frostbits-security/mitm-cheatsheetШпаргалка, каталогизирующая атаки типа «человек посередине» на уровнях L2–L4 и в беспроводных сетях, с инструментами атак, методами обнаружения и техниками защиты для пентестеров и специалистов по защите.
Мы постарались собрать вместе все известные MITM-атаки и методы защиты от них. Здесь также содержатся инструменты для проведения MITM-атак, некоторые интересные случаи атак и связанные с ними трюки.
Примечание: Почти все описанные здесь инструменты атак не содержат встроенного сниффера. Они обеспечивают только проведение атаки. Инструменты для сниффинга находятся здесь: Сниффинг данных.
Шпаргалка для пентестеров и защитных команд об атаках «человек посередине» (Man In The Middle).
⏳ - раздел в процессе
Сложность: Низкая
Актуальность: Высокая
Описание:
Address Resolution Protocol (ARP) предназначен для разрешения IP-адресов в MAC-адреса. Все сетевые устройства, которым нужно общаться в сети, используют широковещательные ARP-запросы, чтобы узнать MAC-адреса других машин.
Почти все инструменты ARP-спуфинга используют gratuitous ARP-ответ. Gratuitous ARP reply — это ответ без ARP-запроса.
Несмотря на эффективность gratuitous ARP, он особенно небезопасен, поскольку может использоваться для того, чтобы убедить удалённый хост в том, что MAC-адрес системы в той же сети изменился, и указать, какой адрес используется теперь.
До выполнения ARP-спуфинга в ARP-таблицах узлов A и B есть записи с IP- и MAC-адресами друг друга. Информация передаётся между узлами A и B.
В процессе ARP-спуфинга компьютер С, выполняющий атаку, отправляет ARP-ответы (без получения запросов = gratuitous arp) =>
Также существует вероятность успешной атаки другим способом. Когда вы будете отслеживать ARP-активность в сегменте сети и внезапно заметите ARP-запрос жертвы, вы можете попытаться отправить ARP-ответ жертве быстрее, чем адресат этого запроса. Некоторые производители могут принять этот трюк.
Инструменты атаки:
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Обнаружение атаки
Предотвращение атаки
Ручные ARP-таблицы
Это имеет ограничения, поскольку вызовет трудности при масштабировании сети. А для беспроводной сети это проблема и почти невозможно.
Патчинг
Такие утилиты, как Anticap и Antidote, могут играть жизненно важную роль в предотвращении ARP-спуфинга, где Anticap предотвращает обновление ARP-кэша другим MAC-адресом при существующем ARP-кэше, что фактически предотвращает ARP-спуфинг, но нарушает спецификацию протокола ARP, что действительно является проблемой, тогда как Antidote предотвращает ARP-отравление несколько иным способом. Он анализирует только что полученный ARP-ответ с существующим кэшем. Если новый кэш отличается от предыдущего, он ищет MAC-адрес, жив ли он ещё. Если он обнаруживает, что предыдущий MAC-адрес кэша жив, он отклоняет новый и добавляет MAC-адрес атакующего в список запрещённых MAC-адресов, чтобы предотвратить дальнейшие попытки ARP-отравления на том же целевом компьютере.
Создание VLAN на коммутаторе
На коммутаторе создаётся VLAN, который содержит только сам коммутатор и определённое сетевое устройство.
Создание зашифрованных соединений
Этот метод также подходит для публичных сетей, поскольку весь трафик зашифрован и перехватить какие-либо пользовательские данные невозможно.
DAI
Dynamic ARP inspection в системах Cisco помогает предотвращать атаки «человек посередине», не передавая недействительные или gratuitous ARP-ответы на другие порты в том же VLAN. Dynamic ARP inspection перехватывает все ARP-запросы и все ответы на недоверенных портах. Каждый перехваченный пакет проверяется на допустимые привязки IP-to-MAC через DHCP snooping. Отклонённые ARP-пакеты либо отбрасываются, либо регистрируются коммутатором для аудита, поэтому атаки ARP-отравления останавливаются. Входящие ARP-пакеты на доверенных портах не проверяются.
Связанные ссылки
Как работает ARP
Сложность: Высокая
Актуальность: Умеренная
Описание:
Протокол spanning tree предназначен для обнаружения и предотвращения петель в сети при наличии избыточных путей между коммутаторами.
Любой, кто может эмулировать устройство с (более низким) идентификатором корневого коммутатора (подключив новое виртуальное устройство с более низким приоритетом или используя инструмент генерации STP-пакетов), может частично или полностью перехватить виртуальный сетевой трафик. Обычно у атакующего нет физического подключения к двум коммутаторам, поэтому описанный метод атаки вряд ли возможен. Однако в беспроводных сетях ситуация меняется, поскольку кабельное соединение (розетка в офисе) и беспроводное соединение (точка доступа) могут заканчиваться на разных коммутаторах.
Инструменты атаки
Внимание: Часто этот тип атаки приводит к отказу в обслуживании.