В предыдущей статье я рассказывал про MITM-атаку в локальной сети. Сегодня продолжим эту тему и поговорим о сборе информации при пентесте и о том, какие возможные векторы атак можно использовать при начальном анализе трафика.
Еще по теме: Техники туннелирования при пентесте
Анализ трафика при пентесте с помощью Above на Kali Linux
L2 — это канальный уровень компьютерной сети. Здесь происходит коммутация кадров, сегментация сети. Атаки канального уровня могут быть довольно опасными, потому что, проникнув в этот сегмент, хакер способен нанести огромный урон. А попасть злоумышленник может либо если его туда пустили, либо если он обеспечил себя L2-туннелем.
Для первоначального анализа трафика мы будем использовать инструмент Above.
Above — автоматизирует поиск сетевых уязвимостей, предназначен для пентестеров, команд Red Team и специалистов по сетевой безопасности.
Установка Above на Kali Linux
Для установки клонируйте репозиторий и установите зависимиости:
|
1 |
pip3 install -r requirements.txt |
Пример использования (полное сканирование):
|
1 |
sudo python3 Above.py --interface eth0 --timeout 300 --fullscan --promisc-mode --resolve-mac |
Первое подключение
Уже после первого подключения к сетевому коммутатору злоумышленник может создать шум в сети. Например, автоматически активизировать NetworkManager с DHCP. Советую не торопиться с активным DHCP, убедитесь, что хотя бы интерфейс находится в состоянии UP.
Стоит также отметить, что DHCP автоматически отправляет имя устройства, получившего адрес. Вся эта будет сохраняться на DHCP-сервере. Это весьма нежелательная ситуация для пентестера, но передачу имени хоста по DHCP можно отключить в файле конфигурации dhcpd.conf:
|
1 2 3 4 |
sudo nano /etc/NetworkManager/system-connections/Wired\ connection\ 1 [ipv4] method=auto dhcp-send-hostname=false |
На скрине выше вы можете видеть передачу имени хоста перед конфигурацией NM.
На скрине выше сокрытие имени хоста системы после конфигурации NMС
Это позволяет скрыть имя хоста системы от DHCP-сервера, просто не передавая его через настройки NetworkManager.
Discovery-протоколы
Discovery-протоколы (протоколы обнаружения) требуются для обмена информацией между устройствами, но в как правило сетевые устройства настроены так, что DP-рассылка происходит практически во все порты коммутатора, что и уменьшает уровень сетевой безопасности. Злоумышленник, получив эти кадры, сможет получить чувствительную информацию об устройствах: тип прошивки, модель устройства, тип адресации.
Выше на скрине информация о CDP, полученная с помощью Above.
ARP/NBNS-разведка
При запуске ARP-сканирования ты должен иметь в виду, что можешь оказать большую нагрузку на оборудование, да и система Storm Control подаст сигнал тревоги, если ты превысишь порог допустимого широковещательного трафика. Когда запускаешь инструмент, проводящий ARP-сканирование, обязательно настрой его скорость, то есть число пакетов в секунду.
Распространенные инструменты для L2-сканирования — это netdiscover и nbtscan. Рекомендую внимательно изучить все настройки и стараться не запускать эти программы в режиме «Халк крушить».
Для netdiscover в качестве первичной разведки хорошо выбирать Passive ARP: инструмент в автономном режиме будет анализировать все ARP-кадры вокруг себя и выстраивать список хостов.
|
1 |
sudo netdiscover -i eth0 -p |
На скрине выше результат работы пассивного ARP
Обнаружение динамической маршрутизации
Протоколы динамической маршрутизации используются в каждой крупной корпоративной сети и при этом часто остаются без внимания с точки зрения безопасности.
DRP-протоколы используют мультикастовую рассылку, и, чтобы добраться до пакетов этих протоколов, атакующему необходим именно L2-доступ (либо физическое подключение к сети, либо L2-туннель после мероприятий пивотинга). Например, OSPF для мультикастовой рассылки использует адрес 224.0.0.5, а EIGRP — 224.0.0.10.
Чаще всего DRP-пакеты ходят в пользовательских сегментах банально из‑за того, что не заданы настройки пассивного интерфейса. Когда маршрутизатор анонсирует ту или иную сеть, в ту же сеть отправляются эти пакеты приветствия. Если атакующий доберется до них, то сможет подключиться к домену маршрутизации, узнать о существовании тех или иных подсетей, инъекции маршрутов и прочего.
Вы видите результат обнаружения EIGRP с помощью Above.
Собрав эту информацию, атакующий поймет, что в сети используется динамическая маршрутизация с небезопасными настройками. Тогда он может провести атаку на домен. Считай, еще один вектор для атаки изнутри сети.
Если этих протоколов нет в трафике, значит, в сети нет динамической маршрутизации либо настроены пассивные интерфейсы.
Обнаружение системы резервирования
FHRP обеспечивают отказоустойчивость на уровне маршрутизации. Основная идея заключается в том, чтобы объединить несколько маршрутизаторов в одну логическую группу. Внутри нее будет виртуальный маршрутизатор с виртуальным IP-адресом, который будет назначаться как адрес шлюза по умолчанию.
Домен FHRP может подвергнуться спуфинг‑атаке против Master-роутера, приоритет которого менее 255. Атакующий в таком случае сможет стать «человеком посередине» и перехватывать трафик всей сети, которую обслуживают FHRP-спикеры.
В класс FHRP входят следующие протоколы:
- HSRP (Hot Standby Redundancy Protocol);
- VRRP (Virtual Router Redundancy Protocol);
- GLBP (Gateway Load Balancing Protocol).
Как и в случае с DRP-пакетами, для обнаружения FHRP тоже нужен L2-доступ, и этот протокол тоже использует мультикастовую рассылку:
- HSRP: 224.0.0.2, для второй версии 224.0.0.102 (UDP/1985);
- VRRP: 224.0.0.18;
- GLBP: 224.0.0.102 (UDP/3222).
На скрине информация о присутствии HSRP.
На скрине выше информация о присутствии VRRP.
Таким образом атакующий получает информацию о системе резервирования маршрутизации и может провести атаку.
ПОЛЕЗНЫЕ ССЫЛКИ:
- ICMP-туннелирование при пентесте
- Создание VPN-туннеля на Windows и Linux
- Пентест Active Directory на машине HTB Intelligence
