лабораторная работа

КОНСТАНТИН ГАВРИЛЕНКО

Спецвыпуск: Хакер, номер #066, стр. 066-018-3

Выбирай инструмент по желанию, конкретной ситуации и в зависимости от времени, которое потратишь на компиляцию, или компилируемости утилиты на конкретной системе. Мы будем использовать sendip. Неопытный хакер, не знакомый с «внутренностями» TCP/IP, поначалу будет ошеломлен возможным количеством ее опций. Ничего. Почитай детали в документации — и все встанет на свои места, к тому же большинство значений можно оставлять по умолчанию.

Одно из самых популярных средств для взлома пароля аутентификации MD5 в RIP-пакетах — это Cain & Abel (C&A). Однако для взлома нужен не только хэш, но и остальные данные, находящиеся в пакете, что, соответственно, создает главную проблему атакующего. Однако вновь не отчаиваемся, так как решение элементарно: записываешь нужный пакет в pcap-формат, переносишь его в локальную сеть и затем проигрываешь утилитой tcpreplay (http://tcpreplay.sourceforge.net).

arhontus / # tcpdump -n -i eth0 host 192.168.66.35 and port 520 -s 0 -w /tmp/ripauth.pcap

arhontus / # tcpreplay -i eth0 /tmp/ripauth.pcap

Чтобы C&A работал правильно, интерфейс должен находиться в режиме прослушивания. После нахождения RIP-пакета он переносится в окно взлома и начинается атака путем перебора или по словарю. Правила стандартного перебора работают, но действительно длинные и сложные пароли ты не раскусишь, если только не будешь иметь дело с подконтрольным суперкомпьютером или сетью для распределенных вычислений.

[ПОДГОТОВКА ЭКСПЕРИМЕНТАЛЬНОЙ УСТАНОВКИ]

[энумерация RIP.] Не забудь добавить опцию «-v» для детального отображения содержимого пакета и опцию «-s 0» — для интерпретации именно всех данных, содержащихся в пакете, а не только в первых 68-ми байтах.

arhontus / # tcpdump -n -i eth0 host 224.0.0.9 -v -s 0

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

20:58:50.840710 IP (tos 0xc0, ttl 1, id 0, offset 0, flags [none], proto: UDP (17), length: 72) 192.168.69.36.520 > 224.0.0.9.520:

RIPv2, Response, length: 44, routes: 2

AFI: IPv4: 192.168.30.0/24, tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.7.0/24, tag 0x0000, metric: 1, next-hop: self

20:58:53.291412 IP (tos 0x0, ttl 1, id 0, offset 0, flags [DF], proto: UDP (17), length: 232) 192.168.69.100.520 > 224.0.0.9.520:

RIPv2, Response, length: 204, routes: 10

AFI: IPv4: 0.0.0.0/0 , tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.0.1/32, tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.1.0/24, tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.10.0/24, tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.11.0/24, tag 0x0000, metric: 1, next-hop: self

AFI: IPv4: 192.168.15.0/24, tag 0x0000, metric: 1, next-hop: 192.168.69.110

Как показал листинг, на атакуемой сети активно вещают два маршрутизатора: 192.168.69.100 и 192.168.69.36. Притом хост 192.168.69.36 уведомляет, что он может передавать пакеты в две подсети класса С (192.168.30.0/24 и 192.168.7.0/24). В свою очередь хост 192.168.69.100 сказал, что: 1) через него проходит стандартный маршрут 0.0.0.0/0; 2) он может передавать пакеты в некоторые сети (192.168.0.1/32, 192.168.1.0/24, 192.168.10.0/24 и 192.168.11.0/24); 3) пакеты, адресованные в сеть 192.168.15.0/24, должны адресоваться через маршрутизатор 192.168.69.110. Заметь, что маршрут в сеть 192.168.15.0/24 идет через другой хост, что может означать одно из двух: 1) маршрут прописан статически; 2) маршрутизатор 192.168.69.110 вручную настроен на оповещение только одного соседа.