лабораторная работа

КОНСТАНТИН ГАВРИЛЕНКО

Спецвыпуск: Хакер, номер #066, стр. 066-018-1

(KOS@ARHONT.COM; КОМПАНИЯ АРХОНТ — WWW.ARHONT.COM)

АТАКА НА RIP И IGRP

ОДНИМ ИЗ КЛЮЧЕВЫХ МОМЕНТОВ ВЗЛОМА СЕТЕЙ, ОСОБЕННО ЛОКАЛЬНЫХ, ЯВЛЯЕТСЯ ПЕРЕХВАТ ТРАФИКА, ИСПОЛЬЗУЮЩИЙ УЯЗВИМОСТИ В ДИНАМИЧЕСКИХ ПРОТОКОЛАХ МАРШРУТИЗАЦИИ. ПОПЫТАЕМСЯ РАЗОБРАТЬСЯ, КАК ЭТО ПРОИСХОДИТ В СЕТЯХ, ТАКИХ КАК RIP И IGRP, В КОТОРЫХ ИСПОЛЬЗУЕТСЯ АЛГОРИТМ МАРШРУТИЗАЦИИ ПО ВЕКТОРУ РАССТОЯНИЯ

[ИСХОДНЫЕ ДАННЫЕ]

Прежде чем переходить к теме взлома, рассмотрим несколько ситуаций, в которых атакующий может применить данные методы атак.

[ЦЕЛИ]

[ситуация 1] — естественно, взлом одного из пограничных маршрутизаторов сети через интернет. Инструментарий для продвижения взлома, который находится в руках у нападающего, достаточно ограничен, в первую очередь его ограничивают возможности самой системы, будь то маршрутизатор на Linux/BSD или Cisco. Первый вариант — самый выгодный для атакующего, так как позволяет задействовать во взломе множество утилит и сделать скомпрометированную машину бастионом для атаки. Во втором случае хакер ограничен набором команд IOS и должен искать альтернативные пути, в основном через открытие каналов доступа во внутреннюю сеть с машины атакующего или внешнее туннелирование трафика через GRE-туннели.

[ситуация 2] — используется локальное подключение в коммутатор. К примеру, «обиженный» сотрудник компании, чтобы добиться чего-то личного, вынашивает в себе мысль о взломе локальной сети, имеет для этого достаточно опыта и в конце концов решается. Около 70% всех взломов совершаются изнутри компаний, то есть ситуация с обиженным тружеником — совсем не исключение из правила. Если еще вспомнить о развитии беспроводной связи, то возможен и такой взлом: атакующий взламывает локалку или подсоединяется к ней через беспроводной шлюз, неправильно сконфигурированный кем-то, или устанавливает собственную точку доступа, подключенную к локальной сети.

[МЕТОД ИССЛЕДОВАНИЯ]

Наступил момент, когда в рутовом подчинении оказалась машина с ОС Linux, подсоединенная к ЛВС. И что делать? Не стоит мчаться напролом, не нужно опускаться до банального параллельного подбора администраторского логина на центральном сервере. Количество записей на лог-сервере кого-нибудь смутит, и, скорее всего, тебя быстро вычислят и «закроют». Если не заточат в места не столь отдаленные, то, как минимум, прогонят с взломанной машины.

Как правило, системные администраторы бдят защищенность локальной сети гораздо меньше, чем защищенность машин, непосредственно контактирующих с интернетом. Такие админы немного облегчают твою задачу: более-менее легко (в зависимости от топологии сети, типа используемого оборудования и количества хостов) ты сможешь обнаружить информацию, которая обитает в сети и пригодится в добывании доступа к другим машинам, к пользовательским аккаунтам и к интересным тебе данным.

[ТЕОРИЯ]

[RIP] — самый старый протокол маршрутизации. До сих пор используется часто, в основном благодаря тому, что понимать и конфигурировать его легко. На данный момент самая распространенная версия протокола — вторая. Среди всех ее нововведений и прелестей — поддержка аутентификации других маршрутизаторов, участвующих в домене маршрутизации, масок подсети произвольной длины. Также радует, что во второй версии учитывается заданная полоса пропускания для установления метрики пути. Среди недостатков отмечу высокое время конвергенции, проблему масштабирования и ограничение длины маршрута 15-ю узлами. Для обмена данными используется многоадресная рассылка по адресу 224.0.0.9.