LABORATORIO DE TELEMATICA

PRACTICA 1

CARLOS JAVIER PEREZ MARIN

COD. 16076232

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

ESCUELA DE CIENCIAS BASICAS, TECNOLOGIAS E INGENIERIAS

BOGOTA, 09 DE MAYO DE 2015

INTRODUCCION

En este laboratorio vamos a verificar de forma prctica como se ejecuta un ataque

de spoofing a un equipo de una red. Este tipo de ataques de suplantacin causan

gran impacto en una red, en el caso de que esta no tenga configurada seguridad

perimetral con firewall o algn otro mecanismo para evitar que este tipo de ataque

tenga xito.

OBJETIVOS

- Verificar de forma prctica como se ejecuta un ataque de spoofing mediante

el uso de la herramienta Backtrack

- Conocer cmo funciona arp en las redes de comunicaciones y como trabajan

los ataques por medio de envenenamiento de la tabla arp

- Establecer posibles soluciones a nivel de seguridad para evitar este tipo de

ataques.

MARCO TEORICO

Para este laboratorio, se deben conocer las bases tericas del proceso de spoofing

y las diferentes formas de realizar este tipo de ataques sobre todo en este caso del

laboratorio que estamos realizando, centrndonos en el arp spoofing.

Tcnicamente, el Spoofing, en trminos de seguridad informtica hace referencia al uso de tcnicas de suplantacin de identidad es decir, una maquina atacante realiza un procedimiento para suplantar el origen de los paquetes haciendo que la vctima piense que estos son de un host de confianza o autorizado para evitar la vctima lo detecte. Un ejemplo de esto, es cuando se intenta una comunicacin con un determinado host, la direccin de ese host ocupa un lugar determinado en la trama de datos enviada a travs de la red, al igual que nuestra propia direccin tambin ocupa otra posicin determinada, si se logra manipular la informacin de ese lugar, se puede suplantar el origen de datos y hacer creer al host destino que somos quien alguien diferente en la red.

Para realizar un ataque de spoofing entran en juego tres actores principales:

Un atacante, una vctima, y un sistema suplantado que tiene cierta relacin con la vctima.

Para que el host atacante pueda conseguir su objetivo necesita por un lado establecer una comunicacin suplantada con su objetivo (en este caso la red o sistema), y por otro evitar que el equipo victima interfiera en el ataque.

Por definicin, el protocolo TCP tiene una fiabilidad buena, es orientado a conexin, con control y correccin de errores, etc. Sin embargo no quiere decir que sea

seguro, ya que es vulnerable al llamado TCPSpoofing, de forma que un host mal intencionado asume la personalidad de otro y establece una comunicacin falsa con otro.

Para ejemplificar, en el caso de que se quiera realizar un proceso de spoofing a nivel de TCP, se debe

Manipular la MAC > ARP Spoofing Manipular la IP > IPSpoofing Manipular la conexin TCP > TCP Spoofing

Vamos a hablar de los dos principales ataques a nivel de spoofing que se dan

IP-SPOOFING

Consiste en sustituir la direccin IP origen de un paquete TCP/IP por otra direccin IP a la cual se desea suplantar. Esto se consigue generalmente gracias a programas destinados a ello y puede ser usado para cualquier protocolo dentro de TCP/IP como ICMP, UDP o TCP. Hay que tener en cuenta que las respuestas del host que reciba los paquetes irn dirigidas a la IP falsificada. Por ejemplo si enviamos un ping (paquete ICMP echo request) spoofeado, la respuesta ser recibida por el host al que pertenece la IP legalmente. Este tipo de spoofing unido al uso de peticiones broadcast a diferentes redes es usado en un tipo de ataque de flood conocido como smurf ataque. Para poder realizar IP SPOOFING en sesiones TCP, se debe tener en cuenta el comportamiento de dicho protocolo con el envo de paquetes SYN y ACK con su ISN especfico y teniendo en cuenta que el propietario real de la IP podra (si no se le impide de alguna manera) cortar la conexin en cualquier momento al recibir paquetes sin haberlos solicitado. Tambin hay que tener en cuenta que los routers actuales no admiten el envo de paquetes con IP origen no perteneciente a una de las redes que administra (los paquetes spoofeados no sobrepasarn el router)

Algunos tipos de ataques:

NonBlind Spoofing: Blind Spoofing Man In the Middle Attack: Ataque de Negacin de Servicio (DoS

ARP-SPOOFING

El ARP Spoofing es la suplantacin de identidad por falsificacin de tabla ARP. Se trata de la construccin de tramas de solicitud y respuesta ARP modificadas con el

objetivo de falsear la tabla ARP (relacin IPMAC) de una vctima y forzarla a que enve los paquetes a un host atacante en lugar de hacerlo a su destino legtimo. Normalmente la finalidad es asociar la direccin MAC del atacante con la direccin IP de otro nodo (el nodo atacado), como por ejemplo la puerta de enlace

predeterminada (Gateway). Cualquier trfico dirigido a la direccin IP de ese nodo, ser errneamente enviado al atacante, en lugar de a su destino real.

El atacante, puede entonces elegir, entre reenviar el trfico a la puerta de enlace predeterminada real (ataque pasivo o escucha), o modificar los datos antes de reenviarlos (ataque activo). El atacante puede incluso lanzar un ataque de tipo DoS (Denegacin de Servicio) contra una vctima, asociando una direccin MAC inexistente con la direccin IP de la puerta de enlace predeterminada de la vctima. Explicndolo de una manera ms sencilla: El protocolo Ethernet trabaja mediante direcciones MAC, no mediante direcciones IP. ARP es el protocolo encargado de traducir direcciones IP a direcciones MAC para que la comunicacin pueda establecerse; para ello cuando un host quiere comunicarse con una IP emite una

trama ARPRequest a la direccin de Broadcast pidiendo la MAC del host poseedor la IP con la que desea comunicarse. El ordenador con la IP solicitada responde con

un ARPReply indicando su MAC. Los Switches y los hosts guardan una tabla local con la relacin IPMAC llamada tabla ARP. Dicha tabla ARP puede ser falseada por un ordenador atacante que emita tramas ARPREPLY indicando su MAC como destino vlido para una IP especfica, como por ejemplo la de un router, de esta manera la informacin dirigida al router pasara por el ordenador atacante quien podr esnifar dicha informacin y redirigirla si as lo desea. El protocolo ARP trabaja a nivel de enlace de datos de OSI, por lo que esta tcnica slo puede ser utilizada en redes LAN.

DESARROLLO

La primera prueba que se realiza es la verificacin de las IP de los dos equipos,

tanto atacante como host vctima.

En este caso tenemos dos equipos as:

Equipo IP

Host Atacante (Backtrack)

172.17.19.41

Host Victima (Windows 7)

172.17.19.23

Ahora procedemos a hacer pruebas de conectividad entre una maquina a otra,

utilizando el comando ping en los dos equipos.

Desde la victima hacia el host atacante

Desde el host atacante al host victima

Para fines de que nuestro ataque sea exitoso, ejecutamos el comando ip_forward

con el fin de dejar pasar el trfico a travs de nuestro equipo atacante.

Procedemos a utilizar la herramienta arpspoof con el fin de hacer creer a la maquina

victima, en este caso la maquina en Windows, que el gateway de la red

(172.17.19.1) es el equipo atacante. Esto trabaja a nivel de las MAC de los equipos.

El proposito de este comando inicial es cambiar en la Tabla ARP de la victima, el

valor de la MAC para el gateway.

Ahora ejecutamos el comando de forma inversa, para hacer creer al Gateway de la

red (172.17.19.1) que el equipo atacante es el equipo vctima, es decir que el equipo

atacante tiene la IP 172.17.19.23.

Una vez hecho esto, podemos empezar a verificar como est pasando el trfico a

travs de nuestro equipo atacante.

Para este caso, utilizamos la herramienta driftnet. De igual manera se podra

verificar el trfico generado a travs de la herramienta tcpdump con el fin de capturar

el trfico del usuario.

CONCLUSIONES

- Se observa en el laboratorio, la forma como trabaja el spoofing a nivel de arp,

realizando suplantacin de la MAC del equipo vctima.

- Las protecciones a nivel de firewall estableciendo relaciones de confianza

solo con redes seguras y controladas en nuestro entorno minimizan los

riesgos de xito de ataques como los que se mencionan en este laboratorio

- Es importante establecer protocolos rutinarios de auditoria en las redes con

el fin de detectar anomalas en las Tablas MAC que permitan mostrar si hay

algn ataque en proceso.

BIBLIOGRAFIA

http://www.securesphere.net/download/papers/dnsspoof.htm

http://www.criptored.upm.es/guiateoria/gt_m248g.htm

http://umeet.uninet.edu/umeet2001/talk/4-12-2001/ismael.html

http://en.wikipedia.org/wiki/E-mail_spoofing

http://searchsecurity.techtarget.com/sDefinition/0,,sid14_gci840262,00.html