20199111 2019-2020-2 "práctica ataque a la red y la defensa", la quinta semana de trabajo

1. El contenido de Práctica

atributos de seguridad de red

Desde el punto de vista de la propiedad, confidencialidad (confidencialidad), integridad (intergrity) y disponibilidad (disponibilidad) constituyen los tres atributos básicos de la seguridad de la red, también conocido como el modelo de seguridad Triángulo de Oro (CIA) de seguridad. La Unión Internacional de Telecomunicaciones (UIT) en el estándar de sistema de seguridad X.800 define también otros dos atributos de seguridad de red, incluyendo la autenticidad (autenticación) y el no repudio (no repudio)

Confidencialidad: se refiere a las redes de información de acceso y uso de las entidades, por lo general los algoritmos de cifrado para proteger base no autorizada.
Integridad: se refiere a la información de propiedad no autorizada no puede ser cambiado, que la información permanece intacta durante el almacenamiento y transmisión, no se destruye y características que faltan.
Disponibilidad: se refiere a las entidades autorizadas a la característica de acceso se utiliza y la demanda, normalmente puede tener acceso a la información de servicio deseado y el acceso, es decir, cuando sea necesario.
Autenticidad: significa la garantía de partes que se comunican son realmente entidad que pretende, en lugar de entidad falsa.
No repudio: significa asegurar que cualquiera de las partes no puede negar la naturaleza segura de las operaciones que han hecho, incluyendo el no repudio de sus acciones y el tiempo no repudio de la ocurrencia de la conducta en la comunicación, que se refiere a veces como el no repudio y auditabilidad.

El modelo básico de ataques de red

El modelo básico de ataques a la red cuatro siguientes: interceptación, la interrupción, la manipulación, falsificación. Que interceptó un modo de ataque pasivo, técnicas de ataque específico para oler y escuchar; interrupción es un ataque activo, técnicas de ataque específico a una denegación de servicio; ataque de falsificación técnicas específicas para engañar; manipulación de fraude de identidad por lo general requiere una combinación de hombre en el centro.

TCP / IP fallos de seguridad de red pila de protocolos y técnicas de ataque

protocolo de red TCP / IP emplea pila en el diseño del modelo jerárquico, en la capa de interfaz de red, una capa de Internet, una capa de capa de transporte y aplicación, cada capa es responsable de funciones diferentes, teniendo cada uno un protocolo de red correspondiente, en cada nivel hay algunos problemas de seguridad, de la siguiente manera

ataques de protocolo de capa de red

dirección de origen IP spoofing

Los protocolos de enrutamiento IP sólo se reenvía el tesoro de datos en la dirección de destino en el diseño, que no verifique la autenticidad de la dirección original. modifica atacante malintencionado la cabecera del protocolo IP para contener una dirección IP falsa diferente, para engañar a los objetivos y el propósito de la fuente oculta.

Precauciones incluyen:

El uso de número de secuencia inicial aleatorio, de modo que un atacante remoto no puede adivinar el número de serie para el camuflaje engañar a establecer una dirección de origen conexión TCP.
Usando protocolos como red de seguridad de capa de transporte IPSec, para la transmisión de paquetes de datos está cifrada.
Las direcciones IP de confianza Evitar la política basada en el algoritmo de cifrado basado en mecanismo de autenticación de la identidad del usuario en su lugar.
paquete Realización filtrado en enrutadores y pasarelas.

ARP spoofing

Atacante envía mensajes ARP forjada sobre una red de falsificación de suplantación de direcciones MAC correspondiente a la IP específica Ethernet cableada o inalámbrica.

protocolo ARP para la dirección IP se realiza cuando las deficiencias de seguridad de la investigación de mapeo de direcciones MAC, por un lado, el proceso técnico y método de uso de la correlación de paquetes solicitud de difusión en el segmento de LAN interrogar, pero los resultados no verifican la autenticidad de la respuesta, y el otro aspectos del protocolo ARP para mejorar la eficiencia, el diseño de mecanismos de caché ARP, y estarán respuesta ARP activa ser tratada como información válida es aceptada, lo que hace muy fácil para ser inyectado en la caché ARP de la dirección IP falsa a la relación de correlación de direcciones MAC, por lo tanto tramposo.

Precauciones incluyen:

Mapeo entre la unión dirección IP del host clave estática y la dirección MAC
Utilizar las herramientas apropiadas de prevención de ARP
Segmentación de VLAN utilizando topología de red virtual de subred
Cifrado para la transmisión de datos

ataque de redirección ICMP de enrutamiento

Un atacante envía una falsificación pretendiendo ser los paquetes de enrutamiento de control de ruta de enrutador ICMP, de tal manera que el host de destino seleccionado ruta de enrutamiento dictado por el atacante para sniff o ataque de suplantación.

ICMP ataque de redireccionamiento es el uso de un paquete ICMP de redireccionamiento de enrutamiento para cambiar la tabla de enrutamiento del host, envía un mensaje de redirección a la máquina de destino, puede disfrazarse como un router, el datagrama equipo de destino envía al avión de ataque para reforzar la vigilancia.

Los métodos incluyen:

Algunos paquetes ICMP filtrado de acuerdo con el tipo de
Establecer un filtro de firewall
mensajes ICMP de redireccionamiento de la resolución no desde el router local

Ataque de transporte Capa

ataque TCP RST

Esta técnica es un método para la comunicación TCP interferencia conexión falsificación. TCP restablece paquetes para cerrar una conexión de sesión TCP directa.

ataques de secuestro de sesión TCP

Para el atacante, tiene que hacer es la transferencia de mensajes de palanca entre dos hosts TCP comunicación continua, por lo que el atacante puede conocer el origen del paquete IP, el número de puerto TCP de origen, IP de destino , un destino TCP Pin, solicitando de este modo que un host a la siguiente en ser recibido y ackseq valor segmento de paquete TCP ss. De esta manera, el anfitrión legítimo recibe paquetes TCP antes de que otra ley enviado por el anfitrión, el atacante envía un paquete con una carga útil TCP, si el host recibe el primer paquete de ataque basado en la información al host interceptado , puede poner se establece una sesión TCP legítima entre el atacante y el anfitrión atacado. Atacar con paquetes de carga útil permite al atacante a ser un valor requerido para el paquete TCP para ser recibida en el número de secuencia de acuse de recibo (ackseq) se cambia, por lo que los problemas de acogida a otra anfitriona legítima para atacar el mensaje está siendo rechazado atacar al huésped.

Precauciones incluyen:

fuente Disable encaminamiento en el host
Adoptar medidas para prevenir ARP Spoofing
Adoptar medidas para evitar la redirección ICMP

TCP SYN Flood denegación de servicio

Defecto utilizando el protocolo TCP, el envío de un gran número de solicitud de conexión TCP falsa, por lo que el agotamiento parte atacada de los recursos (CPU o la memoria plena carga) ataque.

Precauciones incluyen:

medidas SYN-Cookie
tecnología de monitorización de estado de dirección cortafuegos

Inundación UDP denegación de servicio

UDP inundaciones es un ataque de denegación de servicio, en el que se envía un gran número de paquetes User Datagram Protocol (UDP) para el servidor de destino, y la respuesta ha sido diseñado para desbordar la capacidad de procesamiento del dispositivo. servidor de destino protección de cortafuegos también puede deberse UDP inundaciones agota, lo que resulta en una denegación de servicio a tráfico legítimo.

Precauciones incluyen:

servicios de supervisión y respuesta Desactivar o filtro
Utilice un servidor de seguridad y mecanismos de delegación en la red para filtrar una parte del tráfico de red inesperado lugares clave

protocolo de red medidas de prevención de ataques pila TCP / IP

La vigilancia, la prevención y el refuerzo de seguridad
Mejora de la red de protocolo de seguridad
Siguiente Generación de Protocolo de Internet

2. práctica

2.1 ARP ataque de suplantación

equipo host	direcciones IP	dirección MAC
aviones de ataque Ubuntu	192.168.6.9	00: 0C: 29: D3: E0: 97
victoria avión no tripulado	192.168.6.124
seedUbuntu avión no tripulado	192.168.6.4

Netwox instalado en Ubuntu apt-get install netwox

Y entonces comenzaríamos ARP spoofing utilizando la herramienta de netwox

De entrada 5de la línea de comando, el 80número de herramientas (ARP paquetes de datos transmitidos periódicamente)

Después de la obtención de formato utilizando la herramienta 80, la entrada

netwox 80 -e 00:0c:29:d3:e0:97 -i 192.168.6.4  #周期性发送应答，告诉请求方192.168.6.4（seed靶机）的MAC地址为00:0c:29:d3:e0:97（攻击机）

En el avión no tripulado victoria entró arp -aver ganar aviones no tripulados en los cambios de la tabla de caché ARP, el ataque tiene éxito

2,2 ICMP ataque de redireccionamiento

Nº utilizar herramientas 86 netwox ICMP de redireccionamiento ataque, aviones de ataque entró en el

netwox 86 -f "host 192.168.6.124" -g 192.168.6.9 -i 192.168.6.1 # 嗅探到192.168.6.124（win靶机）的数据包时，以192.168.6.1的名义发送ICMP重定向报文，使192.168.6.9（攻击机）成为其默认路由

Etérea lleva a cabo con wireshark, se puede ver los paquetes de datos, aviones de ataque durante el avión no tripulado victoria abrir una página Web como la ruta por defecto

Después de la tabla de enrutamiento de Internet (el zumbido de error frecuente victoria experimento al entrar en la página web, por lo que en lugar de 192.168.6.3 a ganar nuevos aviones no tripulados, después de resolver los problemas normales no pueden navegar por la web, ver pregunta 1)

2.3 ataque SYN Flood

ganar avión no tripulado lanzado conexión FTP y establecer una conexión

Nº 86 utilizando herramientas netwox de ataques SYN Flood, de entrada

netwox 76 -i 192.168.6.3  -p 21 #ftp连接的端口号为21，若使用其他连接方式，端口号不同

En este punto, una vez más iniciar la conexión ftp, muestra el tiempo de espera de conexión

2.4 ataque TCP RST

192.168.6.3 a 192.168.6.124 iniciar la conexión FTP y establecer una conexión, a continuación, introducir en los aviones de ataque

netwox 78 -i 192.168.6.124

Volver a 192.168.6.3, Sede ha sido desconectado

2,5 ataques de secuestro de sesión TCP

Establecer una conexión FTP sobre el mismo tema

Utilizar las herramientas de búsqueda, apt-get install huntherramientas de instalación, tipo de búsqueda se abre

3. Los problemas y las soluciones encontradas en el estudio

Pregunta 1: detectan con frecuencia victoria avión no tripulado en la página, que dice "error de ejecución"
Solución del Problema 1: Comprobar los ajustes no permiten este tipo de error, después de entrar en el "Opciones de Internet" cuadro de diálogo, cambie a la pestaña "Avanzado" en el IE, a continuación, marque la casilla "Desactivar la depuración de scripts"

4. Resumen práctica

La operación de prueba se llevó mucho tiempo, la comprensión de los principios de la práctica antes de gastar un montón de tiempo para aprender con el tiempo algunos ataques de grado, sino también casi olvidado (lo siento clases embrollo de grado). Al mismo tiempo, la revisión de estos ataques también aspectos revisados de la red de contenido
Hacia adelante, mientras que el aprendizaje a menudo examinan al revés, tonto no romper el maíz negro