 |
| ru |
 |
19-06-07 @ 09:18
TIMBER VOLF  
Типы и виды атак
|
Выкладываю теорию. Не обсуждая то что там с ОС и администрацией Бк. Помощь в данном экскурсе оказали очень квалифицированые люди. О них будет сказано сейчас. Так как это мои друзъя и сослуживцы. Огромное спасибо за подготовку этой статьи моей наставнице по административной линии в REAKKTOR Media Gmbh: Nicole "Chenoa" Montag , а так же начальнику отдела контрвзлома CRUSHER.
Начнём без лишних предисловий.
Прослушивание сети и продиводействие прослушиванию
Прослушивание сетей Ethernet является тривиальной задачей: для этого злоумышленник переводит интерфейс в так называемый режим прослушивания (promiscuous mode).
Бороться можно с помошью Antisniff.
Antisniff выполняется 3 вида тестов над узлами сети Ethernet.
Первый тест основан на особенностях обработки разными операционными системами кадров Ethernet, содержащих IP дейтаграммы, направленные в адресс тестируемого узла. Некоторые ОС(не будем тыкать в них пальцем), находясь в режиме прослушивания, передают дейтаграмму уровню IP, независимо от адресса назначения кадра Ethernet. Другие системы имеют особенность при обработке кадров с широковещательным адресом: в режиме прослушивания MAC-адресс ff:00:00:00:00:00 воспринимается драйвером интерфейса как широковещательный (а я то думал чего это было?). Послав ICMP "Echo" внутри "неверного" кадра, который при нормальных обстоятельствах должен быть проигнорирован, и получив на него ответ, Antisniff заключает, что интерфейс тестируемого узла находится в режиме прослушивания.
Второй тест основан на предложении, что программа прослушивания на хосте злоумышленника выполняет обратные DNS-преобразования дляIPадресов подслушаных программ. Antisniff фабрикует дейтаграммы с фиктивными IP адресами после чего прослушивает сеть на предмет DNS запросов о доменных именах для этих фиктивных адресов.
Тесты третьей группы - они не зависят от типа операционной системы. Зато требуют определённых навыков оператора или администратора сети. Этот тип теста не выдаёт однозначный результат и сильно перегружает сеть. Основан на том, что отфильтровывает кадры, направленные не на адресс интерфейса, с помощью аппаратно - программного обеспечения сетевой карты.
Разновидности DoS атак
Ping of death:
На атакуемый узел посылается фрагментированная дейтаграмма, размер которой после сборки превысит 65535 октетов. Напоминаю, что длина поля Fragment Offset заголовка IP дейтаграммы 13 бит (то есть максимум значение 8192), в измеряются смещения фрагментов в восьмёрках октетов (Всё просто для тех кто хоть раз сталкивался с ассемблером как я или просто с программированием). Если последний фрагмент сконструированной злоумышленником дейтаграммы имеет, например, смещение Fragment Offset=8190, а длину - 100, то его последний октет находится в собираемой дейтаграмме на позиции 8190*8+100=6562-(плюс 20 октетов минимум заголовка IP), что превышает максимальный разрешённый размер дейтаграммы. Хух.
Teardrop:
Атака использует ошибку, возникающую при подсчёте длины фрагмента во время сборки дейтаграммы. Например: фрагмент А имеет смещение 40(Fragment Offset=5) и длину 120, а другой фрагмент Б смещение 80 и длину 160, то есть фрагменты накладываются, что в общем разрешено. Модуль IP вычисляет длину той части фрагмента которая не укладывается:(80+160)-(40+120)=80, и копирует последние 80 октетов фрагмента Б в буфер сборки. Например злоумышленник сгенерировал фрагмент Б так, что тот имеет смещение 80 и длину 72. Вычисление перекрытия даёт отрицательный результат: (80+72)-(40+120)=-8 что с учётом представления отрицательных чисел в машинной арифметике интегрируется как 65528, и программа записывает 65528 байт в буфер сборки переполняя его и затирая соседние области памяти. Прям Overflow.
Land:
Атака заключается в посылке на атакуемый узел SYN-сегмента TCP, у которго IP-адрес и порт отправителя совпадают с адресом и портом получателя.
Истощение ресурсов сети или узла Smurf
принцип в генерации шквала ICMP Echo- ответов направленныех на атакуемый узел. Для этого направляются сфальсифицированые Echo-запросы от имени жертвы на широковещательные адреса нескольких сетей, которые и выступят в роли усилителей.
Атаку можно обнаружитьпутём анализа трафика на маршрутиризаторе или в сети.
Признаком является полная загрузка внешнего канала и сбои в работе хостов внутри сети. При обнаружении атаки следует определить адреса отправителей Echo Reply.
SYN flood
Распростанённая атака(она же Neptune) (сталкивалсяяяя помню).
Заключается в посылке злоумышленником SYN-сегментов TCP на атакуемый узел в большом количестве, чем тот мсожет одновременно обработать (это число не так уж и велико - обычно несколько десятков).
Цель атаки привеление узла сервера в состояние, когда он не сможет принимать запросы на открытие соединений. Однако некоторые недостаточно хорошо спроектированные системы (Николь это камень в чей то огород...ни будем показыват в чей) в результате атаки не только перестают открывать новые соединения, но и могут закрыть имеющиеся (установленные). В худшем случае зависают. (Стукни по экрану и отвиснет :))) Frozz)
Полной защиты от таких атак увы нет. Можно посоветовать использовать программное обеспечение позволяющее установить максимальное количество открываемых соединений, а так же список разрешённых клиентов. Необходимые порты должны быть открыти и находится в состоянии LISTEN, остальные сервисы следует отключить. И конечно же используйте маршрутиризаторы фирмы Cisco с функцией TCP Intercept.
UDP flood
Атака заключается в затоплении сети шквалом UDP-сообщений. Для генерации используются сервивы UDP, посылающие сообщение на любое сообщение. Пример:echo (port 7) и chargen (port 19). От имени узла А злоумышленник посылает сообщение узлу Б. Узел Б отвечает сообщением на порт 7 узла А, который возвращает сообщение на порт 19 узла Б, и так до бесконечности.
Ложные DHCP - клиенты
Атака основывается на создании большого числа сфальсифицированных запросов от различных несуществующих DHCP клиентов.
Для защиты от этой атаки можно попробовать поддерживать на DHCP - сервере таблицу соответствия MAC and IP адресов.Сервер должен выдавать IP адреса в соответствии с этой таблицей.
Сброс TCP соединения
Если узел А установил соединение с узлом Б, то злоумышленник может принудить узел А преждевременно закрыть это соединение. Для этого посылается узлу А от имени Б сфальсифицированный RST сегмент или ICMP сообщение.
Принуждение к передаче данных на заниженной скорости
Злоумышленник может вынудить модуль TCP узла А снизить скорость передачи данных узлу Б в TCP соединении следующими способами:
1) Отправка узлу А от имени промежуточного маршрутиризатора ложного сообщения ICMP Source Quench. RFC-1122утверждает, что уровень IP должен проинформировать модуль TCP о получении этого сообщения, а последний обязан отреагировать уменьшением скорости отправки данных. Причём рекомендуется чтобы модуль TCP перешёл в режим медленного старта как после срабатывания так и во время повторной передачи.
2) Отправка узлу А от имени узла Б ложных дубликатов TCP подтверждений. Таким образом злоумышленник вынудит узел А, во первых, включить алгоритм быстрой повторной передачи данных и посылать заново уже полученые узлом Б сегменты и , во вторых, перейти в режим устранения затора, уменьшив скорость отправки данных.
(01:05 TIMBER VOLF from [********]Ники это ужасы под утро об этом думать. Не это здорово, системы и всё такое. Нда кстати как там наши STORM боты? Эмм тебе понравилась страничка в проекте? 01:15 ******* from [TIMBER VOLF] Заюш хорошая страничка. Спасибо тебе большое. Влад убери этот ник он не для тебя ты не такой, ни какой асоциации с этим ником и тобой нет разве что аватарка. STORM живут, да, твой код чудо, работает везде. Приезжай как сможешь в Берлин или Хокенгхайм буду ждать) А теперь за работу, дальше)
02:35 [реальный мой ник] from [******] : Солнце а вы меня возъмёте назад если что? Я хочу в админы. На пол ставки хотябы для первых 3 месяцев. 02:40 [*****] from [мне] Влад ты же знаешь что возъмём. Ты же лучший специалист на Assembler и не только))) Оплата норм будет ты же знаешь. Нас сейчас 7 а надо 8 админов. Тебя солнце моё не хватает :( 03:05 [тут мой ник] from [*****]: Лап не переживай ты так. Я обязательно буду там. И так что мы имеем: CRUSHER теперь начальник контрвзлома. Ты у нас руководитель над админами как и всегда. Ну плюс координатор всего проекта. Вот мы атаки разбираем да. А тебе не кажется, что это ни кому не интересно? Я тут немножко поэкспериментировал как ты и говорила...пда стрельбище получилось. Под утро о таком только и думать. 04:01 [*****] from [TIMBER VOLF] Ты уже устал? не верю. ты же самый самый всегда был. Думаю просто ты много думаешь это тебе нельзя делать. Ну вот ты на практике вспомнил что такое взлом и защита. Поздравляю все станции рыдают от твоих действий:)) Крэй тебе в подарок:))) С тобой всегда интересно было и будет! Ну что родной я тоже спать! До коннекта! А теперь спать!)
Обзор будет дополнен .....
Над обзором работали:
© TIMBER VOLF
© Nicole "Chenoa" Montag - International Ceres Project Team
© CRUSHER - начальник отдела контрвзлома. CityPolice
Mood: а оно вам надо Music: секрет |
Total disscussion threads: 1 Pages: 1
«« « 1 » »»
Disscuss opened for regisered users only.
 |
|
| А у меня иногда пишет, что конфликт с другой айпи системой в сети...что это может значить? |
|
|
|
Disscuss opened for regisered users only.
Total disscussion threads: 1 Pages: 1
«« « 1 » »»
|
 |
