king eines de hacking. sniffers. tcpdump i ethereal ...acacha.org/~sergi/eineshacking.pdf ·...

65
Eines de Hacking Autor: Sergi Tur Badenas Seguretat en xarxes ICE-UPC ICE-UPC Eines de hacking Eines de hacking. Sniffers. Tcpdump i Eines de hacking. Sniffers. Tcpdump i Ethereal. Rootkits. Contrasenyes. Ethereal. Rootkits. Contrasenyes. Tècniques de força bruta Tècniques de força bruta

Upload: buidiep

Post on 05-Jul-2018

241 views

Category:

Documents


0 download

TRANSCRIPT

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Eines de hacking

Eines de hacking Sniffers Tcpdump i Eines de hacking Sniffers Tcpdump i Ethereal Rootkits Contrasenyes Ethereal Rootkits Contrasenyes

Tegravecniques de forccedila brutaTegravecniques de forccedila bruta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Eines de hacking

Cultura HackerCultura Hacker

Hacker Slang (argot hacker) Jargon File

Veurem algunes de les eines meacutes famoses o Veurem algunes de les eines meacutes famoses o importantsimportants

Hacking Tools a la wiki del cursHacking Tools a la wiki del curs

Hacker entusiasta dels ordinadors Comunament utilitzat en to pejoratiuHacking art informagravetica de construir i solucionar problemes que atempten contra la vulnerabilitat dels sistemes informagraveticsEthical hacking uacutes egravetic del hackingCracker persona que viola la seguretat dun sistema informagravetic de forma similar a com ho faria un hacker perograve que a diferegravencia daquest uacuteltim el cracker realitza la intrusioacute com a benefici personal o per a fer malLamer persona o producte que fer falta de maduresa sociabilitat o habilitats tegravecniques eacutes considerat un incompetent en una mategraveria o activitat especiacutefica

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols

Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers

Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns

Packet Sniffer a la wikipedia

Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

UtilitatsUtilitats

Monitoritzar luacutes de la xarxa io

realitzar estadiacutestiques

Analitzar problemes de xarxa

Detectar intrusions a la xarxa

Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)

Enginyeria inversa de protocols

Depurar aplicacions clientservidor o implementacions de protocols

Depurar problemes de connectivitat

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

tcpdump

Ethereal WireShark

DSniff

Ettercap

Kismet (xarxes wireless)

Ksniffer

Open Source Packet Sniffer (WindowsWincap)

NetworkMinner

Hi ha moltes solucions comercials que podeu consultar a la la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Eines de hacking

Cultura HackerCultura Hacker

Hacker Slang (argot hacker) Jargon File

Veurem algunes de les eines meacutes famoses o Veurem algunes de les eines meacutes famoses o importantsimportants

Hacking Tools a la wiki del cursHacking Tools a la wiki del curs

Hacker entusiasta dels ordinadors Comunament utilitzat en to pejoratiuHacking art informagravetica de construir i solucionar problemes que atempten contra la vulnerabilitat dels sistemes informagraveticsEthical hacking uacutes egravetic del hackingCracker persona que viola la seguretat dun sistema informagravetic de forma similar a com ho faria un hacker perograve que a diferegravencia daquest uacuteltim el cracker realitza la intrusioacute com a benefici personal o per a fer malLamer persona o producte que fer falta de maduresa sociabilitat o habilitats tegravecniques eacutes considerat un incompetent en una mategraveria o activitat especiacutefica

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols

Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers

Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns

Packet Sniffer a la wikipedia

Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

UtilitatsUtilitats

Monitoritzar luacutes de la xarxa io

realitzar estadiacutestiques

Analitzar problemes de xarxa

Detectar intrusions a la xarxa

Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)

Enginyeria inversa de protocols

Depurar aplicacions clientservidor o implementacions de protocols

Depurar problemes de connectivitat

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

tcpdump

Ethereal WireShark

DSniff

Ettercap

Kismet (xarxes wireless)

Ksniffer

Open Source Packet Sniffer (WindowsWincap)

NetworkMinner

Hi ha moltes solucions comercials que podeu consultar a la la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

Tambeacute coneguts com a Analitzadors de Xarxa o Analitzadors de protocols

Tipus de xarxesbull Ethernet sniffersbull Wireless sniffers

Durant la captura de paquets ofereixen eines per descodificar i analitzar els protocols i especificacions meacutes comuns

Packet Sniffer a la wikipedia

Eacutes un programari o sistema de maquinari que pot interceptar i enregistrar el tragravefic que circula per un segment de xarxa

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

UtilitatsUtilitats

Monitoritzar luacutes de la xarxa io

realitzar estadiacutestiques

Analitzar problemes de xarxa

Detectar intrusions a la xarxa

Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)

Enginyeria inversa de protocols

Depurar aplicacions clientservidor o implementacions de protocols

Depurar problemes de connectivitat

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

tcpdump

Ethereal WireShark

DSniff

Ettercap

Kismet (xarxes wireless)

Ksniffer

Open Source Packet Sniffer (WindowsWincap)

NetworkMinner

Hi ha moltes solucions comercials que podeu consultar a la la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

UtilitatsUtilitats

Monitoritzar luacutes de la xarxa io

realitzar estadiacutestiques

Analitzar problemes de xarxa

Detectar intrusions a la xarxa

Espiar la xarxa i obtenir informacioacute sensible (contrasenyes documents secrets etc)

Enginyeria inversa de protocols

Depurar aplicacions clientservidor o implementacions de protocols

Depurar problemes de connectivitat

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

tcpdump

Ethereal WireShark

DSniff

Ettercap

Kismet (xarxes wireless)

Ksniffer

Open Source Packet Sniffer (WindowsWincap)

NetworkMinner

Hi ha moltes solucions comercials que podeu consultar a la la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Packet Sniffers

tcpdump

Ethereal WireShark

DSniff

Ettercap

Kismet (xarxes wireless)

Ksniffer

Open Source Packet Sniffer (WindowsWincap)

NetworkMinner

Hi ha moltes solucions comercials que podeu consultar a la la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu

Eacutes el mode en que un node (ordinador dispositiu de comunicacions etc) connectat a una xarxa compartida captura tot el tragravefic que circula pel node amb

independegravencia de si el tragravefic eacutes per al node o no

El funcionament del mode promiscu depegraven molt de la tipologia (anell bus) i del tipus de xarxa (cablejada sense fils) del tipus de transmissioacute (unicast broadcast) i dels dispositius de xarxa utilitzats (HUB Switch)

No tots els dispositius de xarxa (targetes) ens permeten utilitzar el mode prosmiscu

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Mode promiscu Ifconfig

Com podem saber si som promiscus -)Com podem saber si som promiscus -)

Consultant les caracteriacutestiques de la nostra targeta de xarxa amb ifconfig

Ifconfig a la wiki del curs

$ ifconfig eth0 promisc$ ifconfig eth0eth0 Link encapEthernet HWaddr 0080C8F84A51 inet addr1921689935 Bcast19216899255 Mask2552552550 UP BROADCAST RUNNING PROMISC MULTICAST MTU1412 Metric1 RX packets190312 errors0 dropped0 overruns0 frame0 TX packets86955 errors0 dropped0 overruns0 carrier0 collisions0 txqueuelen100 RX bytes30701229 (292 Mb) TX bytes7878951 (75 Mb) Interrupt9 Base address0x5000

$ ip link show | grep eth02 eth0 ltBROADCASTMULTICASTPROMISCUP10000gt mtu 1500 qdisc pfifo_fast qlen 1000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)Nivell 1 TCPIP (Nivell fiacutesic 1 i denllaccedil 2 a OSI)

Famiacutelia destagravendards IEEE 802Famiacutelia destagravendards IEEE 802

8022 Capa LLC (Logical Link Control) Interfiacutecie comuna entre el nivell de xarxa i la famiacutelia de protocols

La resta de protocols defineixen el

nivell fiacutesic i el subnivell MACbull 8023 Ethernetbull 8024 Token Ringbull 80211 Wi-FIbull 80215 Bluetooth

NIVELL 3 XARXA

SUB NIVELL LLC

SUB NIVELL MAC

NIVELL 1 FIacuteSIC

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet

Nivell LLC (Logical Link control) Compartit per Nivell LLC (Logical Link control) Compartit per tots els protocols de la famiacuteliatots els protocols de la famiacutelia

Logravegica de reenviaments

Control de flux

Comprovacioacute derrors

Nivell MAC (Medium Acces Control)Nivell MAC (Medium Acces Control)

Control dacceacutes a medi compartits (cables en bus ragravedio etc)

No utilitzat en protocols punt a punt (no hi ha medi compartit)

Adreccedila MAC sistema adreccedilament de nivell 2 equivalent a les adreces IP al nivell 3

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC Conceptes

Segments de xarxaSegments de xarxa

Eacutes una porcioacute de xarxa separada de la resta per un dispositiu de xarxa com

bull Repetidorbull Bridge o Switchbull Router

Domini de colmiddotlisioacuteDomini de colmiddotlisioacute

Eacutes un segment logravegic de xarxa on els paquets poden colmiddotlisionar al ser enviats a un medi compartit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethernet Nivell MAC

Algorismes MACAlgorismes MAC

Aloha i Aloha Ranurat (desenvolupats per la Universitat de Hawai) Senvia un paquet i si hi ha colmiddotlisioacute es torna a enviar

CSMACD (Carrier sense multiple access with collision detection) Detecta si hi ha senyals utilitzant el medi i teacute un procediment en cas de colmiddotlisioacute

Antics sistemes Ethernet funcionaven amb coaxials en bus fiacutesic i logravegic

Actualment el problema de les colmiddotlisions estagrave meacutes limitat gragravecies als switches

Torna a ser un tema candent en xarxes wireless (laire eacutes un medi compartit)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Trama Ethernet

Origen Adreccedila MAC origen de la trama

Destiacute Adreccedila MAC destinacioacute de la trama

Tipus EtherType Tipus dethernet

Dades

CRC Checksum Control derrors

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switched LAN Hubs i Switchs

Les LANs connectades a switchs o HUBS tenen una Les LANs connectades a switchs o HUBS tenen una topologia fiacutesica destrellatopologia fiacutesica destrella

Topologia logravegicaTopologia logravegica

HUB mateix segment de xarxa (bus compartit) Treballa a nivell fiacutesic (mecagravenic) Dispositiu ldquotontordquo (dumb)

Switch sutilitza una base de dades per recordar les MACs (IPs) de cada port i es connecta de forma directa als ports dorigen i destinacioacute duna comunicacioacute Treballa a nivell denllaccedil (taula de MACS) Dispositiu intelmiddotligent

bull LAN Commutada Cada PC teacute el seu propi segment de xarxa no compartit

bull Els switches soacuten meacutes segurs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Switches

TipusTipus

Home Switches (no gestionats) Tiacutepics en entorns SoHo (Small Office Home Office)

Switches gestionats (Managed Switches)

bull Controlar el port de forma individual (onoff)bull Control de la velocitat del linkbull Prioritats de portsbull Filtratge MACbull Port Mirroring per tal de monitoritzar portsbull Altres Suport per SNMP VLAN Link Aggregation

Switches intelmiddotligents Realitzen tasques de forma automagravetica establir velocitats denllaccedil permetre connexions directes i creuades etc

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Network Taps

Soacuten dispositius de maquinari que permeten Soacuten dispositius de maquinari que permeten accedir a les dades que circulen per un cable accedir a les dades que circulen per un cable de xarxade xarxa

Tambeacute anomenat Test Acess Port o Test Access Point

Uacutetils per depurar errors

Hi ha sistemes meacutes escalables per

controlar la xarxa

Com construir el teu propi Network Tap

Network Tap a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

Eina de liacutenia de comandes

que permet visualitzar el tragravefic

de xarxa (Packet Sniffer)

Hi ha un ldquoportrdquo per a Windows (WinDump) basat en Wincap (port de libcap)

Cal ser superusuari (root) per utilitzar tcpdump (sudo) Activa automagraveticament el mode promiscu

Com gairebeacute el 100 danalitzadors de xarxa utilitza la llibreria libcap

bull Tcpdump a la wiki del cursbull Pagravegina oficialbull man tcpdump

Desenvolupador The Tcpdump teamOS gairebeacute totsLlicegravencia lliure (BSD)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

tcpdump

InstalmiddotlacioacuteInstalmiddotlacioacute

FiltresFiltres

Podem aplicar filtres segons lorigen o destinacioacute del paquet segons els protocol per magravequines per xarxes per ports

Activitat per parelles Provem de capturar pings

$ sudo apt-get install tcpdump

$ sudo tcpdump tcp and (port 22 or port 23)

$ sudo tcpdump -i lo

$ sudo tcpdump icmp

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

Exemple Captura dun pingExemple Captura dun ping

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocols no segurs (no xifrats)

Amb tcpdump podem comprovar la inseguretat Amb tcpdump podem comprovar la inseguretat dalguns protocols com p ex telnetdalguns protocols com p ex telnet

Instalmiddotleu telnetd i feu una connexioacute a un company

Executeu tcpdump i comproveu com el text viatja en clar

$ sudo apt-get install telnetd

$ telnet ip_maquina_company

$ sudo tcpdump -X port 23$ hola-bash hola command not found

0x0000 4510 0054 d3d8 4000 4006 e365 c0a8 0103 ETe 0x0010 c0a8 0102 0017 cca6 2241 5d60 2dca e78f A]`- 0x0020 8018 05a8 0437 0000 0101 080a 1a7c 399f 7|9 0x0030 0035 4475 2d62 6173 683a 2068 6f6c 613a 5Du-bashhola 0x0040 2063 6f6d 6d61 6e64 206e 6f74 2066 6f75 commandnotfou 0x0050 6e64 nd

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

TCPDUMP

UtilitatsUtilitats

Per depurar aplicacions que utilitzen la xarxa per comunicar-se Per exemple es pot utilitzar per comprovar el funcionament dun tallafocs

Per depurar la xarxa mateixa

Per comprovar quan la NIC estagrave transmetent o reben dades

Per capturar i llegir dades enviades per altres usuaris o ordinadors Un usuari que teacute el control dun encaminador pel qual circula tragravefic pot obtenir la informacioacute que no viatgi xifrada

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal (WireShark)

CaracteriacutestiquesCaracteriacutestiques

Ethereal eacutes un analitzador de protocols utilitzat per analitzar i solucionar problemes de xarxes de comunicacions

Eacutes similar a tcpdump perograve amb una interfiacutecie gragravefica i moltes opcions extres dorganitzacioacute i filtratge de la informacioacute

Com tcpdump eacutes un codi obert estagrave disponible per gairebeacute totes les plataformes (UNIXLINUX MAC OS i Windows)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

UtilitatsUtilitats

Anagravelisi i solucioacute de problemes en xarxes de comunicacions

Desenvolupament de software i protocols

Eina didagravectica per a leducacioacute que permet visualitzar el comportament de diferents protocols i veure els paquets i trames concrets que sutilitzen

Altres usos menys didagravectics (Sniffer capturar contrasenyes)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal Captura contrasenyes HTTP

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Exemple Captura paraula de pas webExemple Captura paraula de pas web

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ethereal

Paquets necessarisPaquets necessaris

ethereal

ReferegravenciesReferegravencies

man tcpdump

Article de la wikipedia

Pagravegina oficial de tcpdump

Altres enllaccedilosAltres enllaccedilos

WinDump

Article de la wikipedia sobre Paquet Sniffers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ARP eacutes un protocol a cavall entre el nivell de ARP eacutes un protocol a cavall entre el nivell de xarxa i el nivell denllaccedil (MAC)xarxa i el nivell denllaccedil (MAC)

Permet resoldre adreces MAC a partir dadreces IP

Sutilitza en xarxes LAN (nivell 2) per poder treballar amb adreces IP (nivell 3)

$ sudo tcpdump175138740533 arp who-has 19216812 tell mygateway1ar7175138740550 arp reply 19216812 is-at 00301bb7cdb6 (oui Unknown)

ARP REQUEST (who-has)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFF

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Protocol ARP

ExerciciExercici

Consultem la taula ARP

Executem alguna comanda que obligui a fer un broadcast de la xarxa (utilitzar totes les IPs)

Tornem a consultar la taula ARP i podrem comprovar com ja tenim assignades les adreces MAC a IPs de tots els PCs de la xarxa

$ arpAddress HWtype HWaddress Flags Mask Ifacemygateway1ar7 ether 0015E9CA34A5 C eth0

$ ping 1921681255 -b

$ sudo nmap 19216811-255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing (Enverinament ARP)

ARP Spoofing (farsa arp)ARP Spoofing (farsa arp)

Eacutes un atac empleat en xarxes Ethernet que permet

a un atacant interceptar trames duna xarxa LAN

Latacant pot fer tres tipus datacbull Atac passiu Les trames interceptades no soacuten modificades i

senvien als corresponents receptorsbull Atac actiu Pot modificar les trames injectant dadesbull Aturar el tragravefic Atac de denegacioacute de servei

Eacutes necessari executar latac des duna magravequina de dins la xarxa Ethernet i les magravequines que es poden atacar han de pertagravenyer al mateix segment de xarxa

bull ARP Spoofing a la wikipediabull Spoofing a la wikipedia

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP Spoofing

Com funcionaCom funciona

Enviant missatges AR falsos (fake frames)

Senvia un arp-reply fals associant la MAC de latacat a la IP de latacant Els paquets senvien a latacant en comptes de a latacat

bull Latacant pot escollir entre ser passiu (un cop llegides les trames les reenvia a latacat) o actiu (injectar o modificar dades abans de reenviar ndash Man in the Middle)

bull DoS atack (Deny of Service) Sassigna una IP no existent a la MAC de latacat o al seu gateway per defecte

ARP REQUEST (who-has ip-atacat)

BROADCAST MAC FFFFFFFFFFFF

ARP REPLY

BROADCAST MAC FFFFFFFFFFFFAtacant

Atacat

XARXALAN

gateway

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Es poden ldquosniffarrdquo switched LANS Es poden ldquosniffarrdquo switched LANS

Siacute Ettercap eacutes un packet sniffer per a switched LANs

Utilitza dos modes de treballbull Unified sniff (per defecte) Captura tots els paquets que passen

per una targeta de xarxa Reenvia els paquets a latacat amb ip_forwarding de nivell 3 (router)

bull Bridged sniff Dues targetes de xarxa Converteix la magravequina en un bridge (nivell 1) Meacutes difiacutecil de detectar

Atacs Man In The Middle

Un cop actiu ens mostra una llista de magravequines i connexions establertes i el seu estat

Teacute plugins que faciliten la tasca de ldquorecolmiddotlectarrdquo contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Eacutes la descripcioacute dun Ettercap un monstre del joc de rol Advanced Dungeons amp Dragons

Es va escollir per la seva similitud amb la paraula ethercap (ethernet capture) i perquegrave el monstre teacute un poderoacutes veriacute (ARP Poisoning)

ldquoEven if blessed with a feeble intelligence they are cruel and smart

The Lord Of The (Token)Ring (the fellowship of the packet)

One Ring to link them all One Ring to ping them one Ring to bring them all and in the darkness sniff them

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Funcions i caracteriacutestiquesFuncions i caracteriacutestiques

Suporta diferents protocols (inclograves protocols xifrats com SSH1 o HTTPSSSL) de forma activa i passiva

Permet injectar dades (p ex una comanda) en una connexioacute establerta i filtrar en temps real en mode MiTM (Man in The Middle Attack)

Plug-ins Plug-ins

Colmiddotlectors de paraules de pas Telnet FTP POP Rlogin SSH1 ICQ SMB MySQL HTTP NNTP X11 Napster IRC RIP BGP SOCKS 5 IMAP 4 VNC LDAP NFS SNMP Half-Life Quake3 MSN

OS fingerprint deteccioacute del sistema operatiu remot

Matar connexions establertes i filtrat i substitucioacute de paquets

Escagravenner de LAN hosts ports oberts serveis

Deteccioacute daltres enverinaments ARP a la xarxa

Port Stealing nou megravetode sense ARP-Spoofing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap Capturar tragravefic

Per parelles Dues magravequines (atacatatacant)Per parelles Dues magravequines (atacatatacant)

Per evitar problemes nomeacutes ataqueu una magravequina per parella Proveu de fer un telnet des de la magravequina atacada

Exemple pas a pas Captura contrasenyes TELNETExemple pas a pas Captura contrasenyes TELNET

$ sudo apt-get install telnetd$ sudo -i ettercap -G

Sniff-gtunified Sniffing-gteth0Hosts-gtScan for HostsHosts-gtHosts List-gtEliminar magravequines no volem atacarStart-gtStart SniffingMitm-gtARP Poisnoning (Sniff remote connections)View-gtConnections

$ telnet ip_maquina

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Capturar les trames ARP falses amb tcpdumpCapturar les trames ARP falses amb tcpdump

$ sudo arp -d 19216811$ sudo arp -d 19216813$ sudo arp -d 19216816$ ping 19216811$ ping 19216813$ ping 19216816

$ sudo tcpdump arp -n095440061879 arp who-has 19216811 tell 19216812095440062244 arp reply 19216811 is-at 0015e9ca34a5095458802487 arp who-has 19216813 tell 19216812095458802576 arp reply 19216813 is-at 0018f3fbfc4a095541012054 arp who-has 19216816 tell 19216812095541013671 arp reply 19216816 is-at 000e35292a48

Funcionament correcta Funcionament amb ettercap

bull Tothom utilitza la MAC de latacant

100311168233 arp reply 19216813 is-at 00301bb7cdb6100311168369 arp reply 19216816 is-at 00301bb7cdb6100311200758 arp reply 19216812 is-at 00301bb7cdb6100311200890 arp reply 19216816 is-at 00301bb7cdb6100311220871 arp reply 19216816 is-at 00301bb7cdb6100311221050 arp reply 19216813 is-at 00301bb7cdb6100311248938 arp reply 19216812 is-at 00301bb7cdb6100311249127 arp reply 19216813 is-at 00301bb7cdb6100311264841 arp reply 19216816 is-at 00301bb7cdb6100311264996 arp reply 19216812 is-at 00301bb7cdb6

Com funciona ettercap a la wiki del cursCom funciona ettercap a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Ettercap

Denegacioacute de serveiDenegacioacute de servei

Plugin dos_attack

ARP-REPLYS que

assignen una IP

incorrecta a la magravequina

atacada

DOS ettercap a la wiki del curs

$ sudo tcpdump arp -n101318926375 arp who-has 192168158 tell 19216816101319036821 arp reply 192168158 is-at 00301bb7cdb6101319039107 arp who-has 192168158 tell 19216812101319039270 arp reply 192168158 is-at 00301bb7cdb6101320039133 arp who-has 192168158 tell 19216812101320039189 arp reply 192168158 is-at 00301bb7cdb6101320956842 arp reply 19216813 is-at 00301bb7cdb6101320956863 arp reply 19216816 is-at 00301bb7cdb6

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ARP SPOOFING

DefensesDefenses

Utilitzar un sistema de taules ARP estagravetiques Difiacutecil de mantenir en xarxes grans

DHCP Snooping Amb DHCP el dispositiu de xarxa manteacute una llista de les adreces MC connectades a cada port (switchs gestionats o dalta gama)

arpwatch Programa que permet detectar quan hi ha arp-reply falsos i envia una notificacioacute per correu electrogravenic

RARP ARP invers

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Man in the middle attacks (Mitm)

Hi ha muacuteltiples formes daconseguir un MitmHi ha muacuteltiples formes daconseguir un Mitm

Latacant pot observar io modificar les dades de la comunicacioacute

bull eavesdropping observar el tragravefic (captura de contrasenyes) bull substitution attacklatacant pot sostreure la identitatbull denial-of-service (DOS) attackimpedir les comunicacionsbull phishing attacks obligar a latacant a aportar dades

personals (comptes bancaris nuacutemeros secrets)

Especialment uacutetil en sistemes de clau puacuteblica

Man In The Middle Atacks a la wiki del cursMan In The Middle Atacks a la wiki del curs

Eacutes un atac que permet a un atacant llegir modificar o inserir missatges a la comunicacioacute entre dues entitats sense que aquestes en siguin conscients

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

SSH i Man in The Middle

Primera connexioacute a un servidorPrimera connexioacute a un servidor

Man-in-the-middle warningMan-in-the-middle warning

SolucioacuteSolucioacute

$ ssh sergitur10022The authenticity of host tjener (10022) cant be establishedRSA key fingerprint is ab37e23f6f16275e9a02a1e19a347f69Are you sure you want to continue connecting (yesno)yespassword

$ ssh sergitur10022 WARNING REMOTE HOST IDENTIFICATION HAS CHANGED IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY Someone could be eavesdropping on you right now (man-in-the-middle attack) It is also possible that the RSA host key has just been changed The fingerprint for the RSA key sent by the remote host is f2921dda812ad7160a48f043201cf4b5 Please contact your system administrator Add correct host key in ~sshknown_hosts to get rid of this message Offending key in ~sshknown_hosts5 Password authentication is disabled to avoid man-in-the-middle attacks X11 forwarding is disabled to avoid man-in-the-middle attacks Permission denied (publickeypasswordkeyboard-interactive)

sed -i 5d ~sshknown_hosts

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Port Stealing (robo de puerto)

Es basa en enviar molts frames (unitats de dades del nivell 2 Es basa en enviar molts frames (unitats de dades del nivell 2 denllaccedil) amb ladreccedila MAC de la viacutectimadenllaccedil) amb ladreccedila MAC de la viacutectima

El resultat eacutes que el commutador (switch) creu que la viacutectima estagrave connectada al port de latacant

Quan latacant rep un paquet la destinacioacute del qual era la viacutectima latacant genera un AR-request preguntant per la IP de la viacutectima Quan la viacutectima respon el commutador torna a conegraveixer la MAC de la viacutectima i aleshores reenviar el paquet capturat a la viacutectima (modificat o sense modificar)

El proceacutes es repeteix periogravedicament La connexioacute de la viacutectima es degrada notablement i eacutes un atac fagravecil de detectar per un IDS

Luacutes de taules estagravetiques en els clients no resol el problema El mapeig estagravetic sha de fer al commutador (port security 8021x Nap o NAC)

Ettercap suporta Port Stealing

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP

Funcionament del protocolFuncionament del protocol

Servidor DHCP

Client DHCP DHCP-ACKNOWLEDGE

DHCP-RELEASE

DHCP-DISCOVER

BROADCAST 255255255255

Uacutes de la comunicacioacute

Assignament IP Adreccedila MACDinagravemicOferta de

configuracioacute Si laccepta ho ha de notificar

DHCP-OFFER

BROADCAST 255255255255

DHCP-REQUEST

BROADCAST 255255255255

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DHCP Spoofing

Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa Els paquets DHCP-REQUEST soacuten enviats a tota la xarxa en mode broadcast i per tant poden ser escoltats per en mode broadcast i per tant poden ser escoltats per tots els dispositius de la xarxa tots els dispositius de la xarxa

Un atacant pot aprofitar per respondre abans que el servidor de DHCP vagravelid

Latacant pot aprofitar per enviar informacioacute incorrecta al client Per exemple pot indicar-li a la magravequina que el gateway eacutes ell i capturar tot el tragravefic cap a Internet de la magravequina

Eacutes fagravecil respondre abans que els servidors de DHCP ja que aquests fan algunes verificacions abans de respondre al client

Aquests atacs soacuten fagravecils de detectar per un IDS quan es troben muacuteltiples respostes DHCP en una mateixa xarxa

Ettercap permet fer atacs DHCP

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

DNS spoofing

Latac consisteix en llanccedilar respostes falses de Latac consisteix en llanccedilar respostes falses de resolucioacute de DNS a les peticions de resolucioacute DNS de les resolucioacute de DNS a les peticions de resolucioacute DNS de les viacutectimesviacutectimes

Dos megravetodes

bull DNS ID Spoofing es basa en obtenir els identificadors de peticioacute de resolucioacute de DNS a traveacutes dalgun atac dsniffing Si latacant pot escoltar les peticions de DNS pot intentar contestar abans que el servidor real enganyar a la viacutectima i enviar la seva peticioacute on latacant desitgi

bull Cache poisoning (envenenamiento de la cache) similar a lanterior perograve dirigit als servidors de cache de DNS

Per aquesta raoacute els servidors de cache de DNS utilitzen identificadors aleatoris

Els IDS soacuten capaccedilos de detectar aquests atacs DNSSec tambeacute eacutes una solucioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

ICMP Redirect

Utilitza el paquet ICMP Redirect per fer-nos Utilitza el paquet ICMP Redirect per fer-nos passar pel gateway de la xarxa LANpassar pel gateway de la xarxa LAN

$ sudo tcpdump icmp -n tcpdump verbose output suppressed use -v or -vv for full protocol decodelistening on eth0 link-type EN10MB (Ethernet) capture size 96 bytes111827316196 IP 19216811 gt 19216812 ICMP redirect 21714915024 to host 19216812 length 36111827316250 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36111827388111 IP 19216811 gt 19216812 ICMP redirect 6324521321 to host 19216812 length 36

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

MAC Flooding

Objectiu desbordar la memograveria del switch a base de MACs Objectiu desbordar la memograveria del switch a base de MACs inventadesinventades

Els switchs tenen una taula de MAC amb una memograveria limitada Si aquesta taula es desborda alguns switchs passen a mode failopen i es transformen en HUBS

$ sudo tcpdump arp -n110701746056 arp who-has 0000 tell 0000110701750043 arp who-has 0000 tell 0000110701754050 arp who-has 0000 tell 0000110701758355 arp who-has 0000 tell 0000110701762106 arp who-has 0000 tell 0000110701766055 arp who-has 0000 tell 0000110701770044 arp who-has 0000 tell 0000110701774052 arp who-has 0000 tell 0000110701778046 arp who-has 0000 tell 0000110701782045 arp who-has 0000 tell 0000110701786079 arp who-has 0000 tell 0000

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Altres atacs Mitm

Existeixen muacuteltiples atacs MitmExisteixen muacuteltiples atacs Mitm

STP Mangling

ICMP redirection

IRDP spoofing

Route mangling

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Autenticacioacute Linux Contrasenyes

Usuari i contrasenya emmagatzemats en fitxers Usuari i contrasenya emmagatzemats en fitxers localslocals

etcpasswd Conteacute la informacioacute de les comptes dusuari (llegible per tots els usuaris)

etcshadow Conteacute les contrasenyes Nomeacutes llegible per root i el grup shadow

etcgroup Conteacute els grups i els usuaris que hi pertanyen

Autenticacioacute Linux a la wikiAutenticacioacute Linux a la wiki

pete3GJllg1o4152110090999997

petex10001000Peter Hernberg1-800-FOOBARhomepetebinbash

pastax103spagettifettucinilinguinevermicelli

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

Generador de contrasenyesGenerador de contrasenyes

Contrasenyes fluixes Contrasenyes fluixes

Nuacutemero de pin dates (naixement celebracions o altres) nomeacutes diacutegits no combinar nuacutemeros amb diacutegits o caragravecters estranys i contrasenyes curtes etc

Actualment es parla de Actualment es parla de passphrasepassphrase com a com a sistema meacutes segursistema meacutes segur

Contrasenyes a la wiki del curs

2005 un expert de Microsoft declara crec que la poliacutetica sobre paraules de pas hauria de ser escriure les contrasenyes en algun lloc per poder recordar-

les Jo tinc 68 contrasenyes diferents Si no em permeten escriure-les endevina quegrave fareacute doncs utilitzar sempre la mateixardquo

$ sudo apt-get install makepasswd$ makepasswdDnqTBW96

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Contrasenyes

RecomanacionsRecomanacions

Miacutenim 7 caragravecters de longitud

No utilitzeu paraules de diccionari o sequumlegravencies logravegiques (aaa555ccc 1234567890 etc)

Evitar utilitzar la mateixa contrasenya a tot arreu (evitar el PIN del mogravebil)

IdeesIdees

Escull una paraula coneguda i introdueix canvis (ordena-la al reveacutes reemplaccedila algun caragravecter per diacutegits treu vocals i afegeix algun caragravecter estrany usa majuacutescules etc)

Considera almenys utilitzar un caragravecter estrany

Aplica tot lanterior a frases fagravecils de recordar (llc1hlqnsdcuM)

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Forccedila Bruta

Liacutemits teogravericsLiacutemits teograverics

Creixement exponencial amb la longitud de la clau

Liacutemit de temps edat de lunivers 13x1010

Llei de Moore la potegravencia de processament de les magravequines eacutes doble aproximadament cada dos anys

Una clau de 128 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix duns 1013 anys

Una clau de 256 bits amb un sistema capaccedil de provar 1018 contrasenyes per segon requereix requereix de 3x1051 anys

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John the Ripper

Como va dir Jack lesbudellador anem per partsComo va dir Jack lesbudellador anem per partsEacutes una aplicacioacute de criptografia que aplica tegravecniques

de cerca fer forccedila bruta per desxifrar contrasenyes

Teacute capacitat per a trencar diferents algorismes de xifrat com DES SHA-1 i altres

Eina de Password Cracking perograve tambeacute eina dadministrador (permet comprovar que les contrasenyes dels usuaris soacuten suficientment bones)

Eacutes capaccedil de detectar automagraveticament el tipus de xifrat i a meacutes es pot personalitzar

Leina estagrave relacionada amb el projecte OpenWall John The Ripper a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

John The Ripper

Soacuten bones les nostres contrasenyes dusuari de sistema

Instalmiddotlar john the ripper i comprovar

Podem fer proves amb

Segons la teoria quines combinacions podriacuteem provar amb el temps que disposem

Consulteu la wiki del curs per veure meacutes exemples

Hi ha altres crackers com Cain i Abel per a Windows

$ sudo apt-get install john

Afegir usuaris amb contrasenyes fagravecils$ sudo adduser pep$ mkdir john$ cd john$ sudo unshadow etcpasswd etcshadow gt contrasenyes$ john --single contrasenyes $ john -wordfilecatala-wordlisttxt contrasenyes

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Vulnerabilitats relacionades amb contrasenyes

No nomeacutes hi ha contrasenyes a etcshadowNo nomeacutes hi ha contrasenyes a etcshadow

Tambeacute hi ha contrasenyes daltres aplicacions (bases de dades aplicacions web fitxers de configuracioacute)

Hi ha moltes formes dexplotar aquestes vulnerabilitats

bull Utilitzar Google per detectar magravequines

bull Usuaris de sistema sense permisos de root perograve amb acceacutes a fitxers

bull Magravequines amb administradors compartitsbull Contrasenyes escrites en fitxersbull Conegraveixer les aplicacions a atacar

Contrasenyes a la wikipedia

phpMyAdmin running on inurlmainphp

$ locate htaccess$ locate passwd$ locate htpasswd$ locate secret$ locate password$ locate contrasenya$ locate contrasentildea

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Lorigen del nom estagrave en un conjunt deines de Unix precompilades (ps netstat passwd cd) que fan les mateixes tasques que les comandes originals perograve que a meacutes permeten a un intruacutes mantenir un acceacutes de root sense que ladministrador real del sistema sagravepiga de la seva existegravencia

Actualment hi ha rootkits per a tots els sistemes operatius

Els rootkits soacuten considerats troians

bull Rootkits de kernel sintegren al kernel modificant el kernel amb un driver o mogravedul fals La seva deteccioacute eacutes meacutes complexa

bull Rootkits a nivell daplicacioacute reemplacen aplicacions executables originals per versions modificades

Un rootkit eacutes una aplicacioacute o conjunt daplicacions que tenen com a finalitat obtenir el control dun sistema remot de forma secreta

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Els rootkits eviten deixar cap rastre esborrant inicis de sessioacute (logins) processos arxius io registres (logs)

Alguns inclouen eines per interceptar dades de terminals connexions de xarxa (sniffers) o fins i tot interceptar el teclat (keylogger)

Solen incloure una porta del darrera (backdoor) que ajuden als intrusos a accedir al sistema

Sovint els rootkits sutilitzen per utilitzar la magravequina viacutectima com a base doperacions per llanccedilar atacs (com DoS o SPAM) a altres magravequines

Rootkits a la wiki del curs

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Rootkit

Rootkits conegutsRootkits coneguts

FU Rootkit

SuckIT

Adore

T0rn

Hacker Defender

Ambients Rootkit (ARK)

First 4 Internet XCP (Extended Copy Protection) DRM

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Deteccioacute de rootkits

Soacuten complicats de detectar Executar un detector des del sistema infectat no eacutes una tasca fiable

Sovint luacutenic sistema fiable eacutes accedir al sistema operatiu infectat des dun LIVE-CD Un rootkit inactiu no pot ocultar la seva presegravencia

La deteccioacute i eliminacioacute de rootkits eacutes una batalla permanent entre els creadors de rootkits i els programes de seguretat

Detectors de rootkitsbull chkrootkit (UNIXLinux) i rkhunter (UNIXLinux)bull Windows Blacklight (gratuito para uso personal)bull wwwantirootkitcom (WindowsUNIXLinux)bull RootkitRevealer (Windows)bull Altres aplicacions shareware

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Chkrootkit i Rkhunter

Instalmiddotlacioacute Instalmiddotlacioacute

ExecucioacuteExecucioacute

El fet de passar un detector amb egravexit no implica que no tinguem cap rootkit

La forma ideal de passar el rootkit eacutes sobre un sistema no actiu (P ex accedint des dun live CD)

$ sudo apt-get install rkhunter $ sudo apt-get install chkrootkik

$ sudo rkhunter -c

$ sudo chkrootkit

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Sony CD Rootkits

Nomeacutes ens ataquen els hackersNomeacutes ens ataquen els hackers

Sony CDs rootkitSony CDs rootkit

Durant el 2005 Sony BMG va vendre un segraverie de Cds amb un ldquorootkitrdquo incorporat

Els CDs instalmiddotlaven automagraveticament un sistema anticogravepia en les magravequines Windows

Van ser obligats a retirar-ho i a publicar un pegat a la seva pagravegina web

Llista de CDs amb el rootkid cd Sony

Meacutes informacioacute

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

IDS

Intrusion Detection SystemsIntrusion Detection Systems

La idea general de tots els IDS eacutes la mateixabull Crear una base de dades de tots els fitxers del sistema

guardar-la en un lloc segur i periogravedicament comprovar que no sha canviat cap fitxer sense el nostre coneixement

El problema eacutes mantenir aquests sistemes (quina fitxer controlar i quins no actualitzacions etc)

Hi ha altres sistemes basats en lanagravelisi del tragravefic de xarxa (SNORT)

Utilitzen les funcions criptogragravefiques de HASHbull Funcioacute criptogragravefica de HASH

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

PropietatsPropietats

El valor de hash eacutes un representacioacute uacutenica de lentrada original Petjada Digital (Digital Fingerprint)

Tambeacute anomenades funcions digest

Les meacutes conegudes soacuten MD5 i SHA-1 (al 2005 es van identificar debilitats a totes dues)

UtilitatsUtilitats

Comprovacioacute de la integritat

Identificacioacute digital

A criptografia una funcioacute de hash eacutes una transformacioacute que converteix una entrada qualsevol en un conjunt de caragravecters (String) de longitud fixa anomenat

valor de hash

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Funcioacute criptogragravefica HASH

md5summd5sum

Permet calcular el hash dun fitxer

Utilitzat per comprovar la integritat i la Utilitzat per comprovar la integritat i la validesa dun fitxer descarregat dInternetvalidesa dun fitxer descarregat dInternet

$ dpkg -S md5sum | grep bincoreutils usrbinmd5sum$ sudo apt-get install coreutils$ touch provaiso$ md5sum provaisod41d8cd98f00b204e9800998ecf8427e provaiso

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

debsums

Permet comprovar quins paquets debian han Permet comprovar quins paquets debian han sofert canvis des de la seva instalmiddotlacioacutesofert canvis des de la seva instalmiddotlacioacute

Instalmiddotlacioacute

Comprovacioacute

Podem saber quins

paquets no tenen

debsums amb

Altres utilitats (saber quins fitxers de configuracioacute hem modificat recuperacioacute dun sistema de dades corrupte etc)

$ sudo apt-get install debsums

$ sudo debsums -ce bind9etcbindnamedconfoptionsetcbindnamedconflocal

$ sudo debsums -l

$ sudo -i cd varcacheaptarchives apt-get --download-only --reinstall install `debsums -l` debsums --generate=keepnocheck deb

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Ein

es

de H

ack

ing

Autor Sergi Tur Badenas

Seguretat en xarxesICE-UPCICE-UPC

Tripwire

Intrusion Detection SystemIntrusion Detection System

Crea una base de dades dels fitxers del nostre sistema

Crear la base de dades

Comprovar sistema

Fitxer de configuracioacute

Hi ha altres IDS com AIDE o Integrit Hi ha altres IDS com AIDE o Integrit o samhaino samhain

$ sudo tripwire -m i

$ sudo tripwire -m c

etctripwiretwpoltxt

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca

Llic

egravenci

a C

reati

ve

Com

mon

s

Autor Sergi Tur Badenas

Seguretat en XarxesICE-UPCICE-UPC

httpcreativecommonsorglicensesby30deedca