Seguridad de Redes TIPOS DE ATAQUES Y VULNARABILIDADES Escenario

EIETR

Ataque por diccionario y fuerza bruta con John the Ripper John the Ripper usa un ataque por diccionario y fuerza bruta, tiene un diccionario con palabras, que pueden ser contraseas tpicas, y las va probando todas. Para cada palabra, la cifra y la compara con el hash a descifrar. Si coinciden, es que la palabra era la correcta. Esto funciona bien porque la mayor parte de las contraseas que usa la gente son palabras de diccionario. Pero John the Ripper tambin prueba con variaciones de estas palabras: les aade nmeros, signos, maysculas y minsculas, cambia letras, combina palabras, etc Si queremos utilizar este tipo de ataque debemos considerar la complejidad de la clave pues aquellas que contengan un gran numero de caracteres necesitaran mayor tiempo y recursos de procesamiento para ser descifrados. Adems ofrece el tpico sistema de fuerza bruta en el que se prueban todas las combinaciones posibles, sean palabras o no Para defendernos de este ataque lo recomendable seria usar contraseas largas que le den mayor complejidad al atacante para el descifrado pues como ya sabemos este prueba varias combinaciones posibles y pues al colocar este tipo de contraseas imaginemos cuanto tendr que demorarse en obtener nuestra clave EMPEZAMOS CON EL ATQUE En esta prctica voy a simular que he tenido acceso a un servidor en Centos como root y quiero conocer las claves de todos los usuarios del servidor. Para esto nos guiamos en el diagrama. 1. Primero voy a ver todo lo que hay en mi servidor de Centos. 1.1. Listo todos los usuarios en el directorio /home.

ESPOCH

Pgina 1

Seguridad de Redes

EIETR

1.2. Miro el contenido del archivo passwd.

1.3. El contenido del archivo shadow.

ESPOCH

Pgina 2

Seguridad de Redes

EIETR

2. Al saber la clave de root, veo si tengo ingreso con una conexin remota hacia el servidor, en este caso uso ssh.

3. Como si tengo acceso como supe usuario copio los archivos passwd y shadow con scp al directorio /home de mi backtrack.

4. Empezamos el ataque. 4.1. Ingresamos al directorio /john para poder ejecutar sus comandos.

4.2. Dentro de este directorio ejecutamos. /unshadow que me permite unir los archivos passwd y shadow copiados del servidor en Centos, en un solo archivo que se llamara claves.

4.3. A continuacin empezamos a descifrar las claves que se encuentran en el archivo claves con el comando. /John.

4.4. Al empezar la bsqueda vemos que ya aparecen las claves con el nombre de los usuarios. Dependiendo de la longitud de la clave este poda tardar varios minutos en incluso aos en descifrar. Pero como para cuestiones de prctica he colocado claves fciles como son los nombres de los mismos usuarios

ESPOCH

Pgina 3

Seguridad de Redes

EIETR

SMURF El ataque smurf es un ataque de denegacin de servicio que utiliza mensajes de ping al broadcast con spoofing para inundar al sistema atacado. En este tipo de ataque, el atacante enva grandes cantidades de trfico ICMP (ping) a la direccin de broadcast, todos ellos teniendo la direccin de origen cambiada (spoofing) a la direccin de la vctima. Si el dispositivo de ruteo enva el trfico a esas direcciones de broadcast lo hace en capa 2 donde est la funcin de broadcast, y la mayora de los host tomarn los mensajes ICMP de echo request y lo respondern, multiplicando el trfico por cada host de la subred.

EMPEZEMOS CON EL ATAQUE 1. Identificamos la ip de la victima, en mi caso es la 192.168.10.11 y ejecutamos el comando hping2 con las siguientes opciones:

a) Direccin de broadcast de la red b) --spoof: se usa esta opcin para enmascarar la direccin de origen pero asegurndose de que los paquetes lleguen a su direccin destino, y de que su direccin de origen real no sea dscubierta. c) A continuacin ingresamos la direccin de la victima. d) --icmp: especifica que los paquetes a ser usados van hacer peticiones icmp. e) C: indica el tipo de icmp a ser usado por defecto es el echo request. f) y: es una bandera tcp g) V: verbose que me da informacin detallada del ataque. h) d: habilita el protocolo seguro, es decir que los paquetes que se pierden en la transferencia sern reenviados. i) 56: indica el tamao del paquete. j) i: es el intervalo o frecuencia de envi de paquetes. ESPOCH Pgina 4

Seguridad de Redes

EIETR

k) u1: indica que es en microsegundos en este caso es un microsegundo. 2. Antes de ejecutar el ataque, en la maquina de la victima vemos promedio de tiempo de respuesta de peticiones icmp. Vemos que obtenemos tiempos de respuesta normales.

3. Ejecutamos el comando y empiezan las peticiones icmp.

4. Ahora regresamos a la maquina de la victima y vemos que el tiempo de sus peticiones de ping se ha incrementado.

5. Tambin observemos como se incrementa el rendimiento del procesador del atacante, al tener que responder a tantas peticiones.

ESPOCH

Pgina 5

Seguridad de Redes

EIETR

6. Ahora observemos como disminuye al terminar el ataque.

ARP-SPOOFING ARP Spoofing es enviar mensajes ARP falsos a la Ethernet, normalmente la finalidad es asociar la direccin MAC del atacante con la direccin IP de otro nodo (el nodo atacado), como por ejemplo la puerta de enlace predeterminada (gateway). Cualquier trfico dirigido a la direccin IP de ese nodo, ser errneamente enviado al atacante, en lugar de a su destino real. El atacante, puede entonces elegir, entre reenviar el trfico a la puerta de enlace predeterminada real (ataque pasivo o escucha), o modificar los datos antes de reenviarlos (ataque activo).

ESPOCH

Pgina 6

Seguridad de Redes

EIETR

EMPEZEMOS Para este caso nos guiaremos en el escenario propuesto al inicio del documento. En el ataque haremos que la maquina haga una peticin al servidor, en mi caso use el servidor de nagios que ya tenia instalado y el cual me pide una contrasea para poder ingresar, el objetivo de este ataque es capturar la peticin del cliente, y descubrir su usuario y contrasea usando wireshark. Para este caso usamos una combinacin de snnifing y arpspoofing para alcanzar nuestro objetivo. Adems como podemos darnos cuenta esta combinacin de ataque da como resultado otro que es el Man-in-the-middle, ya que primero la victima debe pasar por la maquina del atacante y este a su vez re direcciona el trafico hacia el servidor. 1. Primero identificamos los host que intervendrn, en este caso tengo la victima ser la maquina de Centos, el servidor (Nagios), y backtrack. 2. Hacer que backtrack trabaje como un router para pueda redirecionar el trafico hacia el servidor con el siguiente comando:

3. En backtrack ingreso el comando arpspoof para empezar el ataque con las siguientes opciones:

a) i: especifica la interface por donde se va a capturar que en mi caso es la eth4. b) t: indica el destino del paquete, en este caso la victima c) La siguiente direccin me indica donde se origina la peticin. 4. Para poder capturar tanto las peticiones y respuestas necesito colocar las direcciones en sentido opuesto y ejecutarlas las dos al mismo tiempo.

5. Ejecutamos las dos al mismo tiempo.

ESPOCH

Pgina 7

Seguridad de Redes

EIETR

6. Ahora empezamos a capturar el trfico con wireshark.

7. En la maquina de la victima, ingreso a la pagina web de Nagios con usuario y contrasea admin.

ESPOCH

Pgina 8

Seguridad de Redes

EIETR

8. Accedo a la pgina.

9. En backtrack detenemos la captura con wireshark y hacemos click en el paquete Get, all en la seccin de autoriacion podemos observar la clave y contrasea admin.

10. Ahora vemos que la tabla arp de la victima efectivamente fue envenenada.

ESPOCH

Pgina 9

Seguridad de Redes

EIETR

SYN Flooding Es tambien conocido como ataque DoS, la inundacin SYN enva un flujo de paquetes TCP/SYN muchas veces con la direccin de origen falsificada. Cada uno de los paquetes recibidos es tratado por el destino como una peticin de conexin, causando que el servidor intente establecer una conexin al responder con un paquete TCP/SYN-ACK y esperando el paquete de respuesta TCP/ACK. Sin embargo, debido a que la direccin de origen es falsa o la direccin IP real no ha solicitado la conexin, nunca llega la respuesta. Estos intentos de conexin consumen recursos en el servidor y copan el nmero de conexiones que se pueden establecer, reduciendo la disponibilidad del servidor para responder peticiones legtimas de conexin.

EMPEZEMOS 1. Identificamos la maquina a la cual vamos atacar. En mi caso es la 192.168.10.30. Ingresamos el comando hping3 con las siguientes opciones.

ESPOCH

Pgina 10

Seguridad de Redes

EIETR

a) 192.168.10.30: IP de la Victima b) --rand-source: IP ficticio o spoofed, se genera aleatorio, la idea es que no exista en la red, al no existir este no responde y as el atacante pasa inadvertido. c) --debug : Muestra cada intento d) -S : Indica el flag S o SYN para solicitar un servicio e) --destport : Indica el servicio requerido, es clave que este servicio este habilitado en la victima. f) --faster : Hace el intento de envo de SYN lo ms rpido que se pueda g) -w 2048: La ventana de envo mximo ser 2048 2. Ejecutamos el comando, podemos observar las direcciones ficticias que estn haciendo intentos de conexin.

3. Efectivamente al capturar y el trafico con wiresharck vemos como se inunda el trafico SYN.

4. Este tipo de ataque hace que la maquina sometida simpe este a la espera de un tercer paquete como respuesta lo que har, que no se preocupe por responder otra clase de peticiones.

ESPOCH

Pgina 11