AG Test: scap

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgS2MIly30dDy2lxZQ63BPjM7blK23YFQxTTY-1LezN6GmWCNQiDHir_teYPZDlw8lR2_hUauUNhxrZu3_P0r4c55gIvxnQ8i44t2omcFBCSYnu8upAWqU0Nmoz4uL5NorN6iIjdiwu2uhu/s1600/HSRP.jpg" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgS2MIly30dDy2lxZQ63BPjM7blK23YFQxTTY-1LezN6GmWCNQiDHir_teYPZDlw8lR2_hUauUNhxrZu3_P0r4c55gIvxnQ8i44t2omcFBCSYnu8upAWqU0Nmoz4uL5NorN6iIjdiwu2uhu/s1600/HSRP.jpg" /></a>Günümüz internet dünyasında ve kurumların iç ağ altyapılarında iletişiminin kesintisiz bir şekilde devam etmesi büyük önem taşımaktadır. Özellikle internet uygulamaları, ses ve video iletişimi kullanımı iletişimin kesilmemesini zaruri kılmaktadır. Bunun için ağ altyapılarında kullanılan bütün aktif cihazların yedekli olarak çalıştırılması böylece cihazlardan birinin servis dışı kalması durumunda dahi gruptaki diğer cihazın yükü alarak iletişimin kesintisiz sürmesi hedeflenmektedir. Kurum içi ağ altyapıları açısından olaya bakıldığında, ağın merkezinde 3.katmanda çalışan bir cihazın çalışamaz hale gelmesi halinde buna alternatif olarak çalışıp iletişimi kesintisiz bir şekilde devam ettirecek yedek bir cihazın varlığı gerekir.<br /><a name="more"></a><br /><b>HSRP (Hot Standby Router Protocol)</b> aynı işi yapan birden fazla yönlendiricinin veya 3.katman ağ cihazının son kullanıcılara bir tek ağ geçidi gibi görünmesini sağlayarak yedeklilik yapısı sağlayan Cisco’ya özgü bir protokoldür. Aynı gruptaki yönlendiricilerden bir tanesi aktif olarak yönlendirme işlemini yürütürken grubun diğer üyesi yedek olarak <b>"standby"</b> konumunda, aktif yönlendiriciyi takip ederek herhangi bir terslik durumunda yerine geçmek için yedekte beklemektedir.  Protokol gereği cihazlar her 3 sn’de bir birbirlerine <b>"hello"</b> paketi gönderir. Yedek durumda olan cihaz, aktif cihazdan 10sn. içinde hiç hello paketi alamazsa kendini ağda <b>"Active Router"</b> olarak ilan ederek iletişimi devralır. Bundan sonra ilk durumda aktif olan cihaz yedek duruma geçer. Yapılandırma için iki cihazında üyesi olduğu ortak bir grup numarası belirlendikten sonra sanal ağ geçidi için sanal bir MAC adresi oluşturulur. Ağ kullanıcıları için sanal ağ geçidi IP adresi belirlenir. Burada asıl amaç kullanıcıların ağ geçidi olarak bu sanal IP adresini baz alması ve herhangi bir arıza veya aktif-yedek geçişlerinde arka tarafta çalışan yapının durumundan bağımsız hareket etmesini sağlamaktır. İki cihazdan hangisinin aktif hangisinin yedek olacağını ise <b>"priority"</b> olarak bilinen değer belirler. Varsayılanda bu değer 100 olduğu için, aktif olması istenen cihaza 100’den büyük bir değer girmek yeterlidir (0-255 arasında herhangi bir değer atanabilir). Bu değer iki cihazda  da aynıysa o zaman IP adresi büyük olan cihaz aktif olarak görev yapacaktır.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">HSRP grubu üyeleri birbirleri ile <b>224.0.0.2</b> multicast IP adresi ve UDP 1985 portu üzerinden haberleşirler ve varsayılanda kimlik doğrulama şifrelenmemiş şekilde yapılır. Bu durum ağda yer alan herhangi bir cihazın sadece paketleri dinleyerek yapı hakkında bilgi sahibi olmasını ve bunu baz alarak saldırı yapabilme imkanını doğurur.</div><div style="text-align: justify;"><br /></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgfjfz-XIzPDL-6IaUXyolfNqdywJxuQryAK9JxvRUFqVriRQe0YbavjarkJJQTmmirX6bPx6TIHSj8DwMe1fIXaUYIHJ9t5rrkdnlP8tRMTH8vOLevhpqtAVk8hwdZhv3pA0uF3SLq9A6w/s1600/1.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgfjfz-XIzPDL-6IaUXyolfNqdywJxuQryAK9JxvRUFqVriRQe0YbavjarkJJQTmmirX6bPx6TIHSj8DwMe1fIXaUYIHJ9t5rrkdnlP8tRMTH8vOLevhpqtAVk8hwdZhv3pA0uF3SLq9A6w/s1600/1.jpg" /></a></div><span style="text-align: justify;"><br /></span><span style="text-align: justify;">Şekilde belirtildiği üzere kendini bu gruba ait gösteren saldırgan belirtilen multicast IP adresine daha yüksek önceliklendirme değeri ile paketler göndererek aktif yönlendirici rolünü devralıp araya girebileceği gibi cihazın işlemci kullanımını %100'e vurdurarak sistemi servis veremez hale de getirebilir. Wireshark gibi bir paket dinleme aracı ile HSRP grubunun kullandığı şifrelenmemiş kimlik doğrulama parolası görülebilir. Görüldüğü üzere veri açık metin halinde iletilmektedir.</span><br /><span style="text-align: justify;"><br /></span><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhgXpJVgHEosccVZiDgEp4DdXA2NIezPGECp1l4qaYtrEXWOtkkAorpYE1hpfo3BZXLaocP4DJdUriuUJTWaVrv_F4LGiHAxvYLZnXHIJnQUD552lsYmsv6LSyVsvrp8fg62SrnCrPZY7za/s1600/2.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhgXpJVgHEosccVZiDgEp4DdXA2NIezPGECp1l4qaYtrEXWOtkkAorpYE1hpfo3BZXLaocP4DJdUriuUJTWaVrv_F4LGiHAxvYLZnXHIJnQUD552lsYmsv6LSyVsvrp8fg62SrnCrPZY7za/s1600/2.jpg" /></a></div><div style="text-align: justify;">HSRP gibi bir yedeklilik protokolünün çalınması 2.katmanda yer alan bütün güvenlik korumalarınıda etkisiz bırakacaktır. <b>Scapy </b>gibi bir paket üreteci ya da ağ saldırıları için özelleşmiş <b>Yersinia </b>veya <b>Loki </b>araçları ile bu tip bir saldırı gerçekleştirilebilir. Scapy üzerinden örnek vermek gerekirse aşağıdaki gibi bir paketin üretilmesi ile ağda aktif yönlendirici rolü çalınabilir.</div><h4><span style="font-family: Courier New, Courier, monospace;"># scapy<br />Welcome to Scapy (2.0.0.10 beta)<br />>>> ip = IP(src='192.168.40.128', dst='224.0.0.2')<br />>>> udp = UDP()<br />>>> hsrp = HSRP(group=1, priority=255, virtualIP='192.168.40.1')<br />>>> send(ip/udp/hsrp, iface='eth1', inter=3, loop=1)</span></h4><div style="text-align: justify;">Saldırı sonucunda mevcut ağ cihazlarının durumundaki değişim cihaz konsolundan görüldüğü üzere şu şekildedir.</div><h4><span style="font-family: Courier New, Courier, monospace;">%HSRP-5-STATECHANGE: FastEthernet0/0 Grp 1 state Active -> Speak<br />%HSRP-5-STATECHANGE: FastEthernet0/0 Grp 1 state Speak -> Standby</span></h4><div style="text-align: justify;">Bu ağ üzerindeki bütün paketler artık saldırganın üzerinden geçmekte ve bu durum saldırgana paketlere istediği gibi müdahale etme şansı vermektedir. İç ağ sızma testlerinde böyle bir saldırının kullanılması için son şekliyle yönlendirmeler doğru şekilde yapılmalı ve saldırıyı yapan makinenin ağ trafiğini kaldırabilecek güçlülükte olmasına dikkat edilmelidir.</div><h3>Çözüm:</h3><div style="text-align: justify;"></div><ul><li><b>Yetkilendirme</b>: HSRP ilişkisini gerçekleyecek bütün cihazlar için yetkilendirme gerçekleştirilmeli, böylelikle yetkisiz birinin gruba dahil olması engellenmelidir. Aşağıdaki gibi MD5 ile özetlenmiş <b>“key-string”</b>lerle yapılan bir yapılandırma örneği yetkilendirme için kullanılabilir.</li></ul><h4><span style="font-family: Courier New, Courier, monospace;">interface FastEthernet1/0<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>ip address 192.168.40.2 255.255.255.0<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>duplex auto<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>speed auto<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>standby 1 ip 192.168.40.1<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>standby 1 preempt<br /><span class="Apple-tab-span" style="white-space: pre;"> </span>standby 1 authentication md5 key-string HSRP_PAROLA</span></h4><div style="text-align: justify;">Böylece gönderilen paketler gözardı edilebilir, düşürülebilir.</div><h4><span style="font-family: Courier New, Courier, monospace;">*Mar  1 02:11:14.650: %HSRP-4-BADAUTH: Bad authentication from 192.168.40.128, group 1, remote state Speak</span></h4><div style="text-align: justify;"></div><ul><li>Gelen HSRP trafiğini sınırlandırmak için <b>erişim kontrol listeleri</b> kullanılabilir.</li><li>Gruba dahil olacak cihazlar arasında IPSEC <b>tünel </b>kurularak HSRP paketlerinin bu tünelden geçmesi sağlanabilir.</li><li>HSRP yerine AH(Authentication Header) içeren <b>VRRP </b>protokolü kullanılabilir.</li></ul><h3>Referanslar:</h3><div style="text-align: justify;">[1] Hacking Exposed Cisco Networks: Cisco Security Secrets & Solutions</div><div style="text-align: justify;">[2] <a href="http://isc.sans.edu/diary.html?storyid=10120">http://isc.sans.edu/diary.html?storyid=10120</a></div>

HSRP İstismarı ve Yedeklilik Güvenliği

Günümüz internet dünyasında ve kurumların iç ağ altyapılarında iletişiminin kesintisiz bir şekilde devam etmesi büyük önem taşımaktadır. Öze...