सैंडबॉक्स वार्स - पार्ट 3. एआरपी-स्पूफिंग, मैक पते द्वारा फ़िल्टरिंग की निरर्थकता और अहस्ताक्षरित सॉफ़्टवेयर को स्थापित करने का खतरा

पिछले लेखों ( 1 , 2 ) के प्रकाशन के बाद से एक वर्ष से थोड़ा अधिक समय बीत चुका है, और हाल ही में ऐसी परिस्थितियां विकसित हुई हैं कि मेरे पास एक नए हमले का कारण है।

इस बार नेटवर्क के बुनियादी ढांचे तक कोई भौतिक पहुँच नहीं है। वाई-फाई इंटरनेट के उपयोग के साथ केवल एक लैपटॉप है। पीड़ित, एक शयनगृह पड़ोसी, ईथरनेट के माध्यम से एक और एक्सेस प्वाइंट (डीआईआर -320) से जुड़ा हुआ है, लेकिन लगभग सभी को बिंदु से कनेक्ट करने के लिए पासवर्ड पता है, क्योंकि इसका मालिक डेटाबेस से अभिगम नियंत्रण के साधन के रूप में फ़िल्टरिंग का उपयोग करना पसंद करता है, डेटाबेस से पते जोड़ना और जोड़ना आवश्यक है। मेरा MAC पता अनुमत सूची में नहीं है।

ठीक है, कनेक्ट करें, कुछ परीक्षण करें, और हम देखते हैं कि मैक एड्रेस फ़िल्टरिंग केवल नेटवर्क स्तर पर होती है, अर्थात, एक्सेस प्वाइंट मना नहीं करता है:

• ईथरनेट सेगमेंट में मेरे फ्रेम को फॉरवर्ड करें, और प्रतिक्रियाएं दें
• एआरपी अनुरोधों का जवाब और एआरपी प्रतिक्रियाएं प्राप्त करें

केवल एक चीज जो एक्सेस प्वाइंट मना करती है वह है नेटवर्क स्तर पर किसी अजनबी के साथ बातचीत करना, यानी यह मुझे डीएचसीपी के माध्यम से आईपी एड्रेस नहीं देता है, इसे पिंग नहीं किया जा सकता है और इसे इसके माध्यम से इंटरनेट तक एक्सेस नहीं किया जा सकता है।

एआरपी-स्पूफिंग

उन लोगों के लिए जो एआरपी और एआरपी-स्पूफिंग नहीं जानते हैं, एक छोटा शैक्षिक कार्यक्रम है। नेटवर्क परत जिस पर आईपी पते का उपयोग किया जाता है, डेटा लिंक परत पर उपयोग किया जाता है (यह नेटवर्क कार्ड के निर्माताओं द्वारा निर्दिष्ट मैक पते का उपयोग करता है)। आईपी ​​पैकेट भेजते समय, कंप्यूटर को ईथरनेट फ्रेम में लपेटना चाहिए, जो प्राप्तकर्ता (या गेटवे) के मैक पते को दर्शाता है। प्राप्तकर्ता के मैक पते का पता लगाने के लिए, कंप्यूटर फॉर्म का एक ARP अनुरोध करता है "IP abcd के साथ कंप्यूटर, जवाब दें।" Abcd कंप्यूटर फॉर्म के ARP रिस्पॉन्स के साथ "abcd is me, my MAC एड्रेस है: 00: 11: 22: 33: 44: 55"। इसके अलावा, अगर कोई अनुरोध नहीं था, तो भी प्रतिक्रिया भेजी जा सकती है और इसे संसाधित किया जाएगा। सभी कंप्यूटर आईपी → मैक मैपिंग कैश का समर्थन करते हैं, और प्रत्येक अवसर पर (एआरपी अनुरोध / प्रतिक्रिया प्राप्त होती है), इसे अपडेट किया जाता है।

एआरपी स्तर पर कोई प्रमाणीकरण नहीं है, जो एआरपी-स्पूफिंग हमले का आधार है। यह एक पीड़ित के रूप में राउटर के लिए खुद को (एआरपी प्रतिक्रिया भेजने के लिए) और पीड़ित को खुद के माध्यम से अपने ट्रैफ़िक को प्रॉक्सी करने के लिए राउटर के रूप में पेश करने के लिए पर्याप्त है।



लेकिन, चूंकि एक्सेस प्वाइंट ने मुझे इंटरनेट में आने नहीं दिया, एआरपी स्पूफिंग का क्लासिक संस्करण - पीड़ित और राउटर के बीच खड़े होने के लिए - काम नहीं करेगा। यदि हां, तो आप पीड़ित और राउटर के बीच नहीं, बल्कि राउटर के बीच उठ सकते हैं। हम बाजार में जाते हैं, एक यूएसबी-वाईफाई एडाप्टर खरीदते हैं, बिल्ट-इन अडैप्टर (उस पर आईपी प्रोटोकॉल को अक्षम करना) को लक्ष्य नेटवर्क से कनेक्ट करते हैं, और दूसरा हमारे खुद के लिए इंटरनेट पर एक चैनल है। हम वर्चुअलबॉक्स में दो एडेप्टर के साथ एक वर्चुअल मशीन बनाते हैं, पहला लक्ष्य नेटवर्क के लिए एक पुल से जुड़ा होता है, दूसरे पर हम NAT करते हैं। हम रूटर की वर्चुअल मशीन के अंदर NAT को कॉन्फ़िगर करते हैं, पीड़ित के कंप्यूटर को समझाने के लिए उस पर arpspoof चलाते हैं कि रूटर का मैक पता हमारे लिए बदल गया है।



नतीजतन, पीड़ित एक वास्तविक राउटर को पैकेट नहीं भेजेगा, लेकिन हमारे लिए, जो उन्हें इंटरनेट पर भेज सकता है, उन्हें देख और संशोधित कर सकता है। लगभग मानक एआरपी स्पूफिंग योजना। केवल एक मामूली दोष के साथ - यह काम नहीं करता है। यह अधिक सटीक रूप से काम करता है, लेकिन ऐसे व्यवधानों के साथ, जो पीड़ित व्यक्ति नेटवर्क के साथ समस्याओं पर ध्यान नहीं दे सकता है।

नेटवर्क पर ट्रैफ़िक को देखते हुए, आप समझ सकते हैं कि क्यों। हां, हम पीड़ित के राउटर को प्रति सेकंड एक बार सूचित करते हैं कि पता 192.168.0.105 का है, और पीड़ित का पता है कि आईपी पता 192.168.0.1 हमारा है। हालांकि, नेटवर्क पर एक और एआरपी गतिविधि है। उदाहरण के लिए, राउटर समय-समय पर नेटवर्क पर प्रसारित होता है "192.168.0.109, आप कहां हैं?", और नेटवर्क पर ऐसा कोई पता नहीं है। इस गतिविधि के कारण बहुत स्पष्ट नहीं हैं - शायद राउटर पर एक पोर्ट बाहरी आईपी से इस पते पर लीक हो जाएगा। लेकिन राउटर के हिस्से पर इस तरह के अच्छे संचार से कुछ भी अच्छा नहीं होता है। पीड़ित का कंप्यूटर इस प्रसारण अनुरोध को देखता है, और यद्यपि यह अनुरोध उस पर लागू नहीं होता है, यह अपने कैश में राउटर के मैक पते के बारे में जानकारी को अपडेट करता है। परिणाम एक दौड़ की स्थिति है, और पीड़ित हमारे पते पर या एक वास्तविक राउटर के पते पर आउटगोइंग पैकेट भेजता है।

क्या करें? चूंकि राउटर गैर-मौजूद आईपी पते के बारे में बहुत चिंतित है, इसलिए आपको इसे शांत करने की आवश्यकता है, उदाहरण के लिए, यह बताते हुए कि ये पते हमारे हैं। तो:

• एक-दो सेकंड में, नेटवर्क पर कौन है यह पता लगाने के लिए खंड के सभी पतों पर एक प्रसारण एआरपी अनुरोध भेजें
• हर दस सेकंड, प्रत्येक आईपी पते के लिए जो हमने लंबे समय तक नेटवर्क पर नहीं देखा है, राउटर को एआरपी उत्तर भेजें, हमें सूचित करते हुए कि यह पता हमारे पास है

पायथन लिपि के रूप में ऐसी कार्यक्षमता जोड़ने के बाद, tcpdump arp के बढ़ते उत्पादन और ARP अनुरोधों और प्रतिक्रियाओं को भेजना, संचार विफलताएं बहुत कम हो गईं। जब कोई कंप्यूटर नेटवर्क से जुड़ता है, तो यह आमतौर पर अपने आईपी और आईपी राउटर के लिए एआरपी अनुरोध के साथ शुरू होता है, जिसके परिणामस्वरूप हम देखते हैं कि यह दिखाई दिया है और इसे लागू करना बंद कर दें। जब कंप्यूटर बंद हो जाता है, तो हम देखते हैं कि यह बंद हो गया है और इसकी जगह ले रहा है। नतीजतन, राउटर के पास अब प्रसारण एआरपी अनुरोध भेजने और पीड़ित के कंप्यूटर को भ्रमित करने का कोई कारण नहीं है।

एक मशीन का नियंत्रण लेना

HTTP- ट्रैफ़िक को सुनना, या sslstrip का उपयोग करना , ssl- सक्षम साइटों के ट्रैफ़िक को सुनने के लिए, हम अभी इसमें रुचि नहीं रखते हैं - सबसे पहले, यह पुराना है, और दूसरी बात, हमने ट्रैफ़िक में कुछ भी दिलचस्प नहीं पाया है। मैं लक्ष्य मशीन पर पूरा नियंत्रण प्राप्त करना चाहता हूं।

पिछले दरवाजे

अधिकतम विशेषाधिकारों के लिए, हमारे पिछले दरवाजे कार्यक्रम LocalSystem की ओर से चलना चाहिए। ऐसा करने के लिए, हम विंडोज सर्विस लिखते हैं (सी # में यह दर्जनों लाइनों की एक जोड़ी है, जिसे आईडीई भी जेनरेट करता है)। प्रबंधन के लिए हम Jabber प्रोटोकॉल ( agsXMPP ) का उपयोग करेंगे। यह सेवा स्टार्टअप में जब्बार सर्वर से जुड़ेगी और कमांड का इंतजार करेगी। चैट के माध्यम से कमांड भेजकर किसी भी जैबर-क्लाइंट का उपयोग करके इसे प्रबंधित करना संभव होगा। जैसा कि आदेशों के लिए - किसी कारण से, विंडोज के दृष्टिकोण से, cmd.exe को एक यूआई के साथ एक कार्यक्रम माना जाता है, और सिस्टम सेवाएं उपयोगकर्ता के साथ बातचीत नहीं कर सकती हैं। Cmd.exe को सेवा से प्रारंभ करना संभव नहीं था। परिणामस्वरूप, C # कोड को बॉट में स्थानांतरित करने के लिए cmd शेल कमांड के बजाय यह निर्णय लिया गया था, जिसके परिणामस्वरूप यह व्याख्या करेगा और परिणाम लौटाएगा, बल्कि एक सार्वभौमिक "शेल" प्राप्त होता है।

संस्थापक

इंस्टॉलर निष्पादन योग्य फ़ाइल और सेवा पुस्तकालयों को संग्रहीत करता है और स्टार्टअप पर निम्न कार्य करता है:

1. % WINDOWS% निर्देशिका में कुछ एकांत स्थान पर सेवा फ़ाइलों को सहेजें
2. सेवा स्थापित करें
3. Http://google.com/success पर एक HTTP GET बनाएं (इसकी आवश्यकता क्यों है - यह बाद में स्पष्ट हो जाएगा)

स्थापना

अब आपको किसी तरह क्लाइंट को हमारे इंस्टॉलर को चलाने की आवश्यकता है।

आइए स्वचालित अपडेट देखें, उन्हें प्रतिस्थापित करना संभव हो सकता है। HTTP हेडर का उपयोग करते हुए, हमें पता चलता है कि ओपेरा एक ब्राउज़र के रूप में मशीन पर स्थापित है, लेकिन, जैसा कि यह पता चला है, इसके अपडेट https के माध्यम से जाते हैं, इसलिए हम ऐसा नहीं कर सकते। Microsoft से अपडेट सादे-http के माध्यम से जाते हैं, लेकिन वहाँ, सुनिश्चित करने के लिए, प्रत्येक अपडेट फ़ाइल में एक डिजिटल हस्ताक्षर है, जिसे लॉन्च करने से पहले जांच की जाती है, फिर भी स्कूली बच्चे एमएस में काम नहीं करते हैं।

ठीक है, स्वचालित अपडेट के साथ कुछ भी नहीं किया जा सकता है, हम केवल उपयोगकर्ता की लापरवाही की उम्मीद कर सकते हैं। आइए पहले डाउनलोड करने योग्य निष्पादन योग्य फ़ाइल में इंस्टॉलर को एम्बेड करने का प्रयास करें।

ऐसा करने के लिए, हम एक पारदर्शी प्रॉक्सी लिखते हैं ( ट्विस्टेड यह सौ लाइनों से थोड़ी अधिक है), जो अपने सामान्य कर्तव्यों के अलावा, निम्नलिखित क्रियाएं करता है:

• यदि अनुरोध URL google.com/serviceinstaller है , तो एक उत्तर के रूप में हम इंस्टॉलर को पहले बनाए गए बाइनरी देते हैं
• यदि अनुरोध URL google.com/success है , तो मुझे सफलता के बारे में रिपोर्ट करें और सामान्य ईमानदार प्रॉक्सी मोड पर स्विच करें
• यदि सर्वर प्रतिक्रिया कोड 200 है, तो सामग्री-प्रकार सूची ['एप्लिकेशन / ऑक्टेट-स्ट्रीम', 'एप्लिकेशन / एक्स-एमएसडाउट', 'एप्लिकेशन / एक्सई', 'एप्लिकेशन / एक्स-एक्स', 'एप्लिकेशन / डॉस-एक्स' से संबंधित है। , 'vms / exe', 'application / x-winexe', 'application / msdos-windows', 'application / x-msdos-program', 'application / बाइनरी'], और सामग्री-लंबाई 20 गीगाबाइट से अधिक नहीं होती है, तब :
  
  1. फ़ाइल डाउनलोड करें
  2. आगे के विश्लेषण के लिए मुख्य मशीन (क्योंकि विंडोज है) के लिए पोस्ट अनुरोध के साथ फाइल भेजें
  3. ग्राहक को POST अनुरोध की प्रतिक्रिया भेजें (तदनुसार, सामग्री-लंबाई और सामग्री-एमडी 5 हेडर को सही करते हुए)

हम एक वर्चुअल राउटर पर इस प्रॉक्सी सर्वर को शुरू करते हैं और iptables का उपयोग करके सभी HTTP ट्रैफ़िक को रीडायरेक्ट करते हैं।

अब हम C # में एक रैपर प्रोजेक्ट लिख रहे हैं, जिसके मुख्य प्रोग्राम में एक्जीक्यूटेबल फाइल ओरिजिनल। Exe एक संसाधन के रूप में शामिल है (अभी के लिए, बस उस नाम के साथ एक खाली फाइल बनाएं)। हम रैपर की अभिव्यक्ति में लिखते हैं कि इसे व्यवस्थापक अधिकारों के साथ चलाया जाना चाहिए। आवरण कोड अत्यंत सरल है:

1. Google.com/serviceinstaller पर डाउनलोड करें और हमारी सेवा का इंस्टॉलर चलाएं
2. एक अस्थायी फ़ाइल के लिए अंतर्निहित resource.exe को सहेजें और उसे चलाएं

उसके बाद, हम एक सहायक वेब सर्वर लिखते हैं, जो प्रत्येक प्राप्त अनुरोध के लिए निम्नलिखित क्रियाएं करता है:

1. मूल डेटा को ओरिजिनल फाइल में सेव करें
2. यदि original.exe एक निष्पादन योग्य फ़ाइल है और इसमें डिजिटल हस्ताक्षर नहीं है, तो आवरण परियोजना का पुनर्निर्माण शुरू करें और संकलन परिणाम लौटाएं। अन्यथा, मूल फ़ाइल को अपरिवर्तित लौटाएं।

यह कोडिंग के साथ खत्म हो गया है। अब हम सभी घटकों को लॉन्च करते हैं, और देखते हैं कि यह कैसे काम करना चाहिए:

1. उपयोगकर्ता गेम या कुछ और के लिए किसी प्रकार का इंस्टॉलर डाउनलोड करने जा रहा है (अब इंटरनेट पर पर्याप्त अहस्ताक्षरित इंस्टॉलर हैं, वही नोटपैड ++ , जो एक बहुत ही सुविधाजनक और लोकप्रिय कार्यक्रम है)
2. प्रॉक्सी सर्वर एक HTTP अनुरोध प्राप्त करता है, इसे सर्वर को भेजता है, सर्वर से प्रतिक्रिया हेडर प्राप्त करता है, हेडर से देखता है कि डाउनलोड की गई फ़ाइल हमारे इंस्टॉलर को शुरू करने के लिए एक संभावित उम्मीदवार है।
   
3. प्रॉक्सी सर्वर फ़ाइल को अंत तक डाउनलोड करता है, और इसे इंजेक्शन सर्वर को भेजता है
4. इंजेक्शन सर्वर यह जांचता है कि यह वास्तव में एक निष्पादन योग्य फ़ाइल है (और यह पर्याप्त नहीं है कि एप्लिकेशन / ऑक्टेट-स्ट्रीम को स्थानांतरित किया जा सकता है), यह जांचता है कि फ़ाइल अहस्ताक्षरित है, इसलिए आप इसे जोखिम के खतरे के बिना संशोधित कर सकते हैं (कोई भी इंस्टॉलर चेकसमों को नहीं देखता है, भले ही वे साइट पर तैनात हैं)
   
5. इंजेक्शन सर्वर रैपर बाइनरी को मूल निष्पादन योग्य फ़ाइल को एम्बेड करके संकलित करता है और परिणाम को प्रॉक्सी सर्वर पर लौटाता है
6. प्रॉक्सी क्लाइंट को फ़ाइल देता है (ग्राहक को कुछ भी संदेह नहीं होगा, क्योंकि स्रोत फ़ाइल 20 मेगाबाइट से अधिक नहीं थी, जिसका अर्थ है कि पिछले तीन बिंदुओं ने केवल कुछ सेकंड में डाउनलोड की शुरुआत में देरी की)
7. क्लाइंट डाउनलोड की गई फ़ाइल को लॉन्च करता है, एक यूएसी अनुरोध प्राप्त करता है (ठीक उसी तरह जैसा कि यह मूल फ़ाइल से होगा), इसे स्वीकार करता है
8. हमारे इंस्टॉलर को डाउनलोड किया जाता है और लॉन्च किया जाता है, इसका गंदा काम होता है, हमारे लिए सफलता की रिपोर्ट करता है
9. मूल इंस्टॉलर शुरू होता है

सब कुछ चलाने के बाद, हम इंतजार कर रहे हैं। और, कुछ दिनों के बाद, हम इंजेक्शन सर्वर लॉग में देखते हैं:



और प्रॉक्सी सर्वर लॉग में:



अब आप एक पड़ोसी के पास जा सकते हैं और उसे ट्रिक्स दिखा कर उसे खुश कर सकते हैं जो हम उसके कंप्यूटर के साथ कर सकते हैं (फिर से शुरू करें, ऑडियो सिस्टम से डरावनी आवाज़ें दें, आदि)।

निष्कर्ष

• मैक एड्रेस फ़िल्टरिंग। उस पर भरोसा मत करो। यह पटाखे से नहीं बचाएगा। एक छात्र जो आपके खर्च पर इंटरनेट का उपयोग करना चाहता है, वह भी, वह केवल मैक पते को किसी भी ईवेस्ट्रोपर को बदल देगा।
• एआरपी-स्पूफिंग। आप SOHO राउटर पर भी इससे अपनी रक्षा कर सकते हैं। उदाहरण के लिए, लोकप्रिय डलिंक डीआईआर -300 / 320 डिवाइस के लिए, आप अतिथि क्षेत्र को सक्षम कर सकते हैं, जो ग्राहकों को एक-दूसरे से अलग करता है।
• MITM। असुरक्षित संचार का उपयोग न करें ( उदाहरण के लिए, ICQ स्पष्ट पाठ में पासवर्ड भेजता है, vk.com अभी भी ऐसा लगता है । UPD : ICQ और vk पहले से ही प्रमाणीकरण के लिए SSL का उपयोग करते हैं)। यदि आपको इंस्टॉलर डाउनलोड करने की आवश्यकता है, तो इसे https के माध्यम से डाउनलोड करें। यदि यह केवल http के माध्यम से वितरित किया जाता है, तो फ़ाइल के डिजिटल हस्ताक्षर को डाउनलोड करने के बाद जांचें। यदि कोई डिजिटल हस्ताक्षर नहीं है, तो साइट पर इंगित किए गए लोगों के साथ चेकसम की जांच करें (यह किसी अन्य इंटरनेट चैनल के माध्यम से साइट पर चेकसम देखने के लिए सलाह दी जाती है)।
• एंटी वायरस। उस पर भरोसा मत करो, एक व्यक्ति हमेशा एक कार्यक्रम से अधिक चालाक होगा। मुझे नहीं पता कि एक और एंटीवायरस यहां क्या करेगा, लेकिन पीड़ित के कंप्यूटर पर मौजूद Microsoft सुरक्षा आवश्यकताएँ, उपरोक्त सभी जोड़तोड़ों पर प्रतिक्रिया नहीं करती थीं।
• नैतिकता। मैं पहले भाग से सलाह दोहराता हूं: "बुरा आदमी" मत बनो, शायद आपका पड़ोसी सिर्फ एक पीड़ित की तलाश कर रहा है।

______________________

टेक्स्ट को Habr Editor में © SoftCoder.ru से तैयार किया गया है