ARPSpoofing攻撃によるMITM攻撃
•Download as PPTX, PDF•
0 likes•3,787 views
ARP Spoofing攻撃を利用したMITM攻撃について、実験したので、まとめました。
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
More from slankdev
More from slankdev (14)
ARPSpoofing攻撃によるMITM攻撃
- 3. ARPの攻撃について話します Address Resolution Protocol (アドレス解決プロトコル、略称：ARP、アープ)は、 イーサネット環境において、IPアドレスからそれに対応するMACアドレスを動的に 得るために用いられるプロトコル。RFC 826で定義され、 その後 RFC 5227、 RFC 5494 により内容のエンハンスが行われている。 TCP/IPにおいて、IPパケットを送受信するためには、 下位のデータリンク層のアドレスを取得する必要があり、 MACアドレスが必要な場合に ARP が用いられる。イーサネットの場合論理的なIPアドレスを 物理的なハードウェア・アドレスであるMACアドレスに変換する必要がある。 (引用:Wikipedia)
- 5. ARP スプーフィングについて ターゲット攻撃者 IP: 192.168.0.2 MAC: bb:bb:bb:* IP: 192.168.0.3 MAC: cc:cc:cc:* ARP Table (Before) IP MAC 192.168.0.1 aa:aa:aa:* ARP Table (After) IP MAC 192.168.0.1 cc:cc:cc:* 改竄 operation ARP Reply src hardware addr cc:cc:cc:* src protocol addr 192.168.0.1 dst hardware addr bb:bb:bb:* dst protocol addr 192.168.0.2 偽装ARP Reply 偽装ARPを送信 「192.168.0.1はcc:cc:cc:*ですよー」というメッセージを送信。 ターゲットは、ルータ(192.168.0.1)に送信するはずが、攻撃者の コンピュータに通信をしてしまう。。。。 ルータ IP: 192.168.0.1 MAC: aa:aa:aa:*
- 6. 攻撃者 IP: 192.168.0.3 MAC: cc:cc:cc:* ターゲット IP: 192.168.0.2 MAC: bb:bb:bb:* ルータ IP: 192.168.0.1 MAC: aa:aa:aa:* 正常なパケットと異常なパケット operation ARP Reply src hardware addr cc:cc:cc:* src protocol addr 192.168.0.3 dst hardware addr bb:bb:bb:* dst protocol addr 192.168.0.2 正常なARP Reply パケット operation ARP Reply src hardware addr cc:cc:cc:* src protocol addr 192.168.0.1 dst hardware addr bb:bb:bb:* dst protocol addr 192.168.0.2 異常なARP Reply パケット 送信者hardwareアドレスと Protocolアドレスが一致 送信者hardwareアドレスと Protocolアドレスが不一致 このような送信元を偽装した パケットを送って、 ターゲットのARPテーブルを 強制的に改竄させる
- 7. MITM攻撃(中間者攻撃) 暗号理論において、中間者攻撃 (ちゅうかんしゃこうげき、man-in-the-middle attack、MITM と略記されることもある) またはバケツリレー攻撃(バケツリレーこうげき、bucket-brigade attack)は、能動的な盗聴の 方法である。中間者攻撃では、 攻撃者が犠牲者と独立した通信経路を確立し、犠牲者間のメッセージを中継し、 実際には全ての会話が攻撃者によって制御されて いるときに、 犠牲者にはプライベートな接続で直接対話していると思わせる。 攻撃者は2人の犠牲者の間で交わされている全てのメッセージを横取りし、 間に別 のメッセージを差し挟む。これは多くの状況で容易なものである。 (例えば、公開された無線アクセスポイントの所有者は、ユーザへの中間者攻撃を実行することが、本質的に可能である。) (引用:Wikipedia)
- 9. 攻撃実験 実験環境 ターゲット windows 8.1 IP 192.168.179.10 MAC 5c:51:4f:* 攻撃者 Ubuntu gnome 14.04 LTS IP 192.168.179.6 MAC a6:12:42:*
- 11. 攻撃者の作業 準備 1 カーネルのip_forrwardを有効にする 2 ARPスプーフィング攻撃で、ルータとターゲットのARPテーブルを書き換える。 （作成した攻撃プログラムを使用する。） MITM攻撃が成功したら 1 pcapファイルに通信内容が保存されているので、あとは煮るなり約なり 某パケットキャプチャに食べさせるなり。 2 sslstripなどを使えば、sslの通信も丸見えになるかも。。。
- 13. 攻撃者の作業 ● ARPスプーフィング攻撃で、ルータとターゲットのARPテーブルを書き換える。 （作成した攻撃プログラムを使用する。） これで攻撃が成功しているはずなので、あとは気長に待つ…..
- 18. ARPスプーフィングを検知する方法 ① 怪しい通信を発見する IPアドレスとMACアドレスのリストをネットワーク管理者が一定時間ごとに調べ、 リストと異なるＡＲＰパケット(MACアドレスのみの変化)などをリストアップする。 また、ネットワーク管理者のコンピュータ自体が攻撃されることもあるので、 リストの変化も攻撃による可能性もある。 IP MAC 192.168.0.1 aa:aa:aa:* 192.168.0.2 bb:bb:bb:* 192.168.0.3 cc:cc:cc:* 192.168.0.4 dd:dd:dd:* ある時刻でのIPアドレスとMACアドレスの対応表１ IP MAC 192.168.0.1 aa:aa:aa:* 192.168.0.2 cc:cc:cc:* 192.168.0.3 cc:cc:cc:* 192.168.0.4 dd:dd:dd:* ある時刻でのIPアドレスとMACアドレスの対応表２ 例２ 二つのホストが同じMACアドレスに なっているので、明らかにおかしい 例１ リストと違うペアのパケットが 流れていて、怪しい。。
- 19. ARPスプーフィングを検知する方法 ② ①のパケットを解析して、攻撃者を特定する リストアップされたパケットの改竄部分が攻撃者のアドレスとなるので、 そのアドレスのコンピュータを攻撃者と特定。 operation ARP Reply src hardware addr cc:cc:cc:* src protocol addr 192.168.0.1 dst hardware addr bb:bb:bb:* dst protocol addr 192.168.0.2 異常なARP Reply パケット ARPスプーフィングによる中間者攻撃の場合 この部分が攻撃者のアドレスである可能性が高い 攻撃者のMACアドレスはcc:cc:cc:*の可能性が高い このようにして、攻撃者を特定していくのだが、検知ミスなどや、 攻撃検知をかいくぐってくる攻撃もあるかもしれないので、安心はできない
- 20. まとめ：どのようにして攻撃検知をするか ① 攻撃ごとの特徴をつかみ、その通信を論理的にまとめたルールを作る。 ② 定めたルールに引っかかる通信を解析して、攻撃者を割り出す。 ③ 誤検知や検知できないものもあるので完璧ではない。(今後もっと調べていきます。)