Конспект

Конспект

· Перехват сеанса основан на злоупотреблении доверием участвующих в соединении сторон.

· Перехват сеанса описывается сценарием гонки: сможет ли злоумышленник получить пакет с ответом раньше легитимного сервера или клиента? Если у злоумышленника была возможность продумать план атаки, то в большинстве случаев ответ, вероятно, будет положительным. Для осуществления своих планов злоумышленнику потребуется инструментальное средство для наблюдения за запросами, позволяющее как можно быстрее сгенерировать ответ на запрос, который он хочет сфальсифицировать, и удалить легитимный ответ.

· Аномальные поведения (изменения в протоколе обмена, увеличение объема пересылаемых данных или кэша протокола разрешения адресов ARP) являются следствием предпринимаемых злоумышленником попыток перехвата сеанса, для обнаружения которых могут быть соответствующим образом сконфигурированы хосты или, возможно, системы обнаружения вторжения IDS.

· Злоумышленник может удаленным способом модифицировать таблицы маршрутизации для переадресации пакетов или размещения своей системы на пути пересылки пакетов между двумя хостами по выбранному маршруту.

· Злоумышленник может обмануть протокол управляющих сообщений в сети Интернет ICMP и переадресовать пакеты, убедив нужные ему хосты в наличии наилучшего маршрута пересылки данных, проходящего через его IP-адрес. Модификацией исходных текстов злоумышленник может добиться того, что операционные системы типа UNIX не будут уменьшать счетчик предписанного времени жизни пересылаемого пакета TTL и не посылать ICMP-сообщения о недостижимости адресата, что может иметь большое значение для уклонения от обнаружения средствами трассировки маршрута типа утилиты traceroute.

· При атаке на протокол разрешения адресов ARP во время выдачи машиной жертвы широковещательного запроса для определения МАС-адресов, соответствующих выделенным IP-адресам (возможно, заданному по умолчанию IP-адресу шлюза жертвы), все, что потребуется от злоумышленника, – это ответить раньше реально запрашиваемой машины.

· Программа Juggernaut, написанная редактором журнала «Phrack», была пионерской работой в области создания инструментальных средств снифинга и перехвата сеансов. Она обладает обширными функциональными возможностями и может обслуживать произвольные порты протокола TCP. Программа Juggernaut очень интересна, но ее разработка в настоящее время прекращена.

· Программа Hunt, написанная Паулем Краузом (Pavel Krauz), по своим функциональным возможностям схожа с программой Juggernaut, но в ней добавлены средства имитации соединения (спуфинга) по протоколу ARP; Ettercap – многоцелевая программа, используемая прежде всего для снифинга, захвата и регистрации трафика в коммутируемых локальных сетях LAN. Она поддерживает пассивный и активный анализы различных протоколов.

· SMBRelay – программа, написанная SirDystic cDc, которая позволяет перехватывать данные протокола блока серверных сообщений SMB, разрывая соединение клиента после его аутентификации и занимая существующий SMB-сеанс с тем же самым мандатом.

· Эксперименты с протоколом ARP и перехват сеанса TCP могут создавать излишний трафик в сети и помехи. Синхронизация и дублирование обмениваемых между хостами уведомлений ACK в перехваченном сеансе приводят к перегрузке сети уведомлениями ACK. Можно написать программу, которая бы наблюдала за ответами, вычисляла бы кэш-величину пакета и затем сохраняла ее на определенный срок времени. Получение пакета с приблизительно соответствующими характеристиками, но с отличающейся кэш-величиной свидетельствует о возможных проблемах в сети.

· Широкое использование шифрования является одним из самых простых способов укрепления защиты от многих сетевых атак перехвата сессии. SSH2 по своим функциональным возможностям может заменить Telnet, FTP, rlogin и rcp. Кроме того, можно туннелировать протоколы типа HTTP или X Windows поверх SSH2-соединения.

· Атаки типа MITM («человек (злоумышленник) посередине») являются, вероятно, наиболее эффективным типом атак, используемых сегодня злоумышленниками при перехвате зашифрованных протоколов и сессий типа SSH1 и SSL.