Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Обсуждение статей (закрыто) » Обсуждение публикаций
Страницы: 1
RSS
IP Smart Spoofing - новый метод отравления ARP кэша
 
#1
Это нравится:0Да/0Нет
27.11.2002 14:01:59
Обсуждение статьи IP Smart Spoofing - новый метод отравления ARP кэша
 
 
 
#2
Это нравится:0Да/0Нет
27.11.2002 14:02:00
да-да, новый метод, он уже почти два года как новый :)
 
 
 
#3
Это нравится:0Да/0Нет
27.11.2002 14:54:00
нуууу... не совсем два года... но не то чтоб вчера открыли...

короче на сек.лабе появляется все вслед за тем, как оно появляется в mail-list'ах типа тех, что перечислены на insecure.org
я вот 3 дня назад там обсуждение этой темы видел, теперь здесь появилась... переводили наверное :)
 
 
 
#4
Это нравится:0Да/0Нет
27.11.2002 14:57:00
не, ну даже картинки сперли! во дают! или это у security-lab'а сперли картинки? :)
забыл как сайт называется, там статейка именно эта и была, с этими картинками :)
 
 
 
#5
Это нравится:0Да/0Нет
27.11.2002 15:05:00
Сайты по одной теме но разноязычные часто берут друг у друга картинки. И часто даже являются вольными и даже дословными переводами друг друга
 
 
 
#6
Это нравится:0Да/0Нет
27.11.2002 15:09:00
Это - общепринятая практика, достаточно посмотреть новостные сайты - rbc, compulenta, utro, cnews ...
 
 
 
#7
Это нравится:0Да/0Нет
27.11.2002 15:22:00
Я ссылку вверху дал на источник
 
 
 
#8
Это нравится:0Да/0Нет
27.11.2002 16:02:00
а ты большими буквами давай ссылки :))
 
 
 
#9
Это нравится:0Да/0Нет
27.11.2002 16:13:00
Вот чего вы к автору (вернее, переводчику) пристали? Перевёл - ему спасибо надо сказать (если сам перевёл). А сама статья, если мне не изменяет память, была опубликована 14 ноября на французском сайте (на него как раз и указывает ссылка в начале статьи) - оттуда же были взяты и рисунки. Автор - Лорент Ликур. Сам метод не новый, РЕАЛИЗАЦИЯ - новая именно в сочетании arp-sk и iptable. Был в довесок ещё выпущен Перл-скрипт под названием smartspoof.pl. И, если ещё интересно, вот один из ответов авторамм на простом аглицком языке:
---
Laurent,
Thanks for your note.  In reality IP Smartspoofing is no different than
ARP cache poisoning so I'm not entirely sure why a new name was
"invented".  In this particular case one is able to prevent the
following:
- key ports and corresponding MAC entries are hardcoded and secured (ie
gateways).  If there is a MAC violation, this is logged and the port is
shut down.  9 times out of 10 if someone is performing ARP spoofing they
will go for a device that is best connected so consider this a fly trap.
- host ports are protected by only allowing one MAC address on a port
at any given time with a lag of 5 minutes for timeout.  Yes a station
can change its hardcoded MAC.  This will allow them to see at most the
traffic of one other host on the switch.  Not perfect, but the odds are
greatly reduced.

A couple of ways that come to mind for having complete protection are:
- have a method of detecting duplicate MAC addresses on a switch
- enable "sticky" ARP.  This will keep end stations from being able to
change their MAC address, but at a potentially high administrative
burden.  I'll make a note of this option in the doc.

Cheers,
-- steve
---
2переводчик: Я бы не стал, честно говоря, так вот в лоб переводить слово poisoning, как отравление. :) Название статьи ведь бредовым получается!
 
 
 
#10
Это нравится:0Да/0Нет
27.11.2002 16:16:00
Вот блин пристали. Ссылка на этот сайт приведена в начале статьи. Ну и что отравление? как будто что то стало не понятно.
 
 
 
#11
Это нравится:0Да/0Нет
27.11.2002 16:16:00
Да и скрипт тоже приведен
 
 
 
#12
Это нравится:0Да/0Нет
27.11.2002 16:24:00
Вопросов нет, все путем
 
 
 
#13
Это нравится:0Да/0Нет
28.11.2002 12:51:00
Ничего нового здесь на написанно, я эту атаку делал  когда еще пешком под стол ходил.

Забавно когда в сети есть клон, т.е. две тачки с одинаковым IP и MAC [можно сделать и на w2k,xp стандартными средствами]. Обе тачки спокойно юзают инет, не мешая друг-другу.
 
 
 
#14
Это нравится:0Да/0Нет
30.11.2002 16:21:00
сори, на ссылку не обратил внимания, так как не читал статью здесь :)
просто я ее уже в оригинале прочел до этого и не стал вглядываться
 
 
 
#15
Это нравится:0Да/0Нет
08.01.2003 08:06:00
инструмент winarp-sk как я понимаю ... что то не идёт Firewall spoofing ...кто нибудь пробывал поделитесь секретом ...
 
 
 
#16
Это нравится:0Да/0Нет
27.12.2005 15:32:07
Люди, мне что то не совсем понятен 1 момент...

Конечно так можно подставляться, но до первого широковещательного "arp who has" (допустим с только что включенной машины, у которой arp-кэша еще нет)
После ответа жертвы на компах с "отравленым" arp-кэшем он приобретает свой нормальный, неотравленый  :funny: , вид.  И пакеты снова идут мимо злоумышленика. Злоумышленику нужно заново повторять "отравление"?
или я что-то не так понял?
 
 
 
#17
Это нравится:0Да/0Нет
27.12.2005 16:02:29
Цитата
Гость пишет:
повторять "отравление"

Ещё может по таймауту кэш очиститься.
Обычно раз в несколько секунд "новую каплю яда" добавляют, т.е. повторяют spoofing/
 
 
 
#18
Это нравится:0Да/0Нет
28.01.2007 03:41:09
полной (MAC+IP) подмены не выйдет,
т.к. свичи не пустят невесть откуда взявшийся мак на своем порту.
так что переправку нужно делать с реального мака.
где-то попадалась мне атака на свичи в этом отношении,
правда не помню что там и как, не интересовался.
 
 
 
#19
Это нравится:0Да/0Нет
28.01.2007 14:12:28
Цитата
Гость пишет:
полной (MAC+IP) подмены не выйдет,
т.к. свичи не пустят невесть откуда взявшийся мак на своем порту.
А почему нет-то если свитч неуправляемый или управляемый но без настроенного port security? Более того существует ситуация, когда свитч обязан принимать разные маки по одному порту - это аплинк к другому свитчу.

Цитата
Гость пишет:
так что переправку нужно делать с реального мака.
Представим ситуацию - на двух портах неуправляемого свитча(или свитча с ненастроенным port security) висит одинаковая связка IP-MAC. Как поведет себя свитч в такой ситуации зависит от реализации.
 
 
 
Страницы: 1
Читают тему