Pentesting Network
Dışarıdan Ana Bilgisayarları Keşfetme
Bu, İnternet'ten yanıt veren IP'leri bulmanın kısa bir bölümü olacak. Bu durumda birkaç IP kapsamınız var (belki hatta birkaç aralık) ve sadece hangi IP'lerin yanıt verdiğini bulmanız gerekiyor.
ICMP
Bu, bir ana bilgisayarın çalışıp çalışmadığını keşfetmenin en kolay ve en hızlı yoludur.
Bazı ICMP paketleri göndermeyi deneyebilir ve yanıt bekleyebilirsiniz. En kolay yol, sadece bir echo isteği göndermek ve yanıt beklemektir. Bunun için basit bir ping
veya aralıklar için fping
kullanabilirsiniz.
Ayrıca nmap'ı kullanarak diğer türde ICMP paketleri gönderebilirsiniz (bu, yaygın ICMP echo isteği-yanıtına filtrelerden kaçınmanıza yardımcı olacaktır).
TCP Port Keşfi
Çoğu zaman tüm türden ICMP paketlerinin filtrelenmiş olduğunu görmek oldukça yaygındır. Ardından, bir ana bilgisayarın açık olup olmadığını kontrol etmek için yapabileceğiniz tek şey açık portları bulmaya çalışmaktır. Her bir ana bilgisayarın 65535 portu vardır, bu nedenle, "büyük" bir kapsama sahipseniz her portu her bir ana bilgisayarın açık olup olmadığını test edemezsiniz, bu çok fazla zaman alacaktır. Bu durumda ihtiyacınız olan şey, hızlı bir port tarama aracı (masscan) ve daha sık kullanılan portların bir listesidir:
HTTP Port Discovery
Bu, HTTP hizmetlerini keşfetmeye odaklanmak istediğinizde yararlı olan sadece bir TCP bağlantı noktası keşfidir.
UDP Port Keşfi
Ayrıca, bir ana bilgisayara daha fazla dikkat etmeniz gerekip gerekmediğine karar vermek için açık UDP portlarını kontrol etmeyi deneyebilirsiniz. UDP hizmetleri genellikle düzenli boş bir UDP sorgu paketine herhangi bir veri ile yanıt vermediğinden, bir portun filtrelenip açık olup olmadığını söylemek zordur. Bu durumu belirlemenin en kolay yolu, çalışan hizmetle ilgili bir paket göndermektir ve hangi hizmetin çalıştığını bilmediğinizden, muhtemelen port numarasına dayanarak en olası hizmeti denemelisiniz:
Önerilen nmap komutu öncekiyle aynıdır, her bir /24 aralığındaki her ana makinede top 1000 UDP portunu test edecektir, ancak yalnızca bu işlem >20dk sürecektir. Daha hızlı sonuçlar gerekiyorsa udp-proto-scanner kullanabilirsiniz: ./udp-proto-scanner.pl 199.66.11.53/24
Bu, bu UDP sorgularını beklenen bağlantı noktalarına gönderecektir (/24 aralığı için bu yalnızca 1 dakika sürecektir): DNSStatusRequest, DNSVersionBindReq, NBTStat, NTPRequest, RPCCheck, SNMPv3GetRequest, chargen, citrix, daytime, db2, echo, gtpv1, ike,ms-sql, ms-sql-slam, netop, ntp, rpc, snmp-public, systat, tftp, time, xdmcp.
SCTP Port Keşfi
Wifi Pentest
İşte yazıldığı zaman bilinen tüm Wifi saldırılarının güzel bir rehberini bulabilirsiniz:
pagePentesting Wifiİçeriden Hostları Keşfetme
Ağın içindeyseniz yapmak isteyeceğiniz ilk şeylerden biri diğer hostları keşfetmek olacaktır. Ne kadar gürültü yapmak istediğinize bağlı olarak, farklı eylemler gerçekleştirilebilir:
Pasif
Bağlı bir ağ içindeki hostları pasif olarak keşfetmek için bu araçları kullanabilirsiniz:
Aktif
Dışarıdan Ana bilgisayarları keşfetme başlığındaki (TCP/HTTP/UDP/SCTP Port Keşfi) tekniklerin burada da uygulanabileceğini unutmayın. Ancak, diğer ana bilgisayarlarla aynı ağda olduğunuzdan dolayı, daha fazla şey yapabilirsiniz:
Aktif ICMP
Tekniklerin dışarıdan ana bilgisayarları keşfetme bölümünde (ICMP)(./#icmp) yorumlanan teknikler de burada uygulanabilir. Ancak, diğer ana bilgisayarlarla aynı ağda olduğunuzdan, daha fazla şey yapabilirsiniz:
Eğer bir alt ağ yayın adresine ping atarsanız, ping her bir ana bilgisayara ulaşmalı ve onlar da size yanıt verebilirler:
ping -b 10.10.5.255
Ağ yayın adresine ping atarak, diğer alt ağlardaki ana bilgisayarları bile bulabilirsiniz:
ping -b 255.255.255.255
nmap
'in-PE
,-PP
,-PM
bayraklarını kullanarak sırasıyla ICMPv4 echo, zaman damgası ve alt ağ maskesi istekleri göndererek ana bilgisayar keşfi yapabilirsiniz:nmap -PE -PM -PP -sn -vvv -n 10.12.5.0/24
Wake On Lan
Wake On Lan, bilgisayarları bir ağ iletisi aracılığıyla açmak için kullanılır. Bilgisayarı açmak için kullanılan sihirli paket, yalnızca bir MAC Dst sağlandığı ve ardından aynı paket içinde **16 kez tekrarlandığı bir pakettir. Bu tür paketler genellikle bir eternet 0x0842 veya 9 numaralı bağlantı noktasına UDP paketi içinde gönderilir. Eğer bir [MAC] sağlanmazsa, paket yayın eternetine gönderilir (ve tekrarlanan MAC yayın MAC olacaktır).
Hostları Tarama
Taramak istediğiniz tüm IP'leri (harici veya dahili) keşfettikten sonra, farklı işlemler gerçekleştirilebilir.
TCP
Açık port: SYN --> SYN/ACK --> RST
Kapalı port: SYN --> RST/ACK
Filtrelenmiş port: SYN --> [YANIT YOK]
Filtrelenmiş port: SYN --> ICMP mesajı
UDP
Bir UDP portunu taramanın 2 seçeneği vardır:
Bir UDP paketi gönderin ve port kapalı ise yanıt olarak ICMP ulaşılamaz kontrol edin (birçok durumda ICMP filtrelenmiş olabilir, bu yüzden port kapalı veya açık olduğunda herhangi bir bilgi alamayabilirsiniz).
Bir hizmetten yanıt almak için biçimlendirilmiş datagramlar gönderin (örneğin, DNS, DHCP, TFTP ve diğerleri, nmap-payloads içinde listelenmiştir). Bir yanıt alırsanız, o zaman port açıktır.
Nmap, "-sV" kullanarak her ikisini de karıştıracaktır (UDP taramaları çok yavaştır), ancak UDP taramalarının TCP taramalarından daha yavaş olduğunu unutmayın:
SCTP Taraması
SCTP (Akış Kontrol Aktarım Protokolü), TCP (Aktarım Kontrol Protokolü) ve UDP (Kullanıcı Datagram Protokolü) ile birlikte kullanılmak üzere tasarlanmıştır. Temel amacı, telekomünikasyon verilerinin IP ağları üzerinden taşınmasını kolaylaştırmaktır ve SS7 (Sinyalizasyon Sistemi 7)'de bulunan birçok güvenilirlik özelliğini yansıtmaktadır. SCTP, SS7 sinyallerini IP ağları üzerinden taşımak amacıyla geliştirilen SIGTRAN protokol ailesinin temel bir bileşenidir.
SCTP desteği, IBM AIX, Oracle Solaris, HP-UX, Linux, Cisco IOS ve VxWorks gibi çeşitli işletim sistemleri tarafından sağlanmaktadır, bu da telekomünikasyon ve ağ alanında geniş kabul gördüğünü ve kullanışlı olduğunu göstermektedir.
Nmap tarafından SCTP için sunulan iki farklı tarama seçeneği vardır: -sY ve -sZ
IDS ve IPS kaçınma
pageIDS and IPS EvasionDaha fazla nmap seçeneği
pageNmap Summary (ESP)Dahili IP Adreslerinin Ortaya Çıkarılması
Hatalı yapılandırılmış yönlendiriciler, güvenlik duvarları ve ağ cihazları bazen kamu dışı kaynak adresleri kullanarak ağ taramalarına yanıt verir. tcpdump test sırasında özel adreslerden gelen paketleri tanımlamak için kullanılabilir. Özellikle Kali Linux'ta, paketler genel İnternet'ten erişilebilen eth2 arabiriminde yakalanabilir. Kurulumunuzun bir NAT veya bir Güvenlik Duvarı arkasında olduğunu unutmamak önemlidir, bu tür paketlerin muhtemelen filtrelenmiş olacağını unutmamak önemlidir.
Sniffing
Sniffing, yakalanan çerçeveler ve paketleri inceleyerek IP aralıklarının, alt ağ boyutlarının, MAC adreslerinin ve ana bilgisayar adlarının ayrıntılarını öğrenebilirsiniz. Ağ yanlış yapılandırılmışsa veya anahtarlama kumaşı stres altındaysa, saldırganlar pasif ağ dinleme yoluyla hassas materyalleri yakalayabilirler.
Eğer anahtarlanmış bir Ethernet ağı doğru şekilde yapılandırılmışsa, yalnızca yayın çerçevelerini ve MAC adresiniz için belirlenmiş materyalleri göreceksiniz.
TCPDump
Ayrıca, Wireshark'ı GUI olarak kullanarak bir SSH oturumu üzerinden uzaktaki bir makineden paketleri gerçek zamanlı olarak yakalayabilirsiniz.
Bettercap
Bettercap
Wireshark
Açık.
Kimlik bilgilerini yakalama
https://github.com/lgandx/PCredz gibi araçları kullanarak kimlik bilgilerini bir pcap dosyasından veya canlı bir arayüzden ayrıştırabilirsiniz.
LAN saldırıları
ARP zehirlemesi
ARP Zehirlemesi, bir makinenin IP'sinin MAC adresinin cihazımızın MAC adresi olduğunu belirten gereksiz ARP yanıtları göndermekten oluşur. Ardından, kurban ARP tablosunu değiştirir ve sahte IP'yi iletmek istediğinde her zaman cihazımıza başvurur.
Bettercap
Arpspoof
MAC Flooding - CAM taşması
Anahtarlamanın CAM tablosunu aşırı doldurarak farklı kaynak MAC adresleriyle birçok paket gönderin. CAM tablosu dolu olduğunda anahtar, tüm trafiği yayınlayan bir hub gibi davranmaya başlar.
Modern anahtarlar bu zafiyeti gidermiştir.
802.1Q VLAN / DTP Saldırıları
Dinamik Trunking
Dinamik Trunking Protokolü (DTP), anahtar katman protokolü olarak tasarlanmıştır ve anahtarlamayı otomatikleştiren bir sistem sağlar, anahtarların otomatik olarak bağlantı noktalarını trunk modu (Trunk) veya non-trunk moduna seçmelerine izin verir. DTP'nin kullanımı genellikle alt-optimal ağ tasarımının bir göstergesi olarak görülür, bu da trunk'ları yalnızca gerekli olduğu yerlerde manuel olarak yapılandırmanın ve uygun belgelemenin sağlanmasının önemini vurgular.
Varsayılan olarak, anahtar bağlantı noktaları Dinamik Otomatik modunda çalışacak şekilde ayarlanmıştır, yani komşu bir anahtar tarafından teşvik edilirse trunking'i başlatmaya hazırdırlar. Bir güvenlik endişesi, bir pentester veya saldırganın anahtara bağlanıp bir DTP İstenen çerçeve gönderdiğinde ortaya çıkar, bu da bağlantı noktasının trunk moduna girmesini sağlar. Bu eylem saldırganın STP çerçeve analizi aracılığıyla VLAN'ları numaralandırmasına ve sanal arayüzler kurarak VLAN segmentasyonunu atlamasına olanak tanır.
Birçok anahtarın varsayılan olarak DTP'yi içermesi, saldırganların bir anahtarın davranışını taklit ederek tüm VLAN'lardaki trafiğe erişim kazanmasını sağlayabilir. dtpscan.sh betiği, bir arabirimi izlemek için kullanılır ve bir anahtarın Varsayılan, Trunk, Dinamik, Otomatik veya Erişim modunda olup olmadığını ortaya çıkarır - sonuncusu VLAN atlama saldırılarına karşı bağışık tek yapılandırmadır. Bu araç, anahtarın zafiyet durumunu değerlendirir.
Ağ zafiyetinin belirlenmesi durumunda, Yersinia aracı, DTP protokolü aracılığıyla "trunking'i etkinleştirmek" için kullanılabilir, böylece tüm VLAN'lardan paketlerin gözlemlenmesine olanak tanır.
VLAN'ları numaralandırmak için DTPHijacking.py** betiği ile DTP İstenen çerçeve oluşturmak da mümkündür.** Betiği hiçbir durumda kesmeyin. Her üç saniyede bir DTP İstenen enjekte eder. Anahtar üzerinde dinamik olarak oluşturulan kiriş kanalları sadece beş dakika boyunca yaşar. Beş dakika sonra kiriş düşer.
Erişim/İstenilen (0x03) ifadesi, DTP çerçevesinin İstenilen türde olduğunu ve bağlantı noktasına Trunk moduna geçmesini söylediğini belirtir. Ve 802.1Q/802.1Q (0xa5), 802.1Q kapsülleme türünü belirtir.
STP çerçevelerini analiz ederek, VLAN 30 ve VLAN 60'ın varlığını öğreniriz.
Belirli VLAN'ları Hedefleme
VLAN Kimlikleri ve IP değerlerini bildiğinizde, belirli bir VLAN'ı hedeflemek için sanal bir arayüz yapılandırabilirsiniz. DHCP mevcut değilse, statik bir IP adresi ayarlamak için ifconfig kullanın.
Otomatik VLAN Atlama
Tartışılan Dinamik Trunking ve sanal arayüzler oluşturma ve diğer VLAN'lerdeki ana bilgisayarları keşfetme saldırısı, https://github.com/nccgroup/vlan-hopping---frogger aracı tarafından otomatik olarak gerçekleştirilir.
Çift Etiketleme
Bir saldırgan, kurban ana bilgisayarın MAC, IP ve VLAN kimliği değerlerini bildiğinde, belirlenen VLAN ve kurbanın VLAN'ı ile bir çerçeveyi çift etiketleyebilir ve bir paket gönderebilir. Kurban saldırganla geri bağlantı kuramayacağından, saldırgan için en iyi seçenek UDP üzerinden iletişim kurmaktır ve ilginç eylemler gerçekleştirebilen protokollere (örneğin SNMP) erişebilir.
Saldırganın başka bir seçeneği, saldırgan tarafından kontrol edilen ve kurban tarafından erişilebilen bir IP'yi taklit ederek TCP port taraması başlatmaktır (muhtemelen internet aracılığıyla). Daha sonra, saldırgan, ikinci ana bilgisayarında kurbandan gelen bazı paketleri alıp almadığını izleyebilir.
Bu saldırıyı gerçekleştirmek için scapy kullanabilirsiniz: pip install scapy
Yan Yana VLAN Segmentasyonunu Atlatma
Eğer doğrudan bağlı olduğunuz bir anahtara erişiminiz varsa, ağ içinde VLAN segmentasyonunu atlayabilirsiniz. Basitçe portu trunk moduna (diğer adıyla trunk) geçirin, hedef VLAN'ların kimlikleriyle sanal arayüzler oluşturun ve bir IP adresi yapılandırın. IP adresini dinamik olarak (DHCP) talep edebilir veya statik olarak yapılandırabilirsiniz. Duruma bağlıdır.
pageLateral VLAN Segmentation BypassKatman 3 Özel VLAN Atlatma
Misafir kablosuz ağlar gibi belirli ortamlarda, port izolasyonu (ayrıca özel VLAN olarak da bilinir) ayarları, kablosuz erişim noktasına bağlı istemcilerin doğrudan birbirleriyle iletişim kurmasını engellemek için uygulanır. Bununla birlikte, bu izolasyon önlemlerini atlatan bir teknik tanımlanmıştır. Bu teknik, ağ ACL'lerinin eksikliğini veya yanlış yapılandırılmasını kullanarak IP paketlerinin bir yönlendirici aracılığıyla başka bir istemciye ulaşmasını sağlar.
Saldırı, hedef istemcinin IP adresini taşıyan ancak yönlendiricinin MAC adresiyle oluşturulan bir paket oluşturularak gerçekleştirilir. Bu, yönlendiricinin paketi yanlışlıkla hedef istemciye iletmeye yönlendirmesine neden olur. Bu yaklaşım, Kurbanın Erişebildiği Bir Ana Bilgisayarı Kontrol Etme yeteneğinin kullanıldığı Çift Etiketleme Saldırılarında kullanılan yönteme benzer şekilde güvenlik açığını sömürmek için kullanılır.
Saldırının Temel Adımları:
Paket Oluşturma: Hedef istemcinin IP adresini içerecek şekilde özel olarak oluşturulmuş bir paket.
Yönlendirici Davranışının Sömürülmesi: Oluşturulan paket yönlendiriciye gönderilir ve yapılandırmadan dolayı paket hedef istemciye yönlendirilir, özel VLAN ayarları tarafından sağlanan izolasyonu atlayarak.
VTP Saldırıları
VTP (VLAN Trunking Protocol), VLAN yönetimini merkezileştirir. VLAN veritabanı bütünlüğünü korumak için revizyon numaralarını kullanır; herhangi bir değişiklik bu numarayı artırır. Anahtarlar, kendi VLAN veritabanlarını güncelleyen daha yüksek revizyon numaralarına sahip yapılandırmaları benimser.
VTP Etki Alanı Rolleri
VTP Sunucusu: VLAN'ları yönetir - oluşturur, siler, değiştirir. VTP duyurularını etki alanı üyelerine yayınlar.
VTP İstemcisi: VLAN veritabanını senkronize etmek için VTP duyurularını alır. Bu rol, yerel VLAN yapılandırma değişikliklerinden kısıtlanmıştır.
VTP Şeffaf: VTP güncellemelerine katılmaz ancak VTP duyurularını ileterek. VTP saldırılarından etkilenmez, sürekli bir sıfır revizyon numarasını korur.
VTP Duyuru Türleri
Özet Duyuru: Temel etki alanı bilgilerini taşıyan VTP sunucusu tarafından her 300 saniyede bir yayınlanır.
Alt Küme Duyurusu: VLAN yapılandırma değişikliklerini takiben gönderilir.
Duyuru İsteği: VTP istemcisi tarafından, genellikle daha yüksek bir yapılandırma revizyon numarası algılandığında bir Özet Duyuru istemek için verilir.
VTP zafiyetleri yalnızca trunk portları aracılığıyla sömürülebilir çünkü VTP duyuruları yalnızca bunlar arasında dolaşır. DTP saldırı senaryoları VTP'ye doğru yönelebilir. Yersinia gibi araçlar, VLAN veritabanını silmeyi amaçlayan VTP saldırılarını kolaylaştırabilir, ağı etkili bir şekilde kesintiye uğratarak.
Not: Bu tartışma VTP sürüm 1'e (VTPv1) aittir.
STP Saldırıları
Eğer arabirimlerinizde BPDU çerçevelerini yakalayamıyorsanız, STP saldırısında başarılı olmanız olası değildir.
STP BPDU DoS
Çok sayıda BPDU TCP (Topology Change Notification) veya Conf (topolojinin oluşturulduğunda gönderilen BPDU'lar) göndererek anahtarlar aşırı yüklenir ve doğru şekilde çalışmayı durdururlar.
STP TCP Saldırısı
TCP gönderildiğinde, anahtarların CAM tablosu 15 saniye içinde silinir. Sonra, sürekli olarak bu tür paketler gönderiyorsanız, CAM tablosu sürekli olarak yeniden başlatılır (veya her 15 saniyede bir) ve yeniden başlatıldığında anahtar bir hub gibi davranır.
STP Kök Saldırısı
Saldırgan, bir anahtarın davranışını taklit ederek ağın STP kökü haline gelir. Daha sonra, daha fazla veri onun üzerinden geçer. Bu durum, iki farklı anahtara bağlı olduğunuzda ilginç hale gelir. Bu, öncelik değerinin gerçek kök anahtarın gerçek önceliğinden daha düşük olduğunu belirten BPDUs CONF paketleri gönderilerek yapılır.
Eğer saldırgan 2 anahtara bağlıysa, yeni ağacın kökü olabilir ve bu anahtarlar arasındaki tüm trafiği üzerinden geçirebilir (bir MITM saldırısı gerçekleştirilecektir).
CDP Saldırıları
CISCO Keşif Protokolü (CDP), CISCO cihazları arasındaki iletişim için temel bir öneme sahiptir, cihazların birbirini tanımasına ve yapılandırma detaylarını paylaşmasına olanak tanır.
Pasif Veri Toplama
CDP, tüm portlar aracılığıyla bilgiyi yayınlamak üzere yapılandırılmıştır, bu da bir güvenlik riskine yol açabilir. Bir saldırgan, bir anahtara bağlandığında Wireshark, tcpdump veya Yersinia gibi ağ dinleyicilerini kullanabilir. Bu eylem, ağ cihazı hakkında hassas verileri ortaya çıkarabilir, bunlar arasında modeli ve çalıştırdığı Cisco IOS sürümü bulunmaktadır. Saldırgan daha sonra belirlenen Cisco IOS sürümündeki belirli zafiyetlere odaklanabilir.
CDP Tablosu Taşmasını Tetikleme
Daha agresif bir yaklaşım, meşru CISCO cihazları gibi davranarak anahtarın belleğini aşırı yükleyerek Bir Hizmet Reddi (DoS) saldırısı başlatmayı içerir. Aşağıda, test için tasarlanmış bir ağ aracı olan Yersinia'yı kullanarak böyle bir saldırıyı başlatmak için komut dizisi bulunmaktadır:
Bu saldırı sırasında, anahtarın CPU'su ve CDP komşu tablosu ağır bir şekilde yüklenir ve aşırı kaynak tüketiminden dolayı sıklıkla "ağ felci" olarak adlandırılan duruma yol açar.
CDP Kimlik Taklidi Saldırısı
Ayrıca scapy kullanabilirsiniz. scapy/contrib
paketini kurduğunuzdan emin olun.
VoIP Saldırıları ve VoIP Hopper Aracı
IoT cihazlarıyla giderek entegre olan VoIP telefonları, özel telefon numaraları aracılığıyla kapıları açma veya termostatları kontrol etme gibi işlevler sunar. Ancak, bu entegrasyon güvenlik riskleri oluşturabilir.
voiphopper aracı, çeşitli ortamlarda (Cisco, Avaya, Nortel, Alcatel-Lucent) bir VoIP telefonunu taklit etmek için tasarlanmıştır. CDP, DHCP, LLDP-MED ve 802.1Q ARP gibi protokoller kullanarak ses ağı VLAN ID'sini keşfeder.
VoIP Hopper, Cisco Discovery Protocol (CDP) için üç mod sunar:
Sniff Modu (
-c 0
): VLAN ID'sini tanımlamak için ağ paketlerini analiz eder.Spoof Modu (
-c 1
): Gerçek bir VoIP cihazının paketlerini taklit eden özel paketler oluşturur.Önceden Yapılmış Paketle Spoof Modu (
-c 2
): Belirli bir Cisco IP telefon modelinin paketlerine benzer paketler gönderir.
Hız için tercih edilen mod üçüncü moddur. Belirtmeniz gerekenler:
Saldırganın ağ arayüzü (
-i
parametresi).Taklit edilen VoIP cihazının adı (
-E
parametresi), Cisco adlandırma formatına uygun olmalıdır (örneğin, bir MAC adresini takip eden SEP).
Kurumsal ortamlarda, mevcut bir VoIP cihazını taklit etmek için şunları yapabilirsiniz:
Telefon üzerindeki MAC etiketini inceleyin.
Model bilgilerini görüntülemek için telefonun ekran ayarlarına gidin.
VoIP cihazını bir dizüstü bilgisayara bağlayın ve Wireshark kullanarak CDP isteklerini gözlemleyin.
Üçüncü modda aracı çalıştırmak için örnek bir komut:
DHCP Saldırıları
Numaralandırma
DoS
DHCP sunucularına karşı gerçekleştirilebilecek iki tür DoS saldırısı vardır. İlk tür, tüm mümkün IP adreslerini kullanacak kadar sahte ana bilgisayar simüle etmek üzerinedir. Bu saldırı, yalnızca DHCP sunucusunun yanıtlarını görebiliyorsanız ve protokolü tamamlayabiliyorsanız çalışacaktır (Keşfet (Bilgisayar) --> Teklif (sunucu) --> İstek (Bilgisayar) --> Onay (sunucu)). Örneğin, bu, Wifi ağlarında mümkün değildir.
DHCP DoS gerçekleştirmenin başka bir yolu, her mümkün IP'yi kaynak kod olarak kullanarak bir DHCP-RELEASE paketi göndermektir. Ardından, sunucu, herkesin IP'yi kullanmayı bitirdiğini düşünecektir.
Daha otomatik bir yol, DHCPing aracını kullanmaktır.
Bahsedilen DoS saldırılarını kullanarak istemcileri yeni kiralama almak zorunda bırakabilir ve meşru sunucuları tüketerek yanıt vermez hale getirebilirsiniz. Bu durumda meşru sunucular yeniden bağlanmaya çalıştığında, aşağıdaki saldırıda belirtilen kötü niyetli değerleri sunabilirsiniz.
Kötü niyetli değerler ayarla
Bir sahte DHCP sunucusu, /usr/share/responder/DHCP.py
konumundaki DHCP betiği kullanılarak kurulabilir. Bu, HTTP trafiğini ve kimlik bilgilerini yakalayarak ağ saldırıları için yararlıdır, trafiği kötü niyetli bir sunucuya yönlendirerek. Ancak, sahte bir ağ geçidi kurmak, yalnızca istemciden çıkan trafiği yakalamasına izin verdiği için daha az etkilidir, gerçek ağ geçidinden gelen yanıtları kaçırır. Bunun yerine, daha etkili bir saldırı için sahte bir DNS veya WPAD sunucusu kurmanız önerilir.
Aşağıda sahte DHCP sunucusunu yapılandırmak için komut seçenekleri bulunmaktadır:
IP Adresimiz (Ağ Geçidi İlanı): Makinenizin IP'sini ağ geçidi olarak ilan etmek için
-i 10.0.0.100
kullanın.Yerel DNS Alan Adı: İsteğe bağlı olarak, yerel bir DNS alan adı belirlemek için
-d example.org
kullanın.Orijinal Yönlendirici/Ağ Geçidi IP'si: Meşru yönlendirici veya ağ geçidinin IP adresini belirtmek için
-r 10.0.0.1
kullanın.Birincil DNS Sunucusu IP'si: Kontrol ettiğiniz sahte DNS sunucusunun IP adresini belirlemek için
-p 10.0.0.100
kullanın.İkincil DNS Sunucusu IP'si: İsteğe bağlı olarak, ikincil bir DNS sunucusu IP'si belirlemek için
-s 10.0.0.1
kullanın.Yerel Ağın Netmask'ı: Yerel ağ için netmask'ı tanımlamak için
-n 255.255.255.0
kullanın.DHCP Trafik İçin Arayüz: Belirli bir ağ arayüzünde DHCP trafiğini dinlemek için
-I eth1
kullanın.WPAD Yapılandırma Adresi: Web trafiğini ele geçirmede yardımcı olmak için
-w “http://10.0.0.100/wpad.dat”
kullanarak WPAD yapılandırma adresini belirleyin.Varsayılan Ağ Geçidi IP'sini Sahteleştir: Varsayılan ağ geçidi IP adresini sahtelemek için
-S
ekleyin.Tüm DHCP İsteklerine Yanıt Ver: Sunucunun tüm DHCP isteklerine yanıt vermesi için
-R
ekleyin, ancak bu gürültülüdür ve tespit edilebilir olduğunu unutmayın.
Bu seçenekleri doğru bir şekilde kullanarak, bir sahte DHCP sunucusu ağ trafiğini etkili bir şekilde ele geçirebilir.
EAP Saldırıları
Aşağıda 802.1X uygulamalarına karşı kullanılabilecek saldırı taktiklerinden bazıları bulunmaktadır:
EAP aracılığıyla aktif kaba kuvvet saldırısı
RADIUS sunucusuna hatalı EAP içeriği ile saldırılar (sömürüler)
EAP iletilerinin yakalanması ve çevrimdışı şifre kırma (EAP-MD5 ve PEAP)
EAP-MD5 kimlik doğrulamasını zorlayarak TLS sertifika doğrulamasını atlatma
Hub veya benzeri bir cihaz kullanarak kimlik doğrulama sırasında kötü amaçlı ağ trafiği enjekte etme
Eğer saldırgan, kurban ile kimlik doğrulama sunucusu arasındaysa, kimlik doğrulama protokolünü gerektiğinde EAP-MD5'e düşürmeye çalışabilir ve kimlik doğrulama girişimini yakalayabilir. Daha sonra bunu kaba kuvvet saldırısıyla çözmeye çalışabilir:
FHRP (GLBP & HSRP) Saldırıları
FHRP (First Hop Redundancy Protocol), sıcak yedekli yönlendirme sistemi oluşturmak için tasarlanmış bir ağ protokolü sınıfıdır. FHRP ile fiziksel yönlendiriciler tek bir mantıksal cihaza birleştirilebilir, bu da hata toleransını artırır ve yükü dağıtmaya yardımcı olur.
Cisco Systems mühendisleri, GLBP ve HSRP olmak üzere iki FHRP protokolü geliştirmiştir.
pageGLBP & HSRP AttacksRIP
Yönlendirme Bilgi Protokolü'nün (RIP) üç versiyonu bulunmaktadır: RIP, RIPv2 ve RIPng. RIP ve RIPv2 tarafından UDP kullanılarak 520 numaralı porta datagramlar gönderilirken, RIPng tarafından IPv6 çoklu yayın kullanılarak datagramlar 521 numaralı UDP porta yayınlanır. RIPv2 tarafından MD5 kimlik doğrulaması desteği getirilmiştir. Öte yandan, RIPng tarafından yerel kimlik doğrulama dahil edilmemiştir; bunun yerine IPv6 içindeki isteğe bağlı IPsec AH ve ESP başlıklarına güvenilmektedir.
RIP ve RIPv2: İletişim UDP datagramları aracılığıyla 520 numaralı port üzerinden gerçekleştirilir.
RIPng: IPv6 çoklu yayın kullanarak datagramları yayınlamak için UDP portu 521'i kullanır.
RIPv2'nin MD5 kimlik doğrulamasını desteklediğini, RIPng'nin ise yerel kimlik doğrulama içermediğini ve IPv6 içindeki IPsec AH ve ESP başlıklarına güvendiğini unutmayın.
EIGRP Saldırıları
EIGRP (Enhanced Interior Gateway Routing Protocol) dinamik bir yönlendirme protokolüdür. Kimlik doğrulaması olmadığında ve pasif arayüzlerin yapılandırılmadığında, bir saldırgan EIGRP yönlendirmesine müdahale edebilir ve yönlendirme tablolarını zehirleyebilir. Ayrıca, EIGRP ağı (başka bir deyişle, özerk sistem) düz ve herhangi bir bölgeye bölünmemiştir. Bir saldırgan bir rota enjekte ederse, bu rotanın özerk EIGRP sistemi boyunca yayılma olasılığı yüksektir.
Bir EIGRP sistemine saldırmak, meşru bir EIGRP yönlendirici ile bir komşuluk kurmayı gerektirir, bu da temel keşiften çeşitli enjeksiyonlara kadar birçok olasılığı ortaya çıkarır.
FRRouting, BGP, OSPF, EIGRP, RIP ve diğer protokolleri destekleyen sanal bir yönlendiriciyi uygulamanıza olanak tanır. Yapmanız gereken tek şey, saldırganınızın sistemine dağıtmak ve yönlendirme alanında meşru bir yönlendirici gibi davranabilirsiniz.
pageEIGRP AttacksColy, EIGRP (Enhanced Interior Gateway Routing Protocol) yayınlarını dinlemek ve yönlendirme yapılandırmalarını değiştirmek için kullanılabilecek paketleri enjekte etmeye olanak tanır.
OSPF
Açık En Kısa Yol İlk (OSPF) protokolünde genellikle güvenli iletişimi sağlamak için MD5 kimlik doğrulaması kullanılmaktadır. Bununla birlikte, bu güvenlik önlemi, Loki ve John the Ripper gibi araçlar kullanılarak tehlikeye atılabilir. Bu araçlar, MD5 karmaşalarını yakalayıp kırabilme yeteneğine sahiptir, kimlik doğrulama anahtarını ortaya çıkararak. Bu anahtar elde edildiğinde, yeni yönlendirme bilgileri eklemek için kullanılabilir. Rota parametrelerini yapılandırmak ve tehlikeye atılan anahtarı kurmak için sırasıyla Enjeksiyon ve Bağlantı sekmeleri kullanılır.
MD5 Karmaşalarını Yakalama ve Kırma: Bu amaçla Loki ve John the Ripper gibi araçlar kullanılır.
Rota Parametrelerini Yapılandırma: Bu, Enjeksiyon sekmesi aracılığıyla yapılır.
Tehlikeye Atılan Anahtarı Ayarlama: Anahtar, Bağlantı sekmesi altında yapılandırılır.
Diğer Genel Araçlar ve Kaynaklar
Above: Ağ trafiğini taramak ve güvenlik açıklarını bulmak için araç
Ağ saldırıları hakkında daha fazla bilgiyi burada bulabilirsiniz.
Sahtecilik
Saldırgan, sahte DHCP yanıtları göndererek ağın yeni üyesinin tüm ağ parametrelerini (GW, IP, DNS) yapılandırır.
ARP Zehirlenmesi
Önceki bölüme bakın.
ICMP Yönlendirme
ICMP Yönlendirme, saldırganın bir IP'ye ulaşmanın en iyi yolunun kendisi olduğunu belirten bir ICMP paketi türü 1 kod 5 göndermesinden oluşur. Ardından, kurban belirtilen IP'ye ulaşmak istediğinde paketi saldırgan aracılığıyla gönderecektir.
DNS Sahtekarlığı
Saldırgan, kurbanın sorduğu bazı (veya tüm) alan adlarını çözecektir.
dnsmasq ile kendi DNS'inizi yapılandırın
Yerel Ağ Geçitleri
Sistemlere ve ağlara birden fazla yol genellikle mevcuttur. Yerel ağ içindeki MAC adreslerinin bir listesini oluşturduktan sonra, IPv4 yönlendirmeyi destekleyen ana bilgisayarları tanımlamak için gateway-finder.py dosyasını kullanın.
Microsoft sistemleri, DNS sorguları başarısız olduğunda yerel ana bilgisayar çözümlemesi için Link-Local Multicast Name Resolution (LLMNR) ve NetBIOS Name Service (NBT-NS)'ye güvenir. Benzer şekilde, Apple Bonjour ve Linux sıfır yapılandırma uygulamaları, ağ içindeki sistemleri keşfetmek için Multicast DNS (mDNS) kullanır. Bu protokollerin kimlik doğrulamasız doğası ve UDP üzerinden işlem görmeleri nedeniyle, saldırganlar tarafından kötü niyetli hizmetlere yönlendirmek amacıyla istismar edilebilirler.
Yanıtlayıcıyı kullanarak, ana bilgisayarlar tarafından aranan hizmetleri taklit edebilirsiniz. Daha fazla bilgi için Yanıtlayıcı ile hizmetleri taklit etme sayfasını okuyun.
Tarayıcılar genellikle Web Proxy Auto-Discovery (WPAD) protokolünü kullanarak otomatik olarak proxy ayarlarını alırlar. Bu, özellikle "http://wpad.example.org/wpad.dat" gibi bir URL aracılığıyla sunucudan yapılandırma ayrıntılarını almayı içerir. İstemcilerin bu sunucuyu keşfetmesi çeşitli mekanizmalar aracılığıyla gerçekleşebilir:
DHCP aracılığıyla, keşif özel bir kod 252 girişi kullanılarak kolaylaştırılır.
DNS ile, yerel etki alanında wpad etiketli bir ana bilgisayar adı aranması içerir.
Microsoft LLMNR ve NBT-NS aracılığıyla, DNS sorgularının başarısız olduğu durumlarda kullanılan yedek mekanizmalar arasında yer alır.
Yanıtlayıcı aracı, kötü niyetli bir WPAD sunucusu olarak bu protokolden faydalanır. İstemcileri yanıltmak için DHCP, DNS, LLMNR ve NBT-NS'yi kullanır. Yanıtlayıcıyı kullanarak hizmetlerin nasıl taklit edilebileceğine daha detaylı olarak bakmak için buraya göz atın.
Ağda farklı hizmetler sunarak bir kullanıcıyı aldatmaya ve bazı düz metin kimlik bilgilerini girmesine ikna etmeye çalışabilirsiniz. Bu saldırı hakkında daha fazla bilgi için SSDP ve UPnP Cihazları Sahteciliği** sayfasına bakın.**
IPv6 Komşu Sahteciliği
Bu saldırı, ARP Sahteciliği ile çok benzerdir ancak IPv6 dünyasında gerçekleşir. Kurbanı, ağ geçidinin IPv6'sının saldırganın MAC adresine sahip olduğunu düşündürebilirsiniz.
IPv6 Yönlendirici İlanı Sahteciliği/Floodlama
Bazı işletim sistemleri, ağda gönderilen RA paketlerinden varsayılan olarak ağ geçidini yapılandırır. Saldırganı IPv6 yönlendirici olarak belirtmek için şunları kullanabilirsiniz:
IPv6 DHCP spoofing
Varsayılan olarak bazı işletim sistemleri, ağdaki bir DHCPv6 paketini okuyarak DNS'i yapılandırmaya çalışır. Sonra, bir saldırgan kendisini DNS olarak yapılandırmak için bir DHCPv6 paketi gönderebilir. DHCP ayrıca kurban için bir IPv6 sağlar.
HTTP (sahte sayfa ve JS kodu enjeksiyonu)
İnternet Saldırıları
sslStrip
Bu saldırının temel olarak yaptığı şey, kullanıcının erişmeye çalıştığı bir HTTP sayfasının HTTPS sürümüne yönlendirme yapması durumunda, sslStrip'in istemci ile HTTP bağlantısını ve sunucu ile HTTPS bağlantısını sürdürmesidir, böylece bağlantıyı düz metin olarak dinleyebilir.
Daha fazla bilgi burada.
HSTS'i atlatmak için sslStrip+ ve dns2proxy
sslStrip+ ve dns2proxy'nin sslStrip'e karşı farkı, örneğin www.facebook.com'u wwww.facebook.com (ekstra "w" ile) yönlendirecek ve bu alanın adresini saldırgan IP olarak ayarlayacak olmalarıdır. Bu şekilde, istemci wwww.facebook.com (saldırgan)'a bağlanacak ancak arka planda sslstrip+, www.facebook.com ile https üzerinden gerçek bağlantıyı sürdürecektir.
Bu teknikteki amaç, wwww.facebook.com HSTS'yi atlamak olduğundan, tarayıcının önbelleğe alınmayacak şekilde oluşturulduğundan, tarayıcı facebook kimlik doğrulamasını HTTP üzerinden gerçekleştirmeye kandırılacaktır. Bu saldırıyı gerçekleştirmek için kurbanın başlangıçta http://www.faceook.com adresine erişmeye çalışması gerekmektedir ve https değil. Bu, bir http sayfası içindeki bağlantıları değiştirerek yapılabilir.
Daha fazla bilgi burada, burada ve burada.
sslStrip veya sslStrip+ artık çalışmıyor. Bunun nedeni tarayıcılarda önceden kaydedilmiş HSTS kurallarının olmasıdır, bu yüzden bir kullanıcının "önemli" bir alanı ilk kez ziyaret etse bile HTTPS üzerinden erişecektir. Ayrıca, önceden kaydedilmiş kuralların ve diğer oluşturulan kuralların includeSubdomains
bayrağını kullanabileceğini unutmayın, bu nedenle önceki örnekteki _wwww.facebook.com_ artık çalışmayacak çünkü facebook.com includeSubdomains
ile HSTS kullanır.
TODO: easy-creds, evilgrade, metasploit, factory
Port'ta TCP dinle
TCP + SSL dinleme portunda
Anahtarları ve öz imzalı sertifikayı oluşturun
Sertifika kullanarak dinle
Sertifika kullanarak dinle ve ana bilgisayarlara yönlendir
Bazen, müşteri CA'nın geçerli olup olmadığını kontrol ederse, CA tarafından imzalanmış başka bir ana bilgisayar adının sertifikasını sunabilirsiniz. Başka bir ilginç test, istenen ana bilgisayar adının kendi kendine imzalı bir sertifikasını sunmaktır.
Denenecek diğer şeyler arasında, geçerli bir CA olmayan geçerli bir sertifika ile sertifikayı imzalamayı denemek bulunmaktadır. Veya geçerli genel anahtarı kullanarak, gerçek özel anahtarla hiçbir şeyi şifrelemeye gerek olmayan bir algoritmayı (örneğin diffie hellman) kullanmaya zorlamak ve istemci gerçek özel anahtarın bir sondasını (örneğin bir hash) istediğinde sahte bir sondası gönderip istemcinin bunu kontrol etmediğini ummaktır.
Bettercap
Aktif Keşif Notları
UDP paketi istenilen bağlantı noktasına sahip olmayan bir cihaza gönderildiğinde bir ICMP (Port Ulaşılamaz) paketi gönderilir.
ARP keşfi
ARP paketleri ağ içinde hangi IP'lerin kullanıldığını keşfetmek için kullanılır. Bilgisayar her olası IP adresi için bir istek göndermeli ve yalnızca kullanılan IP'ler yanıt verecektir.
mDNS (çoklu DNS)
Bettercap, _services_.dns-sd._udp.local için bir MDNS isteği gönderir (her X ms) ve bu paketi gören makine genellikle bu isteği yanıtlar. Daha sonra, yalnızca "hizmetlere" yanıt veren makineleri arar.
Araçlar
Avahi-browser (--all)
Bettercap (net.probe.mdns)
Responder
NBNS (NetBios Adı Sunucusu)
Bettercap, "CKAAAAAAAAAAAAAAAAAAAAAAAAAAA" adını sorarak 137/UDP bağlantı noktasına yayın yapar.
SSDP (Basit Hizmet Keşif Protokolü)
Bettercap, tüm türde hizmetleri aramak için SSDP paketlerini yayınlar (UDP Bağlantı Noktası 1900).
WSD (Web Hizmet Keşfi)
Bettercap, hizmetleri aramak için WSD paketlerini yayınlar (UDP Bağlantı Noktası 3702).
Referanslar
Network Security Assessment: Know Your Network (3. baskı)
Practical IoT Hacking: The Definitive Guide to Attacking the Internet of Things. By Fotios Chantzis, Ioannis Stais, Paulino Calderon, Evangelos Deirmentzoglou, Beau Wood
Last updated