लिंक-स्तरीय एआरपी-स्पूफिंग हमला और सिस्को स्विच की सुरक्षा कैसे करें

यह लेख kulhackers के लिए एक गाइड नहीं है। नीचे लिखा सब कुछ सिस्को सुरक्षा पाठ्यक्रम के अध्ययन का हिस्सा है।
इस लेख में, मैं दिखाऊंगा कि सिस्को स्विच पर अभ्यास में डेटा लिंक हमले का संचालन कैसे किया जाता है, और यह भी दिखाता है कि अपने नेटवर्क को इससे कैसे बचाएं। प्रयोगशाला बेंच के लिए, मैंने सिस्को 881 और कैटलिस्ट 3750 जी का उपयोग किया।
संभवतः हर कोई जिसने कम से कम नेटवर्किंग का सामना किया है, वह जानता है कि एआरपी क्या है।
मैं आपको संक्षेप में याद दिला दूं। AR एड्रेस का इस्तेमाल मैक एड्रेस को IP एड्रेस ट्रांसलेट करने के लिए किया जाता है। निम्नलिखित टोपोलॉजी पर विचार करें:



यदि होस्ट एच 1 से गेटवे पिंग होता है तो क्या होगा? सबसे पहले, एआरपी प्रोटोकॉल काम करेगा। एच 1 एक प्रसारण अनुरोध (एआरपी-अनुरोध) भेजेगा, जो मेजबान एच 1 के मैक और आईपी और प्राप्तकर्ता आईपी (गेटवे) को इंगित करेगा। फिर गेटवे अनुरोध प्राप्त करेगा और यह देखकर कि प्राप्तकर्ता के आईपी क्षेत्र में उसका पता है, अपने मैक को उसमें संलग्न करता है और एआरपी-उत्तर प्रतिक्रिया भेजता है। होस्ट H1 प्रतिक्रिया प्राप्त करता है और इसे ARP तालिका में दर्ज करता है।

मैं H1 से GATEWAY पर जाने वाले ट्रैफ़िक को कैसे रोक सकता हूँ? मान लीजिए कि एक हमलावर (ATTACKER) GATEWAY और H1 के साथ एक ही प्रसारण डोमेन में है। यदि हमलावर ने स्निफ़र लॉन्च किया, उदाहरण के लिए विंडसरक, तो उसे अपने प्रसारण और अन्य आधिकारिक जानकारी के अलावा, स्निफ़र में कुछ भी दिलचस्प नहीं दिखाई देगा। यातायात को बाधित करने के लिए आप ARP प्रोटोकॉल कमजोरियों का उपयोग कर सकते हैं। इस प्रोटोकॉल में कोई सुरक्षा नहीं है, अनुरोधों का कोई प्रमाणीकरण नहीं है। एआरपी अनुरोधों के बिना एआरपी प्रतिक्रियाएं भेजना भी संभव है, यह तथाकथित आभार-एआरपी है।
यह वही है जो आपको चाहिए। हम हमले के लिए कैन और एबेल सॉफ्टवेयर का उपयोग करेंगे, लेकिन पहले, आइए H1 होस्ट और ATTACKER पर ARP तालिकाओं को देखें:

एच 1 एआरपी तालिका



ATTACKER ARP तालिका



इसके बाद, कैन और हाबिल को चलाएं, स्निफर को चालू करें, और प्रसारण डोमेन से सभी होस्ट जोड़ें।



अगला, एआरपी टैब पर जाएं, + दबाएं और गेटवे पते और होस्ट का चयन करें जिससे हम ट्रैफ़िक को रोकेंगे।



हम एआरपी-पॉइज़निंग बटन दबाते हैं और एच 1 होस्ट पर एआरपी टेबल को बदलने की प्रक्रिया शुरू हो गई है।



अब देखते हैं कि मेजबान H1 पर ARP तालिका कैसे बदल गई है।



हम आईपी 192.168.1.1 के लिए मैक एड्रेस स्पूफिंग देखते हैं

अब H1 होस्ट पर पोटीन चलाएं और असुरक्षित टेलनेट प्रोटोकॉल के माध्यम से GATEWAY तक पहुंचने का प्रयास करें। चूंकि टेलनेट प्रोटोकॉल सादे पाठ में डेटा प्रसारित करता है, इसलिए हमलावर को स्निफर में सभी आवश्यक जानकारी, उपयोगकर्ता नाम और पासवर्ड देखना होगा। हम उपयोगकर्ता नाम / पासवर्ड दर्ज करते हैं और पासवर्ड सक्षम करते हैं।



अब ATTACKER के स्निफर पर, पासवर्ड टैब। यह स्पष्ट है कि कुछ जानकारी पकड़ी गई थी



हम इस प्रविष्टि को देखते हैं और निम्नलिखित सामग्री के साथ एक पाठ देखते हैं:

============================================
=== कैन का टेलनेट स्निफर जनरेट फ़ाइल ===
============================================
हां हां हां

उपयोगकर्ता पहुँच सत्यापन

उपयोगकर्ता नाम: हाँ, हाँ, हाँ, हाँ, हाँ, हाँ, आपको हाँ

पासवर्ड: सिस्को

राउटर> ईनाॅना

पासवर्ड: सिस्को

वह सब है। टेलनेट से पासवर्ड इंटरसेप्ट किया गया।

और अब सबसे महत्वपूर्ण बात। अपने नेटवर्क को इस तरह के हमलों से कैसे बचाएं। डायनामिक ARP इंस्पेक्शन (DAI) टूल बचाव में आता है।
डीएआई को एआरपी अनुरोधों को विनियमित करने के लिए डिज़ाइन किया गया है, अर्थात, यह तय करना है कि किन लोगों को छोड़ना है और कौन से त्यागने हैं। मोटे तौर पर, डीएपी एआरपी-स्पूफिंग हमले से नेटवर्क को पूरी तरह से बचाता है, जो एआरपी प्रोटोकॉल की भेद्यता के कारण डेटा लिंक परत पर होता है।
DAI कैसे काम करता है, इसके बारे में थोड़ा सा। इस तंत्र को काम करने के लिए, हमें नेटवर्क पर डीएचसीपी का उपयोग करने की आवश्यकता है और स्विच पर डीएचसीपी स्नूपिंग को सक्षम करना होगा। यदि नेटवर्क स्थैतिक पते का उपयोग करता है, तो DAI काम नहीं करेगा।
कैसे डीएचसीपी स्नूपिंग काम करता है मान लें कि हमारे पास GATEWAY के लिए कॉन्फ़िगर किया गया एक DHCP सर्वर है। ATTACKER हमलावर ने dhcp सर्वर बढ़ाने और अपने कुछ पते वितरित करने का निर्णय लिया। डीएचसीपी स्नूपिंग अनुरोधों को संभालने के लिए डिज़ाइन किया गया है और हमलावर सर्वर से अनुरोधों को छोड़ देगा। सब कुछ बहुत सरल है। अनट्रस्टेड और ट्रस्टेड पोर्ट हैं। हम एक पोर्ट को असाइन करते हैं जो GATEWAY को एक विश्वसनीय पोर्ट के रूप में ले जाता है, क्योंकि हमारे पास एक अधिकृत DHCP सर्वर होगा। अन्य सभी पोर्ट अविश्वसनीय होंगे और उनसे सर्वर अनुरोधों को छोड़ दिया जाएगा।



उसी समय, एक dchp स्नूपिंग डेटाबेस एड्रेस मैपिंग टेबल बनाया जाता है। SW स्विच पर DHCP स्नूपिंग सक्षम करें

ip dhcp snooping vlan 1

ip dhcp snooping database flash:/dhcp-snoop.db
ip dhcp snooping

GATEWAY की ओर देख रहे पोर्ट पर

SW(config-if)# ip dhcp snooping trust



हम देखते हैं कि क्या हुआ

SW # श आईपी dhcp स्नूपिंग
स्विच डीएचसीपी स्नूपिंग सक्षम है
DHCP स्नूपिंग को निम्नलिखित VLAN पर कॉन्फ़िगर किया गया है:
1
DHCP स्नूपिंग निम्नलिखित इंटरफेस पर कॉन्फ़िगर किया गया है:
विकल्प 82 का सम्मिलन सक्षम है
सर्किट-आईडी प्रारूप: वलान-मॉड-पोर्ट
रिमोट-आईडी प्रारूप: मैक
अविश्वासित बंदरगाह पर विकल्प 82 की अनुमति नहीं है
हवादार क्षेत्र का सत्यापन सक्षम है
इंटरफ़ेस विश्वसनीय दर सीमा (pps)
- - - FastE ईथरनेट1 / 0/47 हाँ असीमित

और देखते हैं कि पत्राचार तालिका में क्या दिखाई दिया

SW # श आईपी dhcp स्नूपिंग बाइंडिंग
MacAddress IpAddress लीज़ (सेकंड) टाइप VLAN इंटरफ़ेस

- - - - - - E8: 03: 9A: BE: 0C: D8 192.168.1.50 26268 dhcp-snooping 1 FastE ईथरनेट1 / 0/13
50: B7: C3: 78: B4: 1A 192.168.1.10 69421 dhcp-snooping 1 FastE ईथरनेट1 / 0/1
बाइंडिंग की कुल संख्या: 2

अब, यदि कोई हमलावर dhcp सर्वर बनना चाहता है, तो उसका स्विच अनुरोधों को छोड़ देगा।

Dhcp स्नूपिंग डेटाबेस पर आधारित, जिसमें सभी मैक और आईपी पते के पत्राचार शामिल हैं, डायनेमिक एआरपी निरीक्षण तंत्र काम करेगा।

चलो सेटिंग करने के लिए आगे बढ़ते हैं। सिस्को स्विच पर, यह टूल प्रत्येक वीलन के लिए अलग से सक्षम है। हमारे मामले में, स्विच SW पर कमांड देना पर्याप्त है:
SW(config)#ip arp inspection vlan 1

मेजबानों और प्रवेश द्वार दोनों के बीच में हैं। डीएआई में, स्विच पोर्ट के लिए दो सेटिंग्स हैं: ट्रस्टेड और अनट्रस्टेड। डिफ़ॉल्ट रूप से, सभी स्विच पोर्ट
अविश्वसनीय, यानी अविश्वसनीय। पोर्ट जो गेटवे या उस पोर्ट में जाता है जिसमें ट्रंक जुड़ा हुआ है, एक और स्विच को विश्वसनीय बनाया जा सकता है, फिर एआरपी के माध्यम से आने वाले अनुरोधों को विश्वसनीय माना जाएगा।

SW(config-if)#ip arp inspection trust

अब हम शुरू से ही हमले को दोहराते हैं। हम कैन एंड एबेल के माध्यम से एआरपी-विषाक्तता करने की कोशिश कर रहे हैं। हमला पास नहीं होता है और स्विच लॉग में निम्नलिखित प्रविष्टियाँ दिखाई देती हैं:

18: 11: 19:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARPs (Req) पर Fa1 / 0/1, vlan 1. ([50b7.c378.bba / 192.168.1.10 / 0000.0000.0000 / 192.168.1.1 / 18) : 11: 19 यूटीसी सोम मार 1 1993])
18: 11: 19:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/1 पर, vlan 1. ([50b7.c378.b41/192.168.1.10 / 001d.4641.02b4 / 192.168.1 / /) 18:11:19 यूटीसी सोम मार 1 1993])
18: 11: 19:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/13 पर, vlan 1. ([E803.9abe.0cd8 (192.168.1.1 / 50b7.c378.b41a / 192.168.1.10.1.10) / 18: 11: 19 यूटीसी सोम मार 1 1993])
18: 11: 19:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARPs (Res) पर Fa1 / 0/13, vlan 1. ([E803.9abe.0cd8 (192.168.1.10 / 001d.4641.02b4 / 192.168.1.1 /) 18:11:19 यूटीसी सोम मार 1 1993])
18: 11: 21:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/1 पर, vlan 1. ([50b7.c378.b41 / 192.168.1.10 / 001d.4641.02b4 / 192.168.1 / /) 18:11:21 यूटीसी सोम मार 1 1993])
18: 11: 21:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/13 पर, vlan 1. ([E803.9abe.0cd8 (192.168.1.1 / 50b7.c378.b41a / 192.168.1.10.1.10) / 18: 11: 21 यूटीसी सोम मार्च 1 1993])
18: 11: 21:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/13 पर, vlan 1. ([E803.9abe.0cd8 (192.168.1.10 / 001d.4641.02b4 / 192.168.1.1 /) 18:11:21 यूटीसी सोम मार 1 1993])
18: 11: 24:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARPs (Req) पर Fa1 / 0/1, vlan 1. ([50b7.c378.bba / 192.168.1.10 / 001d.4641.02b4 / 192.168.1 / /) 18:11:24 यूटीसी सोम मार 1 1993])
18: 11: 25:% SW_DAI-4-DHCP_SNOOPING_DENY: 1 अमान्य ARP (Res) Fa1 / 0/1 पर, vlan 1. ([50b7.c378.b41/192.168.1.10 / 001d.4641.02b4 / 192.168.1 / /) 18:11:25 यूटीसी सोम मार 1 1993])

स्विच "गलत" arp अनुरोधों को छोड़ देता है। अब हमलावर कुछ भी इंटरसेप्ट नहीं कर पाएगा।
आइए एक अतिरिक्त डीएआई जांच सक्षम करें

SW(config)#errdisable recovery cause arp-inspection

यह विकल्प आपको 300 सेकंड के बाद पोर्ट और त्रुटिपूर्ण स्थिति को पुनर्स्थापित करने की अनुमति देता है। जब तक मैक-आईपी बेमेल इस पोर्ट पर जारी रहेगा, पोर्ट को पुनर्स्थापित नहीं किया जाएगा।

कमांड का उपयोग करके विश्वसनीय और अविश्वसनीय पोर्ट और आंकड़े देखें

SW#show ip arp inspection interfaces

वह सब है।
आपका ध्यान देने के लिए धन्यवाद।

---

UPD ने dhcp-snooping के बारे में जोड़ा