку.

:~$sudo sysctl -w net.core.netdev_max_backlog=65536

1. Тайм-аут TCP FIN

Позволяет сократить время сохранения соединения после FIN, тем самым помогая быстрее высвободить ресурсы при большом количестве короткоживущих сеансов TCP.

:~$sudo sysctl -w net.ipv4.tcp_fin_timeout=15

1. Масштабирование окон TCP

Управляет масштабированием окна TCP. Увеличение окна TCP может повысить производительность передачи данных в сетях с высокой задержкой или высокой нагрузкой. В TCP каждая сторона устанавливает размер окна. Соответствующее количество байтов может быть отправлено без подтверждения.

:~$sudo sysctl -w net.ipv4.tcp_window_scaling=1

В контексте обработки встроенного трафика такие параметры могут лишь частично смягчить последствия повышенной нагрузки. Они не меняют фундаментальную природу встроенного узла, который заключается в агрегировании трафика и состояний нескольких хостов в одной точке.

Сбор сертификатов​

Одной из основных целей MITM является перехват учетных данных, передаваемых по сети. После перехвата злоумышленник может использовать их для выполнения бокового движения. Чтобы автоматизировать сбор логинов и паролей в трафике, вы можете использовать ПКредз инструмент:

:~$ git клон https://github.com/lgandx/PCredz
:~$ судо./Pcredz -i {iface} -v
:~$ 1./Pcredz -f capture.pcap -v

АРП Спуфинг​

ARP Spoofing - один из старейших и наиболее распространенных методов проведения MITM-атак на локальные сети. Его эффективность обусловлена фундаментальной особенностью протокола ARP: отсутствием какой-либо аутентификации и модели доверия для сетевого взаимодействия внутри широковещательного домена.

ARP (Протокол разрешения адресов) был разработан для среды, где каждый узел считается доверенным априори. Любой хост в сегменте может отправить ответ ARP, сообщив о соответствии между IP-адресами и MAC-адресами, и это соответствие будет принято другими узлами без проверки источника. Эта модель позволяет навязывать ложные соответствия ARP и перехватывать трафик между жертвой и шлюзом по умолчанию.

Суть подмены ARP заключается в том, что злоумышленник отправляет ARP-кадры типа IS-AT, объявляя их MAC-адрес IP-адресом шлюза (или другого хоста в сегменте). В результате:

• жертва начинает отправлять злоумышленнику трафик, предназначенный для шлюза.
• злоумышленник пересылает трафик, сохраняя сетевое подключение.
• злоумышленник становится встроенным узлом и получает возможность анализировать, изменять или перенаправлять трафик.

Важно понимать, что подмена ARP на самом деле меняет восприятие хостами топологии сети. В результате этой атаки злоумышленник становится логичным участником маршрута. Подмена ARP очень проста с точки зрения механики, но опасна с точки зрения эксплуатации MITM. При подмене ARP важно иметь возможность контролировать трафик, нагрузку и время атаки.

Условия​

Спуфинг ARP возможен только при соблюдении следующих условий:

• злоумышленник находится в том же сегменте L2, что и целевые хосты;
• Динамические механизмы проверки ARP/IP Source Guard отсутствуют или настроены неправильно;
• трафик между жертвой и шлюзом проходит через широковещательный домен;
• злоумышленник способен обрабатывать объем трафика, который будет на его интерфейсе.

В сегментированных сетях с небольшими VLAN атака часто остается незамеченной. В крупных вещательных доменах он быстро становится опасным с оперативной точки зрения.

Риски​

Чем больше хостов подделывает злоумышленник, тем выше нагрузка на злоумышленника и сетевую инфраструктуру. Это проявляется в виде

• резкое увеличение входящего трафика на интерфейсе злоумышленника;
• переполнение очереди сетевого стека;
• увеличение задержек и потери пакетов;
• ухудшение скорости сети, которое могут заметить сетевые администраторы.

На практике подмена ARP плохо масштабируется и становится все более неуправляемой по мере увеличения размера маски подсети, выбранной злоумышленником. Поэтому при выполнении подмены ARP учитывайте количество хостов, которые вы намерены подделать, чтобы избежать перенасыщения порта переключения и неожиданного DoS. Основывайте свое решение на возможностях вашего устройства и скорости вашего сетевого интерфейса.

Пример: ARP-спуфинг на a /20 маска подсети, которая может содержать до 4094 хостов (usable IPv4 addresses). Не думаю, что подделывать сразу несколько тысяч хозяев - хорошая идея.

Отмена нападения​

Я думаю, что одним из наиболее часто упускаемых из виду аспектов подмены ARP является правильное прекращение атаки. Кэш ARP на хостах может оставаться отравленным даже после того, как поддельные кадры ARP перестали транслироваться. Если злоумышленник просто перестанет подделывать кадры ARP, некоторые узлы продолжат считать его шлюзом и отправлять трафик на его интерфейс, что приведет к непреднамеренному DoS.

По этой причине после завершения атаки необходимо восстановить таблицу ARP, инициировав обратные кадры ARP IS-AT. Игнорирование этого шага - одна из самых распространенных ошибок при выполнении этой атаки.

Профилактика спуфинга ARP​

Спуфинг ARP предотвращается на коммутаторах уровня доступа (L2), если присутствуют следующие элементы:

• Слежка DHCP;
• Страж источника IP;
• Динамическая проверка ARP.

В правильно спроектированных сетях подмена ARP либо невозможна, либо быстро приводит к блокировке порта злоумышленника.

Инструменты для спуфинга ARP​

Эттеркап, Скапи, Локи

Атаки IPv6​

IPv6 остается одним из наиболее недооцененных векторов атак MITM на внутренние сети. Во многих корпоративных инфраструктурах он формально не используется, но по умолчанию активен на рабочих станциях и имеет приоритет над IPv4. Это создает ситуацию, когда IPv6 фактически обретает собственную жизнь без фильтрации, мониторинга или должного внимания со стороны сетевых инженеров.

В отличие от IPv4, где MITM чаще строится вокруг ARP и DHCP, в IPv6 злоумышленник влияет на механизмы автоконфигурации и служебные сообщения ICMPv6. Эти механизмы были разработаны для доверенной среды и не содержат механизмов аутентификации, что делает IPv6 интересным вектором для злоумышленника.

Ключевой особенностью IPv6 является то, что

• каждый хост должен иметь локальный адрес ссылки (fe80::/10);
• Протоколы IPv6 (RA, NDP, DHCPv6) работают через многоадресную рассылку;
• Адреса DNS-серверов, распространяемые через RA/DHCPv6, могут быть локальными по ссылке.

Это означает, что злоумышленнику не нужно знать глобальные префиксы IPv6 или иметь доступ к маршрутизатору. Достаточно находиться в одном сегменте L2 и отправлять правильно сформированные пакеты услуг.

Условия​

• IPv6 включен на целевых хостах (Windows включает его по умолчанию);
• Snooping RA Guard/SAVI/DHCPv6 отсутствует на переключателях доступа;
• строгой фильтрации ICMPv6 не существует.

Понижение SLAAC до DHCPv6​

IPv6 поддерживает несколько моделей конфигурации, и выбор между ними определяется флагами в пакетах RA:

• M (Управляемый) - используйте DHCPv6 для адресов;
• O (Другое) - используйте DHCPv6 для параметров (DNS и т. д.)

инъекция RA с флагами М=1 и О=1 установите силы хостов отказаться от SLAAC и переключиться на DHCPv6. Это не MITM как таковой, а скорее переключатель в методе настройки адреса на хосте. С точки зрения злоумышленника это критически важно: DHCPv6 предоставляет более удобную точку для навязывания DNS и дальнейших атак (NTLM-реле, WPAD, сбор учетных данных), например, это достигается использование инструмента mitm6.

После успешного внедрения пакета ICMPv6 RA с флагами данных хост начнет генерировать запросы DHCPv6 для получения адреса, также известного как DHCPv6 Solicit ("Вымогательство DHCPv6")0х01).

Спуфинг DHCPv6​

Атака подмены DHCPv6 основана на отправке пакета рекламы DHCPv6 (0х02), который злоумышленник использует для навязывания своего хоста в качестве DNS-сервера на уровне IPv6. Этого часто можно добиться с помощью инструмента mitm6, сценарий которого по умолчанию:

• принудительное понижение рейтинга с SLAAC до DHCPv6 путем отправки определенного ICMPv6 RA с флагами ввода-вывода необходимых значений;
• подмена пакета рекламы DHCPv6 (0х02) с наложением адреса злоумышленника в качестве DNS-сервера.

При этом злоумышленник не становится маршрутизатором, а получает контроль над DNS на уровне IPv6. Из-за приоритета IPv6 это часто полностью обходит ARP-атаки и работает даже в сетях, которые считают себя “IPv4-only.”

Однако mitm6 поддерживает работу без отправки специального пакета RA для понижения до DHCPv6. Это полезно, когда в сети используется RA Guard. Достаточно использовать --нет-ра аргумент при использовании mitm6. Машины Windows с включенным IPv6 периодически сами генерируют и отправляют пакеты DHCPv6 Solicit.

После этой атаки злоумышленник имеет следующие варианты продвижения вперед

• Отравление WPAD;
• реле НТЛМ;
• сбор учетных данных.

mitm6 относительно прост в использовании, но чрезвычайно чувствителен к масштабу и времени. Без домена (-д) или ограничения по времени, атака может легко вызвать массовые сбои. Важно помнить, что срок аренды, установленный mitm6, составляет равно 5 минутам.

Предотвращение атак IPv6​

Эффективная защита от атак на IPv6 основана на сочетании следующих защитных механизмов:

• Охранник РА;
• Слежение за DHCPv6;
• НД Инспекция/САВИ;
• Фильтрация ICMPv6;
• добросовестное отключение IPv6 там, где он фактически не используется;

ИДС/ИПС

IDS/IPS и подписи полезны в качестве дополнительного уровня обнаружения, но без фильтрации на уровне коммутатора они не предотвращают атаки, а лишь фиксируют их возникновение.

Инструменты атак IPv6​

Скапи, митм6, тгк-ipv6

LLMNR/NBT-NS/mDNS Отравление​

В отличие от подмены ARP или IPv6, атаки на LLMNR, NBT-NS и mDNS не меняют путь трафика и не делают злоумышленника встроенным узлом. Их основная ценность заключается в перехвате учетных данных, а не в MITM. Более того, эта атака не масштабируема и не обеспечивает контроль над сегментным трафиком. Спуфинг LLMNR/NBT-NS полезен как точечный инструмент для сбора учетных данных, но не как полноценный MITM.

Эти протоколы предназначены для разрешения имен в пределах локального сегмента и используются в ситуациях, когда первичный DNS-сервер недоступен, неправильно настроен, не содержит требуемой записи или имел место неправильный тип имени ресурса (известный пример: //принтерский сервер вс //пинтсервер)

Отравление LLMNR/NBT-NS считается относительно тихой атакой, но это не значит, что оно невидимо:

• поведение хорошо известно и часто контролируется;
• отравленные ответы легко коррелируют по времени;

Суть атаки заключается в том, что злоумышленник реагирует на запросы разрешения имен быстрее, чем законные источники, выдавая себя за запрошенный ресурс.

Типичный сценарий выглядит следующим образом

• хост пытается получить доступ к ресурсу по имени.
• DNS не отвечает или не содержит запись.
• хост отправляет запрос через LLMNR, NBT-NS или mDNS.
• злоумышленник отвечает на этот запрос, объявляя себя запрошенным узлом.
• клиент устанавливает связь со злоумышленником и передает учетные данные.

Хотя отравление LLMNR/NBT-NS само по себе не является MITM, оно часто используется в качестве подготовительного этапа для получения хэшей NetNTLMv2-SSP, реле NTLM и для дальнейшего бокового перемещения по сети.

Условия​

• злоумышленник находится в том же сегменте L2, что и целевые хосты;
• LLMNR и/или NBT-NS не отключены на целевых хостах;

LLMNR/NBT-NS/mDNS Предотвращение отравления​

Защита от отравления LLMNR/NBT-NS/mDNS относительно проста и хорошо известна:

• Отключение LLMNR и NBT-NS на хостах Windows;
• мониторинг трафика в IDS;

В зрелых корпоративных сетях эти меры либо уже приняты, либо легко реализуемы. Именно поэтому атаки чаще оказываются успешными в пользовательских или плохо управляемых сегментах. Несмотря на долгое существование этого вектора атаки, он все еще встречается в инфраструктурах.

Инструменты для отравления LLMNR/NBT-NS/mDNS​

Ответчик, Инвей

Спуфинг сервера DHCP​

DHCP (протокол динамической конфигурации хоста) часто используется в корпоративных сетях для автоматической настройки IP-адресов для всех устройств в сети. Однако DHCP также уязвим для ряда атак.
Многие уже сообщали об атаках DHCP Exhaustion, но они бесполезны, поскольку на самом деле вызывают DoS. Гораздо полезнее попробовать использовать DHCP в качестве поддельного вектора атаки. Основная концепция заключается в том, что злоумышленник настраивает поддельный DHCP-сервер и отвечает на запросы DHCP клиента быстрее или с более высоким приоритетом, чем законный сервер. В результате этой атаки целевые хосты получают от злоумышленника следующее

• IP-адрес;
• адрес шлюза по умолчанию;
• DNS-сервер;
• параметры времени аренды.

Таким образом, злоумышленник не вклинивается в существующий маршрут, заставляя хосты считать его частью законной инфраструктуры, поскольку фактически это будет их шлюз или DNS-сервер по умолчанию.

Условия​

• хосты используют DHCP для получения конфигурации;
• DHCP Snooping не включен на коммутаторах доступа;
• злоумышленник находится в том же сегменте L2, что и жертвы;

Пользовательские VLAN, сегменты Wi-Fi и временные сегменты особенно уязвимы, поскольку контроль DHCP в этих областях часто ослаблен.

Риски​

Подмена DHCP - это высокоэффективная сетевая атака с эксплуатационной точки зрения, поскольку она может вызвать

• массовое воздействие на сегмент;
• долгосрочные последствия из-за возможного использования длительного срока аренды.

В практических сценариях подмена DHCP либо осуществляется очень кратко, либо используется в качестве демонстрационного вектора, а не в качестве основного метода перехвата трафика. В реальных тестах на проникновение подмена DHCP используется реже, чем атаки ARP или IPv6, но в отсутствие базовой защиты она остается одним из наиболее эффективных и очевидных способов компрометации внутренней сети.

Отмена нападения​

Прекращение подмены DHCP действительно является очень важным шагом в поддержании работоспособности инфраструктуры. Вы должны учитывать время аренды, предоставленное клиентам при настройке поддельного DHCP-сервера. Вы также должны обслуживать хост-трафик в течение всего времени аренды, оставив включенной пересылку.

Профилактика спуфинга DHCP​

Защита от подмены DHCP известна давно и эффективно реализуется на уровне коммутатора доступа:

• Отслеживание DHCP (разрешающее служебные DHCP-пакеты только из доверенных портов, обычно соединения между коммутаторами, транками и маршрутизаторами);
• DHCP-запросы ограничения скорости (ОТКРЫТЬ) для предотвращения исчерпания DHCP;
• следите за таблицей DHCP Snooping, убедитесь, что она полностью насыщена, и создавайте ее копии.

Инструменты спуфинга DHCP​

Эттеркап

ФХРП Спуфинг​

Протоколы резервирования первого хопа (FHRP) используются для обеспечения переключения шлюза по умолчанию в корпоративных сетях. Такие протоколы, как HSRP, VRRP, GLBP и CARP, позволяют нескольким физическим маршрутизаторам совместно обслуживать один виртуальный IP-адрес, обеспечивая непрерывность связи в случае сбоя одного из резервных маршрутизаторов. Атаки на FHRP выходят за рамки пользовательского MITM. При этом злоумышленник фактически вмешивается в инфраструктурную логику самого сегмента, заменяя роль шлюза по умолчанию для всех хостов в сегменте сразу.

Суть FHRP Spoofing заключается в том, что злоумышленник отправляет пакеты протокола FHRP с максимальным приоритетом 255, объявляя себя активным или главным устройством. Если протокол не использует аутентификацию или приоритеты установлены ниже 255, законные маршрутизаторы передают роль атакующему хосту. В результате получается, что

• виртуальный IP шлюза привязан к MAC-адресу злоумышленника;
• весь сегментный трафик направляется на атакующий хост.

Условия​

• наличие пакетов приветствия из протоколов FHRP в пользовательском сегменте;
• аутентификация протокола отключена, или злоумышленник смог перебить пароль, захватив хеш из пакета (pcap2john & john);
• приоритет на главном маршрутизаторе установлен ниже 255;
• нет фильтрации ACL;
• злоумышленнику необходимо будет отправить бесплатную ARP после инъекции пакета;
• злоумышленнику необходимо будет назначить VIP-адрес домена FHRP в качестве вторичного адреса и настроить шлюз по умолчанию через законные главные/постоянные маршрутизаторы для обеспечения сетевого подключения.

Несмотря на специфику этой атаки, подобные условия все еще встречаются в производственных условиях.

Риски​

FHRP Spoofing - это атака с максимальным радиусом взрыва. Это связано с тем, что подмена мгновенно влияет на весь сегмент, обслуживаемый доменом FHRP. А также:

• почти гарантированное обнаружение посредством мониторинга журналов;
• высокая вероятность ухудшения или сбоя сети;
• резкое увеличение трафика на интерфейсе хоста злоумышленника;
• существует также риск перенасыщения порта коммутатора.

Радиус взрыва - это метафорический термин, обозначающий потенциальный масштаб ущерба, который может быть вызван одной атакой, ошибкой или сбоем сети.

Любой сбой в обработке трафика, NAT или маршрутизации немедленно затрагивает всех клиентов. Даже кратковременное прерывание подключения будет замечено пользователями и системами мониторинга.

С точки зрения MITM, это самый чистый сценарий: весь трафик для всего сегмента проходит через хост злоумышленника без подмены ARP или замены конфигурации клиента. Но именно поэтому FHRP Spoofing редко используется при длительных атаках.

На мой взгляд, ценность этой атаки заключается в демонстрации уязвимости и подтверждении риска, а не в необнаружимой эксплуатации. Он показывает, что при отсутствии базовой закалки один хост способен взять под контроль трафик целого сегмента.

Отмена атаки​

Несмотря на высокие риски, связанные с проведением атаки, сеть восстанавливается благодаря коротким таймерам протоколов FHRP по умолчанию. Как только вы прекратите отправлять сообщения Hello, законные маршрутизаторы в сегменте автоматически повторно выполнят процесс переговоров о распределении ролей Master/Standby с помощью многоадресных объявлений. Однако в реальных сетях это не всегда происходит мгновенно и может сопровождаться хлопаньем ролей шлюза.

• для HSRP: 224.0.0.2 (v1), 224.0.0.102 (v2);
• для ВРРП: 224.0.0.18
• для GLBP: 224.0.0.102
• для КАРП: 224.0.0.18

Защита от спуфинга FHRP​

Вопрос защиты протоколов FHRP не является сложным:

• включить аутентификацию с использованием пароля, устойчивого к переборам;
• настройте ACL, который ограничивает входящий трафик для FHRP.
• используйте максимальное значение приоритета 255. Однако для VRRP особенно важно отметить, что максимальный приоритет ограничивается 254таким образом, одной настройки приоритетов недостаточно для защиты.
• отслеживайте изменения в ролях и приоритетах маршрутизатора.

Инструменты для спуфинга FHRP​

Локи, Скапи

Аутро​

Атаки MITM редко бывают технически сложными. Большинство из них основаны на давно существующих протоколах и механизмах, предназначенных для доверенных сред. Их эффективность проистекает не из новизны, а из того факта, что инфраструктура по-прежнему опирается на это доверие - часто из-за отсутствия ужесточения сетевой безопасности.

С точки зрения безопасности большинство описанных атак не требуют экзотических решений. Их можно предотвратить с помощью базовой гигиены конфигурации: сегментации, фильтрации сервисного трафика, отключения ненужных механизмов и сознательного использования IPv6. Там, где эти меры реализуются, MITM либо невозможен, либо быстро обнаруживается.