Актуально Атаки на сетевое оборудование с Kali Linux + рекомендации по защите.

Атакуем CISCO маршрутизатор

В состав Kali Linux входит несколько инструментов, которые можно использовать для аудита оборудования CISCO. Список можно посмотреть в разделе Vulnerability Analysis — Cisco Tools:

http://telegra.ph/file/8a4bba7ba8b4e8f66f775.png
Cisco Audit Tool или CAT

Используется для брутфорса пароля при выключенном режиме aaa-mode, брутфорса SNMP community-строк ипроверки на уязвимость https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-19981014-ios-hist



Пример использования:

CAT -h 192.168.1.209 -w /root/cisco/wordlist/snmpcommunities -a /root/cisco/wordlist/password_list -i

http://telegra.ph/file/08db850ada86417cb4af9.png
Cisco Global Exploiter или CGE

Используется для экслпутации известных уязвимостей. Нам доступно 14 атак:

http://telegra.ph/file/a0733a33f9549b19edcb7.png
Пример использования:

cge.pl 192.168.1.201 3

http://telegra.ph/file/cc03a7d4fb3eb4c077262.png
cisco-ocs

Инструмент для автоматизации поиска устройств со стандартными значениями пароля для telnet и режима enable, который может искать устройства в диапазоне адресов. Может использоваться при сканировании больших сетей.

Пример использования:

cisco-ocs 192.168.1.207 192.168.1.209

http://telegra.ph/file/50764e068b93b8df3cf04.png
cisco-torch

Многофункциональный сканер уязвимостей для оборудования Cisco. Может сканировать несколько IP адресов за раз, подгружая из текстового файла. Запускать cisco-torch в Kali Linux следует, находясь в рабочей директории /usr/share/cisco-torch.



Пример использования:

Поиск доступных интерфейсов и протоколов и определение типа оборудования.

cisco-torch -A 192.168.1.201

http://telegra.ph/file/51fafabf256f1e5afbaad.png
Может использоваться для брутфорса паролей и SNMP community-строк.

cisco-torch -s -b 192.168.1.209

Для использования своего словаря, его нужно поместить в /usr/share/cisco-torch вместо файла password.txt

http://telegra.ph/file/0ef541841e0cee535eafd.png
copy-router-config.pl и merge-copy-config.pl

Инструменты для загрузки текущей конфигурации маршрутизатора cisco при известной community-строке на свой tftp-сервер. В дальнейшем можно модифицировать конфигурацию и снова загрузить на сервер.



Пример использования:

copy-router-config.pl 192.168.1.201 192.168.1.3 private



Для автоматизации подобной атаки, где нас интересует только загрузка конфигурации на свой TFTP-сервер лучше воспользоваться модулем Metasploit auxiliary/scanner/snmp/cisco_config_tftp



Или NSE скриптом https://nmap.org/nsedoc/scripts/snmp-ios-config.html.

Атакуем L2 протоколы

http://telegra.ph/file/d5f862b3dd3ead24ba665.png
Yersinia — многофункциональный инструмент для атак на протоколы L2 (Data Link) уровня OSI.

Умеет проводить атаки на DHCP, STP, CDP, DTP, HSRP и другие.

Работать с Yersinia можно в нескольких режимах:

Запуск в режиме сервера и управление при помощи команд, похожих на cisco cli.

yersinia -D

telnet 127.0.0.1 12000



Логин и пароль root/root

Пароль для перехода в режим enable – tomac



1. Запуск в интерактивном режиме

yersinia -I

http://telegra.ph/file/de2a74ea560046f798789.png
Опции управления доступны по нажатии на клавишу h:

http://telegra.ph/file/476fb0091fcfe7d1136a3.png
Графический интерфейс GTK

http://telegra.ph/file/b7232300c1aa55407eec2.png
Графический интерфейс может работать нестабильно. В режиме сервера не поддерживает некоторые виды атак, вроде DHCP Rogue server. Так что, основным режимом запуска можно считать интерактивный режим.



Атакуем DHCP сервер

В качестве примера продемонстрируем атаку на переполнение пула IP-адресов DHCP сервера. Данная атака может быть использована для выведения из строя корпоративного DHCP сервера и последующая его замещение поддельным, конфигудрация которого настроена таким образом, что весь трафик новых клиентов будет проходить через хост атакующего. Таким образом будет проведена одна из атак MitM.

На стороне атакующего можно выполнить скрипт nmap для обнаружения DHCP сервера в локальной сети.

nmap -n --script=broadcast-dhcp-discover

http://telegra.ph/file/8f76acdac68df3e901174.png
Теперь запускаем Yersinia в интерактивном режиме и переходим в режим DHCP выбрав его нажатием клавиши g.

http://telegra.ph/file/c2df9bec57ad86985ce15.png
Теперь в этом режиме будут видны все DHCP пакеты, полученные Yersinia.

Проверим список выданных адресов DHCP сервера до атаки:

http://telegra.ph/file/720a7fbddce9350ae8bf0.png
Yersinia показывает DHCP пакеты, выловленные из сети:

http://telegra.ph/file/ff17b08ae3d119804ec7d.png
Если выбрать пакет и нажать сочетание клавиш Shift+L то можно затем при помощи атаки RAW пересылать этот пакет в сеть, или модифицировать его при помощи нажатия клавиши e – переход в режим редактирования пакета.

При нажатии на клавишу x получаем список доступных атак:

http://telegra.ph/file/c2beae0d91375f9b52ccb.png
Выбираем 1

Видим, что начинает отправлять огромное количество DHCP Discover запросов:

http://telegra.ph/file/74528b1ab536fbaa9881d.png
Через некоторое время можно остановить атаку нажатием на клавиши L и затем Enter:

http://telegra.ph/file/528b113613b9d355e8c7f.png
Проверим таблицу выданных IP-адресов на роутере:

http://telegra.ph/file/a8e4aff8da701191caa06.png
Далее вы можете запустить атаку Rogue DHCP в Yersinia, либо при помощи модуля Metasploit или любым другим способом, чтобы провести MitM атаку.

http://telegra.ph/file/1228eac9bf22c31d4c78f.png
Атаку на истощение пула IP адресов DHCP сервера можно так же провести при помощи инструмента https://github.com/kamorin/DHCPig. При помощи Yersinia можно проводить атаки и на другие популярные протоколы, такие как STP (Spanning Tree Protocol) и HSRP (Hot Standby Router Protocol), которые так же позволят вам прослушивать трафик в сети.

Атака на переполнение CAM таблицы коммутатора.

Еще одна атака, которая переполняет CAM таблицу коммутатора, хранящую список MAC адресов, работающих на определенном порту. Некоторые коммутаторы при ее переполнении начинают работать как хабы, рассылая пакеты на все порты, тем самым создавая идеальные условия для проведения атак класса MitM.

В Kali Linux для проведения данной атаки присутствует инструмент macof

Пример использования:

macof -i eth0



Где eth0 – интерфейс, к которому подключен коммутатор для атаки.



Защита

Для защиты от подобного рода атак производителями используются различные, обычно проприетарные, технологии. На коммутаторах Cisco следует активировать DHCP Snooping и PortSecutiy во избежание атак на протокол DHCP и CAM Overflow. Для защиты от атак на HSRP и прочие протоколы используются другие технологии. Всегда нужно помнить, что дорогостоящее сетевое оборудование после правильной настройки может существенно повысить безопасность сетевой инфраструктуры, в то же время недонастроенное или настроенное неправильно может само стать инструментом в руках злоумышленника и угрозой безопасности. Выявление уязвимостей сетевого оборудования при проведении тестирования на проникновение и применение рекомендаций по результатам аудита помогает снизить риски взлома информационной системы злоумышленниками.

статья не безинтересна, но скажу как эксперт именно по cisco оборудованию, используюемые баги уже сто лет как пофиксины, и найти живой роутер с прошивкой семи-восьми летней давности (а то и более) практически не реально.
Атака на DHCP пул - только в ОЧЕНЬ мелких конторках используют этот встроенный функционал, как правило используется функция DHCP релея, для перенаправления запросов на сторонний DHCP сервер.

Умеет проводить атаки на DHCP, STP, CDP, DTP, HSRP и другие - уж не знаю какие уязвимости там использует дистрибутив, но у нормальных сетевиков, DTP и CDP всегда выключен, это просто самые базовые рекомендации, по поводу DHCP писал выше,
остается HSRP - надо посмотреть, не знаю что там за уязвимость, но сомневаюсь что там все так просто

по поводу
Атака на переполнение CAM таблицы коммутатора.
извиняюсь, но это полнейший бред, чтобы переполнить это надо ОЧЕНЬ постараться. как правило на нормально настроенных коммутаторах включена функция port-security, которая определяет сколько мак адресов может быть на порту, при привышении данного параметра порт просто сваливается в errdisable (попросту отключается). Остаются "потенциально уязвимыми" транк порты, в которые как правило, уже воткнута "магистраль" до другово коммутатора.
так что чтобы взломать оборудование cisco, надо либо наткнуться на очень древний не обновляемый образец, что конечно потенциально возможно, но в нормальной конторе маловероятно, либо надо чтобы сетевик был разгильдяем, и совсем не заморачивался безопастностью, такое, к сожалению, встречается намного чаще, но даже в этом случае, на последних версиях iOS (не говорю уже об NX или XE) данных дыр практически не встречается, и остается уже только атака на саму технолонию, например тот же DHCP спуфинг, но cisco к данной уязвимости имеет опосредственное отношение, хотя и имеет защиту от нее(DHCP Snooping)