CEH by BGA - Gün 3 - Ders 4

TCP/IP Protokolü Zafiyet Analizi

• Protokol ilk çıktığında güvenlik değil güvenilirlik (bir noktadan bir noktaya verinin mutlaka gittiğini bilmek) düşünülmüş (1983).
• Alt seviye protokollerinin güvenilirliği üst seviyeleri etkiler.
• ARP (L2)
• IPv6'te ARP yerine NDP (Negihbor Discovery Protocol) geliyor.
• 1.2.3.4 IP kimdir diye broadcast yapılıyor; karşısında MAC adresi cevap olarak dönüyor.
• ARP'de gelen yanıtı doğrulama gibi birşey yok, gelen doğru kabul ediliyor.
• ARP request: "Who has 1.2.3.4? Tell 5.6.7.8"
• Yeni nesil wormlar MitM ile bu protokolü sıkça kullanır.
• L2 saldırı türleri
• ARP Spoofing & ARP Poisoning
• arpspoof => LAN'de sürekli (Gateway benim, benim, benim...) diyoruz. Gateway dinamik ise bu çalışır, statik tanımlanmışsa çalışmaz. Ağdaki diğer makineler artık bana yönlenmiş olur; ben de bana gelen paketleri gerçek gateway'e gönderirim. Forward'ü disable etmezsem tabi.
• En basit engelleme yolu switchlerde engellemektir.
• MAC Flooding. Switch'i hub mantığına dönüştürür başarılı olursa. Hub gibi tüm trafiği ağdaki tüm makinelere yayar.
• hamster (linux) => backtrack'te /pentest/sniffers/hamster. İncele!!!
• Üzerimize çektiğimiz trafiğe gelen https taleplerini http trafiğine dönüştürebiliriz => sslstrip (linux)!!!. 
• http üzerinden trafiğe başlayıp https'e yönlenilen site ziyareti senaryosunda geçerli.
• Senaryo:
• http://www.isank.com.tr'ye giriyorum.
• Oradan şube linkine tıklıyorum, https://sube.isbank.com.tr'ye yönleniyor.
• Bu arada ARP spoof eden saldırgan, benim trafiğimi isbank'a https olarak gönderiyor, ondan gelen yanıtı bana http gönderiyor (browser'ımda dikkat edersem trafiğin https olmadığını görürüm). 
• Saldırgan olarak trafik SSL'e dönmeden araya giriyoruz.
• Firefox'ta "bu sitelere giderken sadece SSL kullan" diyebildiğimiz bir plug-in var. İncele!
• (Parantez) iptables -t nat -A PREROUTING -p tcp -dport 80 -j REDIRECT --to-port 10000 => 80. porta gelen talepleri 10000'e yönlendir.