Network Security and Network Attacks

1
??????? ?????????? ??????? ?????

• ????? ?????!

?????????? ??? ? ?? "??. ??????? ????????"
26.11.2003
?????? ???????? ????? ????? ??????
???????????? ??????? ???????? ?????
?????? ??????? ?????
http//www.nedyalkov.com/security/
2
??????? ?????????? ??????

• ?????????? ??????????????? ?????? ? ???? ?? ?????
  ??????? ?????????, ????? ??? ??? ?? ??
• ??????? ?????? ??????? ????? ????? datalink,
  network ? transport ???????? ?? OSI ????????
  ?????
• ??????? ?? ????? ???????? ?? ????? ?? ?????
  ??????? ?????????

3
???????

• ?????? ????????
• ???????? ? ?????? ?????????????
• ???????? ??????????
• ?????????? ?? ???????????
• ?????????? ?? UNIX OS. ???????? ?? ? UNIX ?? 1994
  (System V/286)
• ?????? ???????? ????????????? ? ?????? ?????????
  ????????
• ?????????? ? ???????? ????????? ? ??????????????
  ? ????? ???????? ???????

4
???????

• ????? ?????
• ?????????? ? ?????????? ?? ??????????? ?? 1992
• ???????? ? ?????? ????????????? ?? 1996
• ????? ?? ??????? ??? ??? ?? ????????? ??
  ???????????
• ?????????? ???????? ? Internet ???????? ?? 2001

5
???????

• ?????? ????????????
• ???????? ? ?????? ????????????? ?? 1996
• ?????????? ???????? ? ????????? ? Unix Solutions
  http//unixsol.org/
• ?????????? ? ??????? ?????????? ?????????? ?
  ?????????? ?? ??????? ?? ?????????? ?? ???????
  (MAN) ????? ? ??. ????? ? ????????
• ???? ?? "????????? ???????? ???????"

6
???????

• ????? ??????
• ?????????? ?? 1995, ???? ?? ?????????????? ??
  ????????????? ??????? FreeBSD
• ???????? ? ?????? ????????????? ?? 1998
• ?????????? ? ???????? ???????????? ???????
  ?????????????? ?? Office 1 Superstore
• ???????? ? ????????????? ? ???????????? ??
  dial-up ????????? ?? 0rbitel

7
???????

• ??????? ?????
• ?????????? ?? ?????????? ?? ???????
• ?????????? ?? ??????????? ?? 1992
• ???????? ?? ??????? ???????????? ????????? ??
  ???????????
• ????? ?? ??????? ??? ??? ?? ?????????
• ????? ?? ??????? ?????? ? ????????? ?
  ???????????? ???????, ???????? ? ?????????,
  ????????? ?????????? ? ??????? ?????????
• ????????? ???????????? ? ??? ?? ??
• ???????? ??????????? ???? ???????? ?? ??????
  ?????????? ? ???????????? ?????

8
???????

• ??????? ????????
• ?????????? ? ?????????? ?? ??????????? ?? 1995
• ???????? ?????????? ????? ?? ???????????? ??
  ???????????
• ?????????? ? ?????????? ???????????????? ??
  ????????? ?? ??????? ?? ????????? ???????????? ?
  ????? ????????
• ??????????? ?? ????????? ??????? ????????? ???
  ??? ???? 2002 ? 2003

9
?? ????? ??????? ?????????

• ?????? ??????? ????????? ? ??????? ??????????
  ??? ??? ?? ??
• ????? ?? ????? ? ?? ???????? ??????????? ?
• ????????? ???????? ?? ????????? ? ??????? ????? ?
  ????????
• ????????? ????????? ? ??????, ?????????? ?
  ???????????? ????? ? ??????? ?????????
• ?????? ?? ?????? ?? ?????????? ????? ?
  ??????????? ?? ?????????? ?????
• ?????? ? ???-?????????????? ??????? ??????????
  ??? ?????????
• ?????? ? ?? ?????? ?? 500 ????????!

10
???? ?? ????????

• ?????????. ???? ?? ??????????????. ??????????
  ?????? ? ??????
• ???????? ?? ????????? ??????? ??????????????
• ???????????? ?? ???????
• ?? datalink ???? ARP poisoning, Sniffing
• ?? network ???? IPID ????? (idle scan)
• ?? transport ???? TCP kill, TCP nice, SYN
  flood, Blind TCP spoofing
• ?? application ???? DNS spoof
• ???????? ??????? ???? ??????????????

11
?????????

• ???? ?? ??????????????
• ??????????? ? ????? ??????? ????? ????? datalink,
  network ? transport ???????? ?? OSI ????????
  ?????
• ?????????? ?????? ? ??????
• ??????? ???????? ?? ?????????? ????? ?
  ??????????? TCP/IP
• ?? ????????????????!
• ?????????????? ?? ??????? ? ???????????? ? ???? ?
  ?????? ???
• ?? ???????????????? ? ??????????? ??????

12
T?????? ??????? ??????????????

• ??????????? ? 4 ?????????, ???????? ? ???????
  ????? ??????????? switch
• server 10.0.1.14 gateway DNS, POP3, FTP,
  WWW
• attacker 10.0.1.190
• win9x 10.0.1.186 SMTP
• client 10.0.1.185

13
???? ?? ??????????????

• ?? ????? ????? ?? ??????????
• ??? ?? ???????
• ?????????? ???????
• ?????????? ?????????
• ?????????? ??????????? ? ?????????
• ???????????
• ?????? ?? ??????
• ??????????? ?? ??????? (?? ????)

14
?????? ?? ??????????????
15
Datalink ???? ?? OSI ??????

• ????? datalink ???????? ?? ???????????
  ??????????? ?? ???????? ?????, ????? ??
  ?????????? ?? ?????? ???????? ?????
• ???????? ? Ethernet ?????
• datalink ????? ?? ????? ?? ????????? ? ??????????
  ?? Ethernet frames
• ???????????? ????? ?? MAC ?????? ?? ????????
  ???????
• ???????, ????? ??????? ?? datalink ????, ??
  ???????? ? ??????? ?????

16
ARP Poisoning

• ????????????? ??????????
• ????????? ????? switch ? hub
• Hub ???????????? ?? ???-?????????? ???????????
  ????????? ?????????? ?????? ??? ???????? ??
  ???????
• Switch ???????????? ?? ??-???????????? ? ????????
  ?????????? ?????? ???? ?? ?????, ?? ????? ?
  ??????? ?????? ?????????

17
ARP Poisoning

• ???? ?? ???????
• ?? ?? ??????? ???????? ?? ???? ?????? ?????? ?
  Ethernet ??????? ?????, ???? ?? ?? ????????? ????
  ??????????? ??????
• ??????????? ?? ???? ?????? ?????? (sniffing)
• ?????????? ?? ??????? ?? ?????? ?????? ??????,
  ?????????? ???? ?????????? (man in the middle)
• ???????? ?? ?? ????????????? ?? ????? ?????
  ??????? ?????

18
ARP Poisoning

• ?????????? ???????
• Ethernet ??????? ?????
• ???????????? ???? ?? ? ???? hub ??? switch ??
  ??????? ???? ????????
• ??????? ?????? ?? ???? ????????? ?????? ?????
  ???? ????? ???? ? ? ????? ?????? Ethernet ?????
• ????????????? ??????? ????? ????????
• ? ????? ??????????? ??????? ??? ??????? ??????,
  ?? ?? ? ???????????

19
ARP Poisoning

• ?????????? ?????????
• ??????????? ??????? ????????????? (spoofed) ARP
  ?????? ??? ???????? ?????? ? ??? gateway-? ?
  ??????? ? ???? ??? ????????? ??????? ????? ???
  ???? ???? ??
• ???????? ? ?? ?? ??????? ??????? ????? ??????????
  ??? ?????? ?? ????????? ?????
• ???????? ?? ????, ?? ?????????? ?????? ??? ????
  gateway, ?? ?????????? ????? ???? ??????????

20
ARP Poisoning
21
ARP Poisoning

• ?????????? ?? ?????????? ?? ???????
• arpspoof

22
ARP Poisoning

• ???????????? ?? ???????
• ARP Poisoning

23
ARP Poisoning

• ?????? ?? ??????
• ???????????? ?? ARP Poisoning ?????
• arp
• ping -r
• traceroute
• ??????? ??????? ???? ?? ???? ????????

24
ARP Poisoning

• ?????? ?? ??????
• ????????? ?????? ? ???????? ???? ?? ????????
  managed switch ? ??????, ????? ????? ????????????
  ARP ??????
• Managed switch-?? ???? ?? ????? ???? ??????????
  MAC ? IP ?????? ? ?? ??????? ??????
• ????? ????? ??????????
• ???????? ARP ??????? ?? ?????? ?????? ? ???????
  ?????? ?? ?????????? ? ?????????

25
ARP Poisoning

• ???????????? ?? ARP Poisoning ?????
• arp
• ????????? arp ??????? ???????????? ?? ????????
  ARP ??? ?????????????? ????? IP ? MAC ??????
• ????? ?? ?????, ?? ??????? ?????? ? ?????????
  ????? ???? ??????? MAC ?????
• ??????? ???????? ? ???? ? ?????? ??????? ?????
• ??????? ??????????? ?????? ???? ?? ???? ????? ?
  ????????? ?????

26
ARP Poisoning

• ???????????? ?? ARP Poisoning ?????
• ping -r
• ????????? ping -r ??????? ICMP ?????? ? ???????
  record route ???? ? IP ??????
• ????? ?? ?????, ?? ?????? ?????? ?????? ????
  ?????????? ?????? (??? ?? ?????? ?? 8 ??????)
• ??????? ??????????? ???? ?? ??????? record
  route ??????? ?? ?????? ?? ? ?? ????? ?????????
• ?????????? ?? record route ??????? ?? Linux
  ?????? http//vasil.ludost.net/22mx1.patch
• ??? FreeBSD ???? ?? ?? ?????? IPSTEALTH ???????
  ?? ??????

27
ARP Poisoning

• ???????????? ?? ARP Poisoning ?????
• traceroute
• ????????? traceroute ?????????? ???? ?? ????????
  ????? ??? ??????
• ????? ?? ?????, ?? ?????? ?????? ?????? ????
  ?????????? ??????
• ??????? ??????????? ???? ?? ????? ????????? ??
  traceroute ???? ipt_TTL (http//www.iptables.org/)
  ??? ? ??????? IPSTEALTH ??? FreeBSD

28
ARP Poisoning

• ???????????? ?? ???????? ?? ????????? ?? ???????
  ARP Poisoning ? ???????? ?? ??????????? ?

29
?????? ?? ???? ?????? ??????

• ???? ?? ???????
• ?? ?? ???????? ???? ?????? ?????? ? ?? ?? ???????
  ?????????? ?? ????
• ???? ?? ?? ???????? ??????????, ??????? ?? ?????
  ????? ?????
• ???? ?? ?? ???????? ?????????????? ??????????
  (?????? ?? ??????)
• ?????????? ???????
• ??????? ?????, ? ????? ?? ??? ?????????? ?? ??
  ????????? ??????? ??? ???????? ?? ?????? ????
  ??????????

30
?????? ?? ???? ?????? ??????

• ?????????? ?????????
• ??? ??????? ?????? ?????? ??????? ?? ???????
  ????? ?? ??????????, ??? ???? ?? ?? ????????
• ??????????? ?? ?????????? ?? ???????
• Ethereal
• arpspoof

31
?????? ?? ???? ?????? ??????

• ?????? ?? ??????
• ?????? ? ????????? ?????
• ?? ?????????? hub-???
• ?? ????????? ?????????? ?? ARP poisoning ?????
• ?????? ??????
• ?????????? ????????????? ?????? ?? ??????? (VPN,
  SSL, PGP)

32
?????? ?? ???? ?????? ??????

• ???????????? ?? ??????? ??????????? ?? ????
  ?????? ?? ???????

33
DNS Spoofing

• DNS ? ????? ????? ?????? ? ????????
• ??????? ? ????? network ? application ???????? ??
  OSI ???????? ?????
• ???? ?? ???????
• ??????????? ?? ????????? ?? ????? ??????
  (???????? ????? Web ??????) ? ?????????? ???????
  ?? ???? ?????? ??? ???? ??
• ?????????? ???????
• ???????? ?? ???????? ?????? ?? ????????? ????
  ???????? ?? ?????????? ???????? ???? ????????
  ?? ARP spoofing ?????

34
DNS Spoofing

• ?????????? ?????????
• ???????? ??????? ?????? ?? ???????? ?? IP ??????
  ?? ????? ?? ?????? ??????
• ??????????? ???????? ???????? ? ????? ???????
  ??????? (??????????? ?? IP)
• ???????? ?? ????????, ?? ?????????? ?? ?
  ????????? ??????, ? ? ??????????? ??????

35
DNS Spoofing
36
DNS Spoofing

• ??????????? ?? ?????????? ?? ???????
• DNSspoof
• arpspoof

37
DNS Spoofing

• ?????? ?? ??????
• ?????? ? ????????? ?????
• ?? ?????????? hub-???
• ?? ????????? ?????????? ?? ARP poisoning ?????
• ?????? ??????
• ?????????? ?? ????????? DNSSEC, ????? ???
  ????????????? ??????

38
DNS Spoofing

• ???????????? ?? ???????
• DNS Spoofing

39
Network ???? ?? OSI ??????

• ????? network ???????? ?? ????? ????? ????
  ???????????????? ?? ?????? ?? frames ?? datalink
  ???? ????? ?? ?? ???????? ????? ????? ??? ??????
  ? ?????
• ???????? ? TCP/IP ????? network ?????
• ? ?????????? ?? IP ?????????
• ??????? ??????? ???? ???????????????? ?? IP
  ??????
• ???????????? ????? ?? IP ?????
• ???????? ????? ?? ?? ??????? ? ?? ?????????? ????
  ???????? ?????? ?? ???? ??
• ???????, ????? ??????? ?? network ????, ????? ??
  ?? ???????? ????? ? ??????? ?????, ???? ? ?
  ????????

40
IPID Games Idle Scan

• ???? ?? ???????
• ?? ?? ???????? TCP ????????? ?? ?????? ?????? ???
  ??????????? ?? ??????? ??? ???????? ?? ???????
• ?????????? ???????
• ?????????? ????? ??????????? ??????,
  ????????-?????? ? Zombie ????????
• Zombie ???????? ?????? ? ????????, ????? ????????
  ????? ?????????? IPID-?? (???????? Windows)

41
IPID Games Idle Scan

• ?????????? ?????????
• ??????????? ?????? ??????? spoofed SYN ????? ??
  ????? ???? ?? ????????-?????? ?? ????? ?? Zombie
  ????????
• ????????-?????? ???????? ? ACK ??? RST ?
  ?????????? ???? ??????????? ???? ? ???????
• IPID-?? ?? Zombie ???????? ?? ????????? ?
  ???????? ????????? ? ?????????? ???? ? ????????
  ACK ??? RST ????? ?? ????????
• ??????????? ?????? ????????? IPID-?? ?? ????????
  Zombie ? ?? ???? ??????? ???? ??????????? ???? ?
  ??? ???????

42
IPID Games Idle Scan
43
IPID Games Idle Scan

• ??????????? ?? ?????????? ?? ???????
• hping
• ?????? ?? ??????
• Zombie ???????? ???? ?? ?? ??????, ???? ?? ?????
  ????????????? ??????? ??? ???? ??????????????? ??
  TCP/IP ?????
• ???????? ???????????? ????? ?? ??????? ????????
  ?? ?????? ??????? ???? egress ??????????, ?????
  ?? ??????? spoofed ??????

44
IPID Games Idle Scan

• ???????????? ?? ???????
• Idle Scan

45
IPID Games ????????? ?? ??????

• ????????? ?? ??????? ?? ?????? ??????
• ???? ??????? ??? ?? ???????? ??????????? ??
  IPID-?? ???? ?? ?? ???????? ????? ?????? ????????
  ?????? ??????
• ????????-?????? ?????? ?? ??? ????? ??????????
  IPID-?? (???????? Windows)

46
Transport ???? ?? OSI ??????

• ????? transport ???????? ??? ?? ?? ????????
  ??????????? ?? ?????????? ?? network ????, ????,
  ?? ?? ?? ????????? ??????????
• ???????? ? TCP/IP ????? transport ?????
• ? ?????????? ???? TCP ? UDP ???????????
• TCP ????????? ???????? ??????? ??????????
  ?????????????? ?????? ????? ??? ????? ? ???????,
  ??????????? network ????
• ???????????? ????? ?? IP ????? ????? ?? ????
• ???????, ????? ??????? ?? transport ????, ?????
  ?? ?? ???????? ????? ? ??????? ?????, ???? ? ?
  ????????

47
???????????? ?? TCP ??????

• 3-way handshake ??? TCP ?????????

48
????? ?? ???? TCP ??????

• ?????????????? ???????????? ?? TCP ?????? ????? ?
  SYN ????? ??????????? 3-way handshaking
• RST ???????? ??????????? ?????????? ????????,
  ?????????? ?? ??? ?? ???????? ?? ???????
• FIN ???????? ?????? ?? ???????? ???????????? ??
  TCP ??????

49
TCP Kill

• ??? ?? ???????
• ?? ?? ???????? ??????????? TCP ??????
• ?? ?? ?? ????????? ???????? ?? TCP ??????
• ?????????? ???????
• ?? ????? ?????????? ?? ??????????? ????????
  ?????? ?? ??????????? ?????? (???????? ???? ARP
  poisoning) ??? ?? ????? ????? ?? ????????? ISN
  ????????
• ????????????? ??????? ????? ????????

50
TCP Kill

• ?????????? ?????????
• ??????????? ?????? ????????? ??????? ?? ????????
  ? ???????? ???????? TCP sequence ??????
• ??????? TCP sequence ????????, ??????????? ??????
  ???????? ? ??????? ???????? RST ?????, ?????
  ?????????? ????????? ????????
• ??????????? ?? ?????????? ?? ???????
• tcpkill
• arpspoof

51
TCP Kill

• ?????? ?? ??????
• ?? ????????? ?????? ?????? ?? ???? ??????????
• ? ??????? ?????
• ?? ?????????? ????? ? hub
• ?? ????????? ?????????? ?? ARP Poisoning ?????
  (?????????? ???????????? Managed Switch)
• ?????????? ?? ??, ??? ????? ?? ? ????? ?? ??
  ???????? ISN ????????

52
TCP Kill

• ???????????? ?? ???????
• TCP Kill

53
?????? ?? ??????? ?? ????????? ? TCP/IP

• TCP window size
• ???????????? ?????? ????? (???????????? ??
  ?????????? ? ACK ?????), ????? ?????????? ???? ??
  ??????? ?? ?????? ???????? TCP ?????? ??? ?? ????
  ????????????
• MTU Maximum Transmit Unit
• ???????????? ?????????? ????? ? ???? IP ?????
• ICMP source quench
• ICMP ?????, ????? ???????????, ?? ?????? ?? ????
  ??? ?????????? ?? ?????????? ?? ????? ?????

54
TCP Nice

• ??? ?? ???????
• ?? ?? ?????? ????????? ?? ???????? TCP ??????
• ?????????? ???????
• ??????????? ?????? ?? ??? ?????????? ?? ???????
  ??????? TCP sequence ?? ?????? TCP ?????,
  ???????? ???? ??????????? (ARP poisoning)
• ????????????? ??????? ????? ????????

55
TCP Nice

• ?????????? ?????????
• ???? ????????? spoofed ?????? ???????????
  ?????????? ????????-?????? ?? ?? ???????? ???????
  ???? ?? ????? ??-?????
• ???? ?????????? ?? TCP window size-?
• ???? ?????????? ?? MTU-?? ?? ????????
• ???? ????????? ?? ????????????? ICMP source
  quench ??????
• ??????????? ?? ?????????? ?? ???????
• tcpnice
• arpspoof

56
TCP Nice

• ?????? ?? ??????
• ?? ????????? ?????? ?????? ?? ???? ??????????
• ? ??????? ?????
• ?? ?????????? ????? ? hub
• ?? ????????? ?????????? ?? ARP Poisoning ?????
  (?????????? ???????????? Managed Switch)
• ?????????? ?? ??, ??? ????? ?? ? ????? ?? ??
  ???????? ISN ????????

57
TCP Nice

• ???????????? ?? ???????
• TCP Nice

58
SYN Flood

• ??? ?? ???????
• ?? ???????? ?????????? ?????????? ?? ???? TCP
  ?????? ?? ????????? ????
• ?? ???? ????? ???? ?? ?? ??????? ?????? ??????
• ?????????? ???????
• ??????????? ?????? ?????? ?? ???? ?????? ?? SYN
  flood
• ?????????? ?? ????????? ?????????? ??????, ??
  ????? ??????????? ?? ?????????

59
SYN Flood

• ?????????? ?????????
• ??????????? ??????? ????? ???? ????????????? SYN
  ?????? ?? ????? ?? ???????? ?????????? ??????
• ????????????? ??????? ?? ???????? ?? ???????? ??
  ????????? ????? ?????? ?? ? ???????? ?? TCP
  ?????? ? ????????? SYN_RCDV, ?.?. ?????? ??
  ???????? ???? 3-way handshake
• ??? ???? ???? ??? ?? ??????? handshake-?,
  ???????? ?? ???????? ? ?????? ??????
• ????????????? ??????? ??????? ?? ?? ?????? ????
  ?????? ?? TCP ?????? ?? ?????????? ????

60
SYN Flood
61
SYN Flood

• ??????????? ?? ?????????? ?? ???????
• synk
• ?????? ?? ??????
• SYN cookies
• ?? ?? ???????? ?????? ?? ???????? ?????????? TCP
  ??????
• ???????????? ?? ???????? ?? ?????? ? ISN ????
  ????????????? ?????????
• ??????????? ?? ? Linux, BSD, ...
• ? Windows ???? ??????

62
SYN Flood

• ???????????? ?? ???????
• SYN Flood

63
Blind TCP Spoofing

• ??? ?? ???????
• ?? ?? ????????? TCP ?????? ?? ?????????? ??????
  ?? ????? ?? ?????????? IP ?????
• ?????????? ???????
• ??????????? ?????? ?????? ?? ??? ????? ??????????
  ISN (???????? Windows 95/98)
• ????????, ?? ????? ??????????? ?? ?????????, ??
  ?????? ?? ??? ?????? ?? ????????-??????

64
Blind TCP Spoofing

• ?????????? ?????????
• ??????????? ??????? SYN ????? ??? ???????? ??
  ????? ?? ????? ??????????? ?????? M, ????? ????
  ?????? ?? ????????
• ???????? ??????? SYNACK ?? ???????? M
• ??????????? ???????? ISN ?? ?????????? ??
  ???????? ????? ? ??????? ???????? ACK ?????,
  ????? ? FIN
• ???????? ? ?? ?? ???????? ??????? ?????? ? ?????
• ???????? ?? ???????, ?? ???????? ?? ????? ?? M, ?
  ?? ??????????? ??????
• ???? ???????? ??????????? ?????? ?????? ??????
  ??????????? TCP ?????? ?? ????? ?? M

65
Blind TCP Spoofing
66
Blind TCP Spoofing

• ??????????? ?? ?????????? ?? ???????
• ????????? ??????????? ???????????
• ?????? ?? ??????
• ????? ?? ????????????? ??????? ??? ???? ?? TCP/IP
  ???????????????, ???? ?? ?? ?? ????????? ??????
  ?????????? ISN

67
Blind TCP Spoofing

• ???????????? ?? ???????
• Blind TCP Spoofing

68
???????, ???????? ? ??????

• ???? ??????? ????????? http//www.nedyalkov.co
  m/security/
• Wireless Access Points and ARP Poisoning
  http//www.cigitallabs.com/resources/papers/downlo
  ad/arppoison.pdf
• An Introduction to ARP Spoofing
  http//packetstormsecurity.org/papers/protocols/i
  ntro_to_arp_spoofing.pdf
• DSniff http//www.monkey.org/dugsong/dsniff/
• The Ethereal Network Analyzer
  http//www.ethereal.com/

69
???????, ???????? ? ??????

• Idle Scanning and related IPID games
  http//www.insecure.org/nmap/idlescan.html
• hping - http//www.hping.org/
• SYN Flood DoS Attack Experiments
  http//www.niksula.cs.hut.fi/dforsber/synflood/re
  sult.html
• Linux Blind TCP Spoofing http//ciac.llnl.gov/ci
  ac/bulletins/j-035.shtml
• Computer and Network Security Threats -
  http//www.cas.mcmaster.ca/wmfarmer/SE-4C03-03/sl
  ides/06-threats.pdf

70
????????

• ?????? ????????