Как только CAM-таблица была заполнена, мы можем открыть Wireshark и начать захват трафика. По умолчанию Wireshark настроен на захват трафика в неразборчивом режиме, однако он нам не нужен, так как коммутатор перешел в режим концентратора, а значит трафик уже неразборчивый.
Следует заметить сходство с атакой ARP-poisoning, ведь при атаке ARP-poisoning, протокол ARP всегда будет доверять тому устройству, от которого исходил ответ. Из-за этого недостатка в дизайне коммутатор никоим образом не может проверить, что ARP-ответ был отправлен с доверенного устройства.
Из-за этого изъяна злоумышленник имеет возможность отправить поддельный ARP-ответ на любой компьютер в сети, чтобы заставить его поверить, что определенный IP-адрес связан с определенным MAC-адресом, тем самым отравляя ARP-кэш коммутатора, который сопоставляет IP-адреса с MAC-адресами.
Таким образом, эти две атаки, то есть ARP-poisoning и MAC-flooding, связаны с протоколом ARP.
Чтобы узнать больше о macof, наберем «macof -h», что покажет все возможные варианты (рисунок 2.5).
Рисунок 2.5 – Команда macof – h
Отсюда видно, что, например, с параметром -n можно задать количество генерируемых запросов, а параметром -d можно задать IP-адрес назначения (рисунок 2.6).
Рисунок 2.6 – Выполнение команды macof с параметрами
Теперь пусть PC-1 попытается пройти аутентификацию на некотором сайте, а злоумышленник – перехватить данные, необходимые для авторизации на ресурсе (рисунки 2.7 – 2.8)
Рисунок 2.7 – Пользователь аутентифицируется на ресурсе
Если аутентификация проходит по открытому протоколу, то используя сниффер можно перехватить учетные данные пользователя.
Как можно увидеть данная атака реализуется даже проще, чем MAC-spoofing, всего 1-й командой. Теперь рассмотрим главные методы защиты от нее.
2.3 Защита
Одними из главных контрмер против атаки типа MAC-flooding являются:
– Port Security – запрещает нескольким MAC-адресам присоединятся к одному порту (установка статического MAC-адреса).
– Реализация протокола 802.1X – позволяет применять правила фильтрации пакетов, выпускаемые централизованным сервером AAA, на основе динамического обучения клиентов.
– Фильтрация MAC — Ограничивает количество MAC-адресов на коммутаторе.
3 ARP-spoofing
3.1 Описание
Протокол ARP
Протокол ARP предназначен для преобразования IP-адресов в MAC-адреса. Познакомиться с протоколом можно в соответствующем RFC.
3.2 Реализация атаки
Для реализации данной атаки воспользуемся сетевой топологией из предыдущего задания и утилитой Ettercap, которая доступна в репозиториях Kali Linux.
Целью данной атаки будет попытка атакующего вклиниться в канал передачи данных от PC-1 до R1. Таким образом атакующий