Ciberwar: Spoofing

OK - moj odgovor black -outu je ovde:

http://www.elitesecurity.org/tema.php?TopicID=6847

Par drugarskih saveta pride:

Pre nego sto pocnes da pljujes nekoga prvo pokusaj da PROCITAS (stvarno) sta je napisano.

-Argumentuj i potkrepi literaturom, cinjenicama i faktima (a ne ispraznim pseudo/tehno isprdavanjem) svoje izlaganje/misljenje

- Postuj tudje misljenje i ne seri po svakome koji slucajno misli drugacije

-Cilj diskusija je razmena znanja i iskustava a ne propagiranje i uzdizanje sebe/ ponizavanje drugih da bi se izgledalo cool/impresionirali drugi i eventualno smuvala neka maca (koje ionako ne dolaze ovamo)

- Kad dajes odgovor ostani vezan za temu a ne da je koristis samo kao izgovor da bi baljezgao o svojoj velicini/znanju/umecu i pokazao svima ko si ti i sta si (to smo svi videli i svako ko ima bar tri ciste iz informatike ...)

- I za kraj probaj da ne duvas/cirkas/tripujes pre neko sto dodjes ovamo i pocnes da blamiras sebe - neki ljudi ovde se ipak malo razumeju u stvari ...

Ave ...

Potpis

Svi linkovi vode u nebo ...

Perun: Ovo Unix to Unix spoof si ti napisao?
Dio source-a (ASM) za izracunavanje checksuma je uzet iz libneta, ne?
Samo me zanima...

Kazes da postoji i ARP spoofing i da je ta tehnika nepouzdana. Pa zasto???
Cool je cinjenica da se pomocu te tehnike moze sniffati mrezni promet cak i na switchanim mrezama bez problema. Cak nije niti komplicirano za izvesti. Cijela svar se bazira na 'igranju' sa ARP tabelama na hostovima (s obzirom da su tabele dinamicke).
Napad se sprecava postavljanjem stalne ARP table:
arp -s ime_gatewaya njegova_MAC_adresa

Ti blockout, molim te *****; covjek si je dao truda i napravio je sta je napravio. Ako mislis da ti mozes napraviti bolje, napravi, pa onda pljuj po njemu.




uklonjene psovke

[Ovu poruku je menjao B o j a n dana 09.06.2002 u 11:11 PM GMT]

Potpis

Leon Juranic

Helou,
DownBload, vecina prilozenih .c fajlova je pozajmljena.

Sto se tice arp spoofinga tu si potpuno u pravu. Ali ako nije postavljena staticka arp tabela, kako onda to iskoristiti ? Da li je neko pisao na tu temu ? I ako napravimo paralelu izmedju TCP i ARP spoofinga , da li onda znaci da se na taj nacin moze ici i dalje ? nastavljanje ..... te "lazne" konekcije, da je tako nazovem. Hocu reci da li 'igranje' na arp nivou moze da dovede do neceg ozbiljnijeg ?

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Pa to se i moze iskoristiti samo ako nije postavljena staticka, odnosno permanentna. Neznam dal ima koji txt o tome, vjerojatno ima. U slucaju ARP spoofinga, moguce je (kao sto sam vec rekao) snifati sav mrezni promet i na switchanim mrezama, dok se prije mislilo da to nije moguce. Pitas moze li igranje na arp nivou dovesti do neceg ozbiljnijeg. Moze. Mozes pratiti sav mrezni promet neke lokalne mreze (sifrice i sl. :).

Potpis

Leon Juranic

Downbload,
ne znam kako ces pokupiti sifrice i sl? Mozes ih pokupiti u samo ako su u cleartextu, a ja bas ne znam tko salje takve stvari okolo u clear textu. Drugo moras biti na LANu da bi pratio sav mrezni promet, a postoji jednostavniji nacin pracenja cijelog prometa na mrezi. Ako vec imas pristup mrezi, probaj se ukpocati na backbone switch i radi mirror packeta portova, na kojima su serveri. Mozes to napraviti i bez da si fizicki prikopcan na backbone switch.

papak

Nesto bas i ne verujem u ovo ...
Naime, kako mislis da se konektujes na nesto, na sta nemas fizicku konekciju, ili barem daljinsku ... ???

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Sorry
nisam bas bio precizan. Obicno backbone switch je zatvoren negdje, ali ti se mozes prikopcati na workgroup switch. Ulogiras se na backbone switch i kreiras port mirroring kroz tunnel do workgroup switch na kojem si spojen.
Na svojem stroju vrtis neki network analyser i citas pakete. Kreiras par filtera za pakete koji te zanimaju, jer inace ti se moze desiti sa previse paketa se kopira na tvoj port, pa se desi dropanje paketa.

papak

p.s. u cicsovoj terminologiji se to zove span. Otidji na cisco.com i upisi span, pa procitaj malo vise o tome

Malo ko koristi ssh il tak nesto, telnet jos vodi u igri...

Potpis

Leon Juranic

onda samo mogu reci, jako zalosno. Kod kuce vrtim sve preko ssh, a poslovno vec godinama nisam vidio cleartext veze, osim za neke potpuno beznacajne stvari.

papak

papak, mnogo jasnije sada, hvala L;)

DownBload, ja ne znam u kojim se ti krugovima kreces, ali ja jos nisam naisao na produktivnu masinu koja koristi _iskljucivo_ telnetd. Mozda si ga malo preterao, nije sve tako crno ?

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Ajde, dobro, mozda sam ipak malo pretjerao, nije sve tak crno :)
Htio sam samo naglasiti sta se moze napraviti ranije navedenom tehnikom.
Pozdrav...

Potpis

Leon Juranic

Znam da je ovo stvarno sitno, ali naslov mi sve vreme bode oci: sta je tacno ciber? Da to nije nesto mozda kao cyber? Ili ako je fonetizovano "po srpski", zar onda ne bi bilo barem sajber?

Reljam, to su Perunove neke munje, oduvek CiberWar serije nose takvo ime ...

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Kako se odbraniti od spoofinga, ili, kako ga preduprediti?

Pitanje kojeg spoofinga
ARP ili IP.
Sto se tice ARP spoofinga on je moguc samo na LAN-u i takav spoofing mozes sprijeciti s konfiguracijom switch-a (svaki port na switchu ima listu dozvoljenih MAC adresa na tom portu, tako da ukradena MAC adresa, ako nije tocno spojena na tocno konfigirirani port, nema prolaza).
Sto se tice IP spoofinga, to je vec malo teze, jer IP spoofing se moze sprijeciti samo s source route filtriranjem. Zvaki router (najbolje edge router) se konfigurira da provjerava source adrese. Ako source adresa nije unutar subneta na interfacu s kojeg dolazi, znaci da paket ima spoofanu IP adresu i taj paket se dropa. IP spoofing se isto moze sprijeciti na krajnjem cilju ako se zna tocan IP range s kojeg dolazi promet, tako se moze filtrirati samo taj range IP adresa, ali to nije apsolutna zastita, jer ako spofane adrese dolaze iz dozvoljenog IP range-a, nema zastite. U stvari da budem sasvim precizan, moze se jos koristiti TTL kao filter atribute i donekle poboljsati efekt filtriranja, jer najcesce TTL iz poznatih odredista prometa je prilicno stabilna vrijednost.

Odlicna poruka, papak, 5 od mene...

Potpis

We look into the net, and the net is growing wide and wider.

Ja bih na ovo papkovo samo dodao još da se može uvesti dodatna paranoična mera: provera veličine headera.
U kombinaciji sa ovim gore, opasnost mogućeg ip spoofing-a se minimalizuje.


No, da se ne zavaravamo, i ttl i header size zaštita se mogu zaobići ...hmm ? L;)

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Tocno je. TTL i header size zastitia se mogu zaobici. Samo za to treba jako puno informacija. Network admin moze najbolje krearirati DoS napad protiv svoje mreze, jer zna karakteristike prometa. Ako se mreze promatra tjedan dana i na osnovu toga se napravi karakteristika mreze (karakteristicne IP adrese - subnets, postotak udjela TCP-a i UDP-a, karakteristicni ciljni portovi, TTL, hash paketa itd), moze se jako precizno konstruirati DoS napad koje ce se jako tesko zaustaviti. Jer svaki filter ce u principu napraviti veliku stetu 'dobrom' mreznom prometu.
Inace to je tema o kojoj se moze pisati i pricati.

Moja .02

L;)
I još treba znati da ukoliko se kompromituje barem jedan host unutar (trusted) zone, da je cela mreža ugrožena. Integritet mreže je jako bitan.

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo