Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Eines de hacking
Eines de hacking Sniffers Tcpdump i Eines de hacking Sniffers Tcpdump i Ethereal Rootkits Contrasenyes Ethereal Rootkits Contrasenyes
Tegravecniques de forccedila brutaTegravecniques de forccedila bruta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Eines de hacking
Cultura HackerCultura Hacker
Hacker Slang (argot hacker) Jargon File
Veurem algunes de les eines meacutes famoses o Veurem algunes de les eines meacutes famoses o importantsimportants
Hacking Tools a la wiki del cursHacking Tools a la wiki del curs
Hacker entusiasta dels ordinadors Comunament utilitzat en to pejoratiuHacking art informagravetica de construir i solucionar problemes que atempten contra la vulnerabilitat dels sistemes informagraveticsEthical hacking uacutes egravetic del hackingCracker persona que viola la seguretat dun sistema informagravetic de forma similar a com ho faria un hacker perograve que a diferegravencia daquest uacuteltim el cracker realitza la intrusioacute com a benefici personal o per a fer malLamer persona o producte que fer falta de maduresa sociabilitat o habilitats tegravecniques eacutes considerat un incompetent en una mategraveria o activitat especiacutefica
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols
Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers
Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns
Packet Sniffer a la wikipedia
Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
UtilitatsUtilitats
Monitoritzar luacutes de la xarxa io
realitzar estadiacutestiques
Analitzar problemes de xarxa
Detectar intrusions a la xarxa
Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)
Enginyeria inversa de protocols
Depurar aplicacions clientservidor o implementacions de protocols
Depurar problemes de connectivitat
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
tcpdump
Ethereal WireShark
DSniff
Ettercap
Kismet (xarxes wireless)
Ksniffer
Open Source Packet Sniffer (WindowsWincap)
NetworkMinner
Hi ha moltes solucions comercials que podeu consultar a la la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Eines de hacking
Cultura HackerCultura Hacker
Hacker Slang (argot hacker) Jargon File
Veurem algunes de les eines meacutes famoses o Veurem algunes de les eines meacutes famoses o importantsimportants
Hacking Tools a la wiki del cursHacking Tools a la wiki del curs
Hacker entusiasta dels ordinadors Comunament utilitzat en to pejoratiuHacking art informagravetica de construir i solucionar problemes que atempten contra la vulnerabilitat dels sistemes informagraveticsEthical hacking uacutes egravetic del hackingCracker persona que viola la seguretat dun sistema informagravetic de forma similar a com ho faria un hacker perograve que a diferegravencia daquest uacuteltim el cracker realitza la intrusioacute com a benefici personal o per a fer malLamer persona o producte que fer falta de maduresa sociabilitat o habilitats tegravecniques eacutes considerat un incompetent en una mategraveria o activitat especiacutefica
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols
Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers
Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns
Packet Sniffer a la wikipedia
Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
UtilitatsUtilitats
Monitoritzar luacutes de la xarxa io
realitzar estadiacutestiques
Analitzar problemes de xarxa
Detectar intrusions a la xarxa
Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)
Enginyeria inversa de protocols
Depurar aplicacions clientservidor o implementacions de protocols
Depurar problemes de connectivitat
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
tcpdump
Ethereal WireShark
DSniff
Ettercap
Kismet (xarxes wireless)
Ksniffer
Open Source Packet Sniffer (WindowsWincap)
NetworkMinner
Hi ha moltes solucions comercials que podeu consultar a la la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols
Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers
Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns
Packet Sniffer a la wikipedia
Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
UtilitatsUtilitats
Monitoritzar luacutes de la xarxa io
realitzar estadiacutestiques
Analitzar problemes de xarxa
Detectar intrusions a la xarxa
Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)
Enginyeria inversa de protocols
Depurar aplicacions clientservidor o implementacions de protocols
Depurar problemes de connectivitat
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
tcpdump
Ethereal WireShark
DSniff
Ettercap
Kismet (xarxes wireless)
Ksniffer
Open Source Packet Sniffer (WindowsWincap)
NetworkMinner
Hi ha moltes solucions comercials que podeu consultar a la la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
UtilitatsUtilitats
Monitoritzar luacutes de la xarxa io
realitzar estadiacutestiques
Analitzar problemes de xarxa
Detectar intrusions a la xarxa
Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)
Enginyeria inversa de protocols
Depurar aplicacions clientservidor o implementacions de protocols
Depurar problemes de connectivitat
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
tcpdump
Ethereal WireShark
DSniff
Ettercap
Kismet (xarxes wireless)
Ksniffer
Open Source Packet Sniffer (WindowsWincap)
NetworkMinner
Hi ha moltes solucions comercials que podeu consultar a la la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Packet Sniffers
tcpdump
Ethereal WireShark
DSniff
Ettercap
Kismet (xarxes wireless)
Ksniffer
Open Source Packet Sniffer (WindowsWincap)
NetworkMinner
Hi ha moltes solucions comercials que podeu consultar a la la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu
Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb
independegravencia de si el tragravefic eacutes per al node o no
El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)
No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Mode promiscu Ifconfig
Com podem saber si som promiscus -)Com podem saber si som promiscus -)
Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig
Ifconfig a la wiki del curs
$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000
$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)
Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802
8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols
La resta de protocols defineixen el
nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth
NIVELL 3 XARXA
SUB NIVELL LLC
SUB NIVELL MAC
NIVELL 1 FIacuteSIC
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet
Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia
Logravegica de reenviaments
Control de flux
Comprovacioacute derrors
Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)
Control dacceacutes a medi compartits (cables en bus ragravedio etc)
No utilitzat en protocols punt a punt (no hi ha medi compartit)
Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC Conceptes
Segments de xarxaSegments de xarxa
Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com
bull Repetidorbull Bridge o Switchbull Router
Domini de colmiddotlisioacuteDomini de colmiddotlisioacute
Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethernet Nivell MAC
Algorismes MACAlgorismes MAC
Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar
CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute
Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic
Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches
Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Trama Ethernet
Origen Adreccedila MAC origen de la trama
Destiacute Adreccedila MAC destinacioacute de la trama
Tipus EtherType Tipus dethernet
Dades
CRC Checksum Control derrors
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switched LAN Hubs i Switchs
Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella
Topologia logravegicaTopologia logravegica
HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)
Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent
bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit
bull Els switches soacuten meacutes segurs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Switches
TipusTipus
Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)
Switches gestionats (Managed Switches)
bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation
Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Network Taps
Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa
Tambeacute anomenat Test Acess Port o Test Access Point
Uacutetils per depurar errors
Hi ha sistemes meacutes escalables per
controlar la xarxa
Com construir el teu propi Network Tap
Network Tap a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
Eina de liacutenia de comandes
que permet visualitzar el tragravefic
de xarxa (Packet Sniffer)
Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)
Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu
Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap
bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump
Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
tcpdump
InstalmiddotlacioacuteInstalmiddotlacioacute
FiltresFiltres
Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports
Activitat per parelles Provem de capturar pings
$ sudo apt-get install tcpdump
$ sudo tcpdump tcp and (port 22 or port 23)
$ sudo tcpdump -i lo
$ sudo tcpdump icmp
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
Exemple Captura dun pingExemple Captura dun ping
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocols no segurs (no xifrats)
Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet
Instalmiddotleu telnetd i feu una connexioacute a un company
Executeu tcpdump i comproveu com el text viatja en clar
$ sudo apt-get install telnetd
$ telnet ip_maquina_company
$ sudo tcpdump -X port 23$ hola-bash hola command not found
0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
TCPDUMP
UtilitatsUtilitats
Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs
Per depurar la xarxa mateixa
Per comprovar quan la NIC estagrave transmetent o reben dades
Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal (WireShark)
CaracteriacutestiquesCaracteriacutestiques
Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions
Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute
Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
UtilitatsUtilitats
Anagravelisi i solucioacute de problemes en xarxes de comunicacions
Desenvolupament de software i protocols
Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen
Altres usos menys didagravectics (Sniffer capturar contrasenyes)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal Captura contrasenyes HTTP
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Exemple Captura paraula de pas webExemple Captura paraula de pas web
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ethereal
Paquets necessarisPaquets necessaris
ethereal
ReferegravenciesReferegravencies
man tcpdump
Article de la wikipedia
Pagravegina oficial de tcpdump
Altres enllaccedilosAltres enllaccedilos
WinDump
Article de la wikipedia sobre Paquet Sniffers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)
Permet resoldre adreces MAC a partir dadreces IP
Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)
$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)
ARP REQUEST (who-has)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFF
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Protocol ARP
ExerciciExercici
Consultem la taula ARP
Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)
Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa
$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0
$ ping 1921681255 -b
$ sudo nmap 19216811-255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing (Enverinament ARP)
ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)
Eacutes un atac empleat en xarxes Ethernet que permet
a un atacant interceptar trames duna xarxa LAN
Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i
senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei
Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa
bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP Spoofing
Com funcionaCom funciona
Enviant missatges AR falsos (fake frames)
Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat
bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)
bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte
ARP REQUEST (who-has ip-atacat)
BROADCAST MAC FFFFFFFFFFFF
ARP REPLY
BROADCAST MAC FFFFFFFFFFFFAtacant
Atacat
XARXALAN
gateway
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS
Siacute Ettercap eacutes un packet sniffer per a switched LANs
Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen
per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)
bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar
Atacs Man In The Middle
Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat
Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons
Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)
ldquoEven if blessed with a feeble intelligence they are cruel and smart
The Lord Of The (Token)Ring (the fellowship of the packet)
One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Funcions i caracteriacutestiquesFuncions i caracteriacutestiques
Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva
Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)
Plug-ins Plug-ins
Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN
OS fingerprint deteccioacute del sistema operatiu remot
Matar connexions establertes i filtrat i substitucioacute de paquets
Escagravenner de LAN hosts ports oberts serveis
Deteccioacute daltres enverinaments ARP a la xarxa
Port Stealing nou megravetode sense ARP-Spoofing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap Capturar tragravefic
Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)
Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada
Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET
$ sudo apt-get install telnetd$ sudo -i ettercap -G
Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections
$ telnet ip_maquina
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump
$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816
$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48
Funcionament correcta Funcionament amb ettercap
bull Tothom utilitza la MAC de latacant
100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6
Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Ettercap
Denegacioacute de serveiDenegacioacute de servei
Plugin dos_attack
ARP-REPLYS que
assignen una IP
incorrecta a la magravequina
atacada
DOS ettercap a la wiki del curs
$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ARP SPOOFING
DefensesDefenses
Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans
DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)
arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic
RARP ARP invers
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Man in the middle attacks (Mitm)
Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm
Latacant pot observar io modificar les dades de la comunicacioacute
bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades
personals (comptes bancaris nuacutemeros secrets)
Especialment uacutetil en sistemes de clau puacuteblica
Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs
Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
SSH i Man in The Middle
Primera connexioacute a un servidorPrimera connexioacute a un servidor
Man-in-the-middle warningMan-in-the-middle warning
SolucioacuteSolucioacute
$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword
$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)
sed -i 5d ~sshknown_hosts
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Port Stealing (robo de puerto)
Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima
El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant
Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)
El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS
Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)
Ettercap suporta Port Stealing
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP
Funcionament del protocolFuncionament del protocol
Servidor DHCP
Client DHCP DHCP-ACKNOWLEDGE
DHCP-RELEASE
DHCP-DISCOVER
BROADCAST 255255255255
Uacutes de la comunicacioacute
Assignament IP Adreccedila MACDinagravemicOferta de
configuracioacute Si laccepta ho ha de notificar
DHCP-OFFER
BROADCAST 255255255255
DHCP-REQUEST
BROADCAST 255255255255
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DHCP Spoofing
Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa
Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid
Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina
Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client
Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa
Ettercap permet fer atacs DHCP
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
DNS spoofing
Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes
Dos megravetodes
bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi
bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS
Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris
Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
ICMP Redirect
Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN
$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
MAC Flooding
Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades
Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS
$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Altres atacs Mitm
Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm
STP Mangling
ICMP redirection
IRDP spoofing
Route mangling
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Autenticacioacute Linux Contrasenyes
Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals
etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)
etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow
etcgroup Conteacute els grups i els usuaris que hi pertanyen
Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki
pete3GJllg1o4152110090999997
petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash
pastax103spagettifettucinilinguinevermicelli
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
Generador de contrasenyesGenerador de contrasenyes
Contrasenyes fluixes Contrasenyes fluixes
Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc
Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur
Contrasenyes a la wiki del curs
2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-
les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo
$ sudo apt-get install makepasswd$ makepasswdDnqTBW96
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Contrasenyes
RecomanacionsRecomanacions
Miacutenim 7 caragravecters de longitud
No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)
Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)
IdeesIdees
Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)
Considera almenys utilitzar un caragravecter estrany
Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Forccedila Bruta
Liacutemits teogravericsLiacutemits teograverics
Creixement exponencial amb la longitud de la clau
Liacutemit de temps edat de lunivers 13x1010
Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys
Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys
Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John the Ripper
Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques
de cerca fer forccedila bruta per desxifrar contrasenyes
Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres
Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)
Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar
Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
John The Ripper
Soacuten bones les nostres contrasenyes dusuari de sistema
Instalmiddotlar john the ripper i comprovar
Podem fer proves amb
Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem
Consulteu la wiki del curs per veure meacutes exemples
Hi ha altres crackers com Cain i Abel per a Windows
$ sudo apt-get install john
Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Vulnerabilitats relacionades amb contrasenyes
No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow
Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)
Hi ha moltes formes dexplotar aquestes vulnerabilitats
bull Utilitzar Google per detectar magravequines
bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers
bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar
Contrasenyes a la wikipedia
phpMyAdmin running on inurlmainphp
$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia
Actualment hi ha rootkits per a tots els sistemes operatius
Els rootkits soacuten considerats troians
bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa
bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades
Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)
Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)
Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema
Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines
Rootkits a la wiki del curs
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Rootkit
Rootkits conegutsRootkits coneguts
FU Rootkit
SuckIT
Adore
T0rn
Hacker Defender
Ambients Rootkit (ARK)
First 4 Internet XCP (Extended Copy Protection) DRM
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Deteccioacute de rootkits
Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable
Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia
La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat
Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Chkrootkit i Rkhunter
Instalmiddotlacioacute Instalmiddotlacioacute
ExecucioacuteExecucioacute
El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit
La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)
$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik
$ sudo rkhunter -c
$ sudo chkrootkit
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Sony CD Rootkits
Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers
Sony CDs rootkitSony CDs rootkit
Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat
Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows
Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web
Llista de CDs amb el rootkid cd Sony
Meacutes informacioacute
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
IDS
Intrusion Detection SystemsIntrusion Detection Systems
La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema
guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement
El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)
Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)
Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
PropietatsPropietats
El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)
Tambeacute anomenades funcions digest
Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)
UtilitatsUtilitats
Comprovacioacute de la integritat
Identificacioacute digital
A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat
valor de hash
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Funcioacute criptogragravefica HASH
md5summd5sum
Permet calcular el hash dun fitxer
Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet
$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
debsums
Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute
Instalmiddotlacioacute
Comprovacioacute
Podem saber quins
paquets no tenen
debsums amb
Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)
$ sudo apt-get install debsums
$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal
$ sudo debsums -l
$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Ein
es
de H
ack
ing
Autor Sergi Tur Badenas
Seguretat en xarxesICE-UPCICE-UPC
Tripwire
Intrusion Detection SystemIntrusion Detection System
Crea una base de dades dels fitxers del nostre sistema
Crear la base de dades
Comprovar sistema
Fitxer de configuracioacute
Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain
$ sudo tripwire -m i
$ sudo tripwire -m c
etctripwiretwpoltxt
Llic
egravenci
a C
reati
ve
Com
mon
s
Autor Sergi Tur Badenas
Seguretat en XarxesICE-UPCICE-UPC
httpcreativecommonsorglicensesby30deedca
Top Related