GLBP & HSRP Attacks
Last updated
Last updated
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
FHRP está diseñado para proporcionar robustez a la red al fusionar múltiples enrutadores en una única unidad virtual, mejorando así la distribución de carga y la tolerancia a fallos. Cisco Systems introdujo protocolos destacados en esta suite, como GLBP y HSRP.
La creación de Cisco, GLBP, funciona en la pila TCP/IP, utilizando UDP en el puerto 3222 para la comunicación. Los enrutadores en un grupo GLBP intercambian paquetes "hello" en intervalos de 3 segundos. Si un enrutador no envía estos paquetes durante 10 segundos, se presume que está fuera de línea. Sin embargo, estos temporizadores no son fijos y pueden ser modificados.
GLBP se destaca al permitir la distribución de carga entre enrutadores utilizando una única IP virtual junto con múltiples direcciones MAC virtuales. En un grupo GLBP, cada enrutador participa en el reenvío de paquetes. A diferencia de HSRP/VRRP, GLBP ofrece un equilibrio de carga genuino a través de varios mecanismos:
Equilibrio de Carga Dependiente del Host: Mantiene la asignación de direcciones MAC AVF consistente a un host, esencial para configuraciones NAT estables.
Equilibrio de Carga Round-Robin: El enfoque predeterminado, alternando la asignación de direcciones MAC AVF entre los hosts solicitantes.
Equilibrio de Carga Round-Robin Ponderado: Distribuye la carga en función de métricas de "Peso" predefinidas.
AVG (Puerta de enlace virtual activa): El enrutador principal, responsable de asignar direcciones MAC a los enrutadores pares.
AVF (Reenviador virtual activo): Un enrutador designado para gestionar el tráfico de red.
Prioridad GLBP: Una métrica que determina el AVG, comenzando en un valor predeterminado de 100 y variando entre 1 y 255.
Peso GLBP: Refleja la carga actual en un enrutador, ajustable manualmente o a través del Seguimiento de Objetos.
Dirección IP Virtual GLBP: Sirve como puerta de enlace predeterminada de la red para todos los dispositivos conectados.
Para las interacciones, GLBP utiliza la dirección multicast reservada 224.0.0.102 y el puerto UDP 3222. Los enrutadores transmiten paquetes "hello" en intervalos de 3 segundos, y se consideran no operativos si se pierde un paquete durante un período de 10 segundos.
Un atacante puede convertirse en el enrutador principal enviando un paquete GLBP con el valor de prioridad más alto (255). Esto puede llevar a ataques de DoS o MITM, permitiendo la interceptación o redirección del tráfico.
Loki puede realizar un ataque GLBP inyectando un paquete con prioridad y peso establecidos en 255. Los pasos previos al ataque implican recopilar información como la dirección IP virtual, la presencia de autenticación y los valores de prioridad del enrutador utilizando herramientas como Wireshark.
Pasos del Ataque:
Cambiar a modo promiscuo y habilitar el reenvío de IP.
Identificar el enrutador objetivo y recuperar su IP.
Generar un ARP Gratuito.
Inyectar un paquete GLBP malicioso, suplantando al AVG.
Asignar una dirección IP secundaria a la interfaz de red del atacante, reflejando la IP virtual de GLBP.
Implementar SNAT para una visibilidad completa del tráfico.
Ajustar el enrutamiento para garantizar el acceso continuo a Internet a través del enrutador AVG original.
Siguiendo estos pasos, el atacante se posiciona como un "hombre en el medio", capaz de interceptar y analizar el tráfico de red, incluidos datos no cifrados o sensibles.
Para fines de demostración, aquí están los fragmentos de comando requeridos:
HSRP es un protocolo propietario de Cisco diseñado para la redundancia de la puerta de enlace de red. Permite la configuración de múltiples routers físicos en una unidad lógica única con una dirección IP compartida. Esta unidad lógica es gestionada por un router principal responsable de dirigir el tráfico. A diferencia de GLBP, que utiliza métricas como prioridad y peso para el equilibrio de carga, HSRP se basa en un único router activo para la gestión del tráfico.
Router Activo de HSRP: El dispositivo que actúa como la puerta de enlace, gestionando el flujo de tráfico.
Router en Espera de HSRP: Un router de respaldo, listo para tomar el control si el router activo falla.
Grupo de HSRP: Un conjunto de routers que colaboran para formar un único router virtual resistente.
Dirección MAC de HSRP: Una dirección MAC virtual asignada al router lógico en la configuración de HSRP.
Dirección IP Virtual de HSRP: La dirección IP virtual del grupo de HSRP, actuando como la puerta de enlace predeterminada para los dispositivos conectados.
HSRP viene en dos versiones, HSRPv1 y HSRPv2, difiriendo principalmente en capacidad de grupo, uso de IP multicast y estructura de dirección MAC virtual. El protocolo utiliza direcciones IP multicast específicas para el intercambio de información de servicio, con paquetes Hello enviados cada 3 segundos. Se presume que un router está inactivo si no se recibe ningún paquete dentro de un intervalo de 10 segundos.
Los ataques de HSRP implican tomar el rol del Router Activo de forma forzada mediante la inyección de un valor de prioridad máximo. Esto puede llevar a un ataque de Hombre en el Medio (MITM). Los pasos esenciales previos al ataque incluyen recopilar datos sobre la configuración de HSRP, lo cual se puede hacer utilizando Wireshark para el análisis de tráfico.
Guardar el tráfico de red que contiene datos de HSRP en un archivo .pcap.
Extraer los hashes MD5 del archivo .pcap utilizando hsrp2john.py.
Descifrar los hashes MD5 utilizando John the Ripper.
Ejecutando la Inyección de HSRP con Loki
Iniciar Loki para identificar los anuncios de HSRP.
Configurar la interfaz de red en modo promiscuo y habilitar el reenvío de IP.
Utilizar Loki para apuntar al router específico, ingresar la contraseña de HSRP descifrada y realizar las configuraciones necesarias para hacerse pasar por el Router Activo.
Después de obtener el rol del Router Activo, configurar la interfaz de red y las tablas IP para interceptar el tráfico legítimo.
Modificar la tabla de enrutamiento para dirigir el tráfico a través del antiguo Router Activo.
Utilizar net-creds.py o una utilidad similar para capturar credenciales del tráfico interceptado.
Al ejecutar estos pasos, el atacante se coloca en una posición para interceptar y manipular el tráfico, similar al procedimiento para el secuestro de GLBP. Esto resalta la vulnerabilidad en protocolos de redundancia como HSRP y la necesidad de medidas de seguridad robustas.
