Ethernet Abyss. Большой гайд по пентесту канального уровня сети - «Новости»

Как обходить 802.1X

IEEE 802.1X — это стан­дарт аутен­тифика­ции и авто­риза­ции конеч­ных або­нен­тов на каналь­ном уров­не. Он под­держи­вает кон­троль дос­тупа и не поз­воля­ет устрой­ствам под­клю­чать­ся к локаль­ной сети, не прой­дя спе­циаль­ный про­цесс авто­риза­ции. Это поз­воля­ет сущес­твен­но повысить уро­вень защищен­ности локаль­ной сети, отсе­кая несан­кци­они­рован­ные под­клю­чения. Для пен­тесте­ров 802.1X может ока­зать­ся серь­езной проб­лемой.

MAC Authentication Bypass

Этот очень прос­той метод обхо­да 802.1X. MAB исполь­зует­ся для устрой­ств, которые не под­держи­вают аутен­тифика­цию 802.1x. Гру­бо говоря, это MAC-авто­риза­ция. MAB обой­ти очень прос­то. Нам нуж­но прос­то най­ти какое‑нибудь легитим­ное устрой­ство, спи­сать с него MAC-адрес и нас­тро­ить этот MAC-адрес на сетевой интерфейс ата­кующей машины. Под­клю­чаем­ся к ком­мутато­ру и получа­ем дос­туп к сети. Не буду показы­вать эту ата­ку на прак­тике, она слиш­ком прос­та.

Bridge-based Attack

Са­мый популяр­ный и эффектив­ный метод обхо­да 802.1X — ата­ка на осно­ве мос­та. Для реали­зации нуж­но помес­тить свое устрой­ство меж­ду легитим­ным кли­ентом, про­шед­шим аутен­тифика­цию 802.1X, и ком­мутато­ром. Ком­мутатор выс­тупа­ет в роли аутен­тифика­тора и обес­печива­ет связ­ность меж­ду кли­ентом и сер­вером аутен­тифика­ции.

Толь­ко у этой ата­ки есть одно огра­ниче­ние. Что­бы ее про­экс­плу­ати­ровать в про­дак­шене, нуж­но легитим­ное устрой­ство, про­шед­шее аутен­тифика­цию 802.1X. Им может быть какой‑нибудь прин­тер, IP-телефон, воз­можно, ты суме­ешь отыс­кать ноут­бук какого‑нибудь сот­рудни­ка.

Для демонс­тра­ции ата­ки я буду исполь­зовать инс­тру­мент FENRIR.

Для начала нам надо перевес­ти физичес­кие интерфей­сы в режим promiscious (нераз­борчи­вый режим):

За­пус­каем FENRIR и наз­нача­ем IP-адрес легитим­ного устрой­ства, его MAC-адрес и два интерфей­са нашей ата­кующей машины. В боевых усло­виях всю информа­цию ты смо­жешь най­ти, прос­лушивая тра­фик. В качес­тве hostIface выс­тупит интерфейс, смот­рящий в сто­рону легитим­ного устрой­ства, netIface — это интерфейс, который смот­рит в сто­рону ком­мутато­ра. Пос­ле это­го соз­даем бридж, он будет называть­ся FENRIR.