MITM-cheatsheet

حاولنا جمع كل هجمات MITM المعروفة وأساليب الحماية منها. يحتوي هذا الملف أيضاً على أدوات لتنفيذ هجمات MITM، وبعض حالات الهجوم المثيرة للاهتمام وبعض الحيل المرتبطة بها.

ملاحظة: جميع أدوات الهجوم الموصوفة هنا تقريباً لا تحتوي على أي أداة التقاط حزم (sniffer) بداخلها. فهي توفر الهجوم فقط. أدوات التقاط الحزم هنا: التقاط البيانات.

ورقة مرجعية لمختبري الاختراق والفرق الدفاعية حول هجمات الرجل في المنتصف (Man In The Middle).

جدول المحتويات

• L2
  • انتحال ARP
  • انتحال STP(RSTP, PVSTP, MSTP)
  • انتحال NDP ⏳
  • القفز بين VLAN
• L3
  • هجوم SLAAC
  • اختطاف HSRP (VRRP, CARP) ⏳
  • انتحال بروتوكول التوجيه الديناميكي (BGP) ⏳
  • تسميم جدول التوجيه RIPv2
  • تسميم جدول التوجيه OSPF ⏳
  • تسميم جدول التوجيه EIGRP
  • إعادة توجيه ICMP
• L4+
  • انتحال NetBIOS (LLMNR)
  • انتحال DHCP
  • خادم DHCP مزيف (DHCPv6)
• اللاسلكي
  • هجمات Karma (Wi-Fi)
  • محطة قاعدة مزيفة BTS (GSM) ⏳
• تقنيات الهجوم ⏳
  • التقاط البيانات ⏳
  • الحقن في البيانات ⏳
    • JS خبيث في HTML ⏳
    • HTA ⏳
  • تعديل البيانات ⏳
    • Wsus ⏳
    • اختطاف DNS ⏳
• ملاحظات الهاكر
  • الفرق بين CPU (أو لماذا معظم هذا الهجوم مستحيل من حاسوبك المحمول)
• SSLStrip, SSLStrip+, HSTS

⏳ - جزء قيد الإنجاز

L2

انتحال ARP

التعقيد: منخفض
الأهمية: عالية
الوصف:
صُمم بروتوكول تحليل العناوين (ARP) لتحويل عناوين IP إلى عناوين MAC. تستخدم جميع أجهزة الشبكة التي تحتاج إلى التواصل في الشبكة استعلامات ARP البثية لمعرفة عناوين MAC للأجهزة الأخرى.

تستخدم جميع أدوات انتحال ARP تقريباً استجابة ARP مجانية. استجابة ARP المجانية هي استجابة بدون طلب ARP.

على الرغم من فعالية ARP المجانية، فهي غير آمنة بشكل خاص لأنه يمكن استخدامها لطمأنة المضيف البعيد بأن عنوان MAC لنظام على نفس الشبكة قد تغير، ولتحديد العنوان المستخدم الآن.

المثال النموذجي لهجوم انتحال ARP

1. قبل تنفيذ انتحال ARP، توجد إدخالات في جداول ARP للعقدتين A و B تحتوي على عناوين IP وعناوين MAC الخاصة بكل منهما. تُنقل المعلومات بين العقدتين A و B.

2. أثناء عملية انتحال ARP، يرسل الحاسوب C الذي ينفذ الهجوم استجابات ARP (بدون استقبال طلبات = ARP مجانية) =>

• إلى العقدة A: بعنوان IP الخاص بالعقدة B وعنوان MAC الخاص بالعقدة C؛
• إلى العقدة B: بعنوان IP الخاص بالعقدة A وعنوان MAC الخاص بالعقدة C.

3. نظراً لأن الحواسيب تدعم ARP المجانية، فإنها تعدّل جداول ARP الخاصة بها وتضع سجلات يكون فيها عنوان MAC الخاص بالحاسوب C بدلاً من عنوان MAC الحقيقي للحاسوبين A و B.

كما توجد فرصة لنجاح الهجوم بطريقة أخرى. عندما تراقب نشاط ARP في مقطع الشبكة وتلاحظ فجأة طلب ARP الخاص بالضحية، يمكنك محاولة إرسال رد ARP إلى الضحية أسرع من المرسل إليه الأصلي لذلك الطلب. بعض المصنّعين قد يقبلون هذه الحيلة.

أدوات الهجوم:

• bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxy
  النسخة القديمة من الأداة أبسط، لكن هناك أيضًا نسخة جديدة عصرية مكتوبة بلغة Go. ملاحظة: يحتوي Bettercap على أداة التقاط حزم ممتازة مدمجة.
• arpspoof -i eth0 -t 10.10.10.10
• Intercepter-NG (يمكن الآن تثبيته على Linux)

كشف الهجوم

• arpwatch
  تراقب الأداة جميع نشاط ARP على الواجهات المحددة. وعندما تلاحظ أي شذوذ، مثل تغيّر عنوان MAC مع الاحتفاظ بعنوان IP، أو العكس، فإنها تبلّغ عن ذلك إلى syslog.
• XArp
  نسخة Arpwatch لنظام Windows
• remarp نسخة Arpwatch عبر SNMP

الحماية من الهجوم

• جداول ARP اليدوية
  لها قيود لأنها ستسبب صعوبات في قابلية توسّع الشبكة. وبالنسبة للشبكات اللاسلكية يُعدّ ذلك تحديًا ويكاد يكون مستحيلًا.

• الترقيع
  يمكن لأدوات مثل Anticap وAntidote أن تؤدي دورًا حيويًا في منع انتحال ARP، حيث تمنع Anticap تحديث ذاكرة ARP المؤقتة بعنوان MAC مختلف عن العنوان الموجود فيها، وهو ما يمنع انتحال ARP فعليًا، لكنه يخالف مواصفات بروتوكول ARP، وهذا بحد ذاته مشكلة. أما Antidote فتمنع تسميم ARP بطريقة مختلفة قليلًا؛ إذ تحلّل رد ARP المستلَم حديثًا مقارنةً بالذاكرة المؤقتة الحالية. فإذا اختلفت الذاكرة الجديدة عن السابقة، فإنها تبحث عن عنوان MAC للتأكد مما إذا كان لا يزال نشطًا. وإذا وجدت أن عنوان MAC السابق في الذاكرة المؤقتة لا يزال نشطًا، فإنها ترفض العنوان الجديد وتضيف عنوان MAC الخاص بالمهاجم إلى قائمة عناوين MAC المحظورة لمنع المزيد من محاولات تسميم ARP على الجهاز الهدف نفسه.

• إنشاء VLAN على المبدّل
  يتم إنشاء VLAN على المبدّل لا تحتوي إلا على المبدّل نفسه وجهاز شبكة محدد.

• إنشاء اتصالات مشفّرة
  تناسب هذه الطريقة أيضًا الشبكات العامة، لأن جميع حركة المرور مشفّرة ويستحيل اعتراض أي بيانات للمستخدم.

• DAI
  يساعد فحص ARP الديناميكي في أنظمة Cisco على منع هجمات الوسيط (man-in-the-middle) عبر عدم تمرير ردود ARP غير الصالحة أو غير المطلوبة إلى منافذ أخرى في VLAN نفسها. يعترض فحص ARP الديناميكي جميع طلبات ARP وجميع الردود على المنافذ غير الموثوقة. ويتم التحقق من كل حزمة معترَضة للتأكد من صحة ارتباطات IP-to-MAC عبر DHCP snooping. وتُسقَط حزم ARP المرفوضة أو تُسجَّل بواسطة المبدّل لأغراض التدقيق، وبذلك تتوقف هجمات تسميم ARP. ولا يتم فحص حزم ARP الواردة على المنافذ الموثوقة.

روابط ذات صلة
كيف يعمل ARP

انتحال STP (RSTP، PVSTP، MSTP)

التعقيد: مرتفع
مدى الصلة: متوسط
الوصف:
صُمّم بروتوكول الشجرة الممتدة (spanning tree) لاكتشاف الحلقات في الشبكة ومنعها في حال وجود مسارات زائدة بين المبدّلات.

يمكن لأي شخص يستطيع محاكاة جهاز بمعرّف مبدّل جذر (أدنى) — عبر توصيل جهاز افتراضي جديد بأولوية أقل أو باستخدام أداة توليد حزم STP — أن يعترض حركة مرور الشبكة الافتراضية جزئيًا أو كليًا. وعادةً لا يمتلك المهاجم اتصالًا ماديًا بمبدّلين، لذا فإن طريقة الهجوم الموصوفة تكاد تكون غير ممكنة. غير أن الوضع يتغيّر في الشبكات اللاسلكية، لأن الاتصال السلكي (مقبس في المكتب) والاتصال اللاسلكي (نقطة وصول) قد ينتهيان عند مبدّلات مختلفة.

أدوات الهجوم
تحذير: غالبًا ما يؤدي هذا النوع من الهجوم إلى حجب الخدمة.

• yersinia –G يمتلك Yersinia واجهة رسومية ووحدة تحكم تفاعلية، تحتاج إلى تحديد واجهات الشبكة وبدء هجوم MITM.
  لا تعمل الواجهة الرسومية بشكل مستقر، لذا يمكنك استخدام الواجهة التفاعلية: yersinia –I.
• ettercap
  أداة أخرى لنظام Linux. تحتاج إلى تحديد الواجهات، ثم النقر على إضافة "stp mangier" وبدء تشغيلها.

تقنيات الدفاع

• تعطيل STP على منافذ الوصول (لإيقاف استقبال BDPU من المستخدمين)، وتمكين أمان المنافذ على جميع منافذ المستخدمين، وتقييد الوصول المادي إلى معدات الشبكة.
• أدوات التكوين التي تحمي STP (Cisco).

انتحال NDP

التعقيد: متوسط
الصلة: قريبة من العدم
الوصف:
أدوات الهجوم
تقنيات الدفاع