PGS. TSKH. Hoàng Đăng Hải

Học viện Công nghệ Bưu chính Viễn thông (PTIT)

Email: hoangdanghai@hn.vnn.vn

2012

CCáác kc kỹỹ thuthuậật tt tấấn công, n công,

xâm nhxâm nhậập hp hệệ ththốốngng

Sự phát triển của tấn công mạng

Xu thếKết hợp worms, viruses và DDoSTống tiền, Tin tặcCác tấn công trên 10 Gbps, tập đoàn Botnet với 150,000+ nodeThiếu trí tuệ trong quản lý mạng “cloud” khiến chi phí tăng nhanhTừ bỏ băng thông khi giải quyết vấn đề là quálãng phí và tốn kém

Một số khái niệm Kẻ xâm nhập (Intruder)

Thường gọi là tin tặc (hacker), cracker /buglar (đạo chích)Kẻ trộm/đánh cắp thông tin (Information Theft)Cybercrime (tội phạm mạng), Compromiser (kẻ gây hại)

Lỗ hổng an ninh (Security hole), điểm yếu (Vulnerability), khiếm khuyết (Flaw)

Rủi ro (risk)

Đe dọa (Threat), Tấn công (Attack)

Lỗi khi thiết kế: không lường trước khả năngĐiểm yếu tiềm ẩn: luôn có trong mọi hệ thốngLỗi khai thác: cấu hình không chặt chẽ, lỗi khi hoạt động

Thường dùng để chỉ cùng 1 hành vi xâm hại đến an ninh hệ thống

Biện pháp an ninh (Security measure), cơ chế an ninh (security mechanism)

Dịch vụ an ninh (Security service)

Biện pháp/cơ chế để phát hiện, ngăn ngừa, phòng chống, sửa chữa

Dịch vụ tăng cường an ninh cho hệ thống xử lý và truyền tải thông tin thông qua các biện pháp an ninh

risk = threat x vulnerability x asset value

Phân loPhân loạại ti tấấn công mn công mạạngngJokingHacker: data stealing / spy / military spy Company Competition: business plan/strategy. Competitor destructionProduct AdvertisementAvengerTerrorismAccount hacking / Bank robber…

MMụục tiêu tc tiêu tấấn côngn công

• Giả mạo (fabrication) - destroys authenticity of source• (Sửa đổi) modification - destroys integrity of information• Ngăn chặn (interception) - of information (traffic), breaches confidentiality• Gián đoạn (interruption) - of service

LoLoạại ti tấấn công n công

Examples Examples Happy Christmas 1987: in IBM network. Email sent to everybody with addresses foundin addressbook ⇒ Network deadlockInternet Worm 1989: in Security Center of DoD. Unix Shell Attack.

Security AttacksSecurity Attacksấy nội dung bản tin

ượng: theo dõi chu kỳ, chiều dài bản tin,đoán mã kênh truyền

ệ thống

Passive Passive Nghe lén (Eavesdropping): lén lPhân tích lưu lkể cả phỏng Phân tích thông tin h

Active Active

Giả danh (Masquerade): Darth giả danh BobReplay: bắt giữ, giả mạo và chuyển tiếp bản tinSửa đổi bản tin Ngăn chặn dịch vụ

5 giai đoạn của quá trình phá hoại • Trinh sát (Reconnaissance)

Tin tặc khảo sát máy nạn nhân và các dịch vụ trong một khoảng thời gian dài sử dụng các lưu lượng như hoạt động bình thường của máy.

Tìm cách thiết lập kết nối, khai thác thông tin máy tính, dịch vụDò tìm điểm yếu trong hệ thống và các ứng dụng.

• Khai thác (Exploitation) Quá trình lợi dụng, biến đổi, làm sai lệch hoạt động của các dịch vụ trên máy nạn nhân. Biến đổi dịch vụ kéo theo thay đổi chế độhoạt động và điều kiện truy nhập.

• Tăng cường (Reinforcement) Giai đoạn tin tặc giành quyền truy nhập trái phép, tăng cường khả năng truy nhập, sử dụng công cụ để truy xét nạn nhân, che dấu hành vi...

• Củng cố (Consolidation) Tin tặc tạo ra cửa hậu, trao đổi thông tin qua cửa hậu, giành toàn bộ quyền điều khiển.

• Tàn phá (Pillage) Giai đoạn thực hiện kế hoạch phá hoại: đánh cắp thông tin nhạy cảm, tạo bàn đạp tiến sâu vào mạng người dùng, thực hiện các ý đồ định sẵn...

PhPhầần mn mềềm mã đm mã độộc (Malicious Software)c (Malicious Software)

• Các nguy cơ/điểm yếu: được khởi động bởi 1 trigger (không lây lan)

• Các phần mềm tự sinh (tự tạo các bản copy = lây lan)

CCửửa sau hoa sau hoặặc cc cửửa sa sậập (Backdoor or Trapdoor)p (Backdoor or Trapdoor)•• XuXuấất pht pháát đit điểểm vm vàào bo bíí mmậật tt tớới mi mộột chương trt chương trììnhnh•• Cho phCho phéép mp mộột kt kỹỹ thuthuậật viên tht viên thàành thnh thạạo truy co truy cậập vp vàào ho hệệ ththốống mng màà không ckhông cầần n

ththựực hic hiệện cn cáác thc thủủ ttụục an toc an toààn thông thưn thông thườờng.ng.•• ThưThườờng sng sửử ddụụng cho mng cho mụục đc đíích gch gỡỡ rrốối, kii, kiểểm thm thửử phphầần mn mềềm khi phm khi pháát trit triểển.n.•• TrTrởở ththàành nguy cơ khi vnh nguy cơ khi vẫẫn đn đểể ttồồn tn tạại li lạại trong si trong sảản phn phẩẩm phm phầần mn mềềm. m.

BomBom logiclogic•• MMộộtt trongtrong nhnhữữngng phphầầnn mmềềmm ccóó hhạạii kikiểểuu ccổổ đi điểểnn•• Code Code đưđượợcc nhnhúúngng trongtrong chươngchương trtrììnhnh hhợợpp phphááp,p, đư đượợcc kkííchch hohoạạtt khikhi ggặặpp

điđiềềuu kikiệệnn xxáácc đđịịnhnh–– CCóó mmặặtt hohoặặcc vvắắngng mmặặtt mmộộtt ssốố filefile–– NgNgààyy ththááng/thng/thờờii giangian ccụụ ththểể–– NgưNgườờii ssửử ddụụngng nnààoo đđóó

•• KhiKhi kkííchch hohoạạtt thôngthông thưthườờngng llààmm hhỏỏngng hhệệ ththốống, ng, BiBiếếnn đđổổi/xoi/xoáá file/file/đđĩĩaa, , llààmmddừừngng mmááyy,,……

NgNgựựaa ththàànhnh TơTơ roaroa (Trojan(Trojan Horse)Horse)•• ChươngChương trtrììnhnh hhữữu u íích, hch, hấấp dp dẫẫn (n (trò chơitrò chơi, ti, tiệện n íích, nâng cch, nâng cấấp php phầần mn mềềm,m,……))•• ChChứứa ca cáác đoc đoạạn mã n mã ẩẩn vn vớớii ccáácc ttáácc đđộộngng phphụụ đưđượợcc ddấấuu kkíínn•• KhiKhi chchạạyy ththựựcc hihiệệnn nhnhữữngng nhinhiệệmm vvụụ bbổổ sung: Chosung: Cho phphéépp kkẻẻ ttấấnn côngcông gigiáánn

titiếếpp ddàànhnh quyquyềềnn truytruy ccậậpp nhnhữững gng gìì khôngkhông ththểể trtrựựcc titiếếpp•• ThưThườờngng ssửử ddụụngng lanlan truytruyềềnn virrus/sâuvirrus/sâu (worm) (worm) hohoặặcc ccààii đđặặtt ccửửaa sau, hosau, hoặặcc

đơnđơn gigiảảnn phpháá hohoạạii ddữữ liliệệu.u.

ZombieZombie•• LLàà chương chương trtrììnhnh bbíí mmậậtt điđiềềuu khikhiểểnn mmááyy ttíínhnh khkháác cc củủaa mmạạngng Internet, sInternet, sửử

ddụụngng nnóó đđểể gigiáánn titiếếpp titiếếnn hhàànhnh ccáácc ttấấnn công, che dcông, che dấấu mu mááy ty tạạo ra Zombie.o ra Zombie.•• ThưThườờngng đưđượợc sc sửử ddụụngng đđểể ttấấnn côngcông ttừừ chchốốii ddịịchch vvụụ (DDoS). (DDoS). ThưThườờng tng tạạo o

ththàành mnh mạạng gng gồồm hm hààng trăm mng trăm mááy không by không bịị nghi vnghi vấấn, tn, tấấn công dn công dồồn dn dậập p website mwebsite mụục tiêu qua vic tiêu qua việệc gc gửửi di dồồn dn dậập yêu cp yêu cầầu lưu lưu lưu lượợng.ng.

•• ThưThườờng khaing khai ththáácc ccáácc llỗỗ hhổổngng trongtrong ccáácc hhệệ ththốống nng nốối mi mạạng.ng.

VirusesViruses•• LLàà đo đoạạn mã phn mã phầần mn mềềm cm cóó ththểể ““lây nhilây nhiễễmm”” sang csang cáác phc phầần mn mềềm khm kháác qua c qua

viviệệc sc sửửa đa đổổi chi chúúng.ng.•• SSửửa đa đổổi phi phầần mn mềềm khm kháác bao gc bao gồồm vim việệc copy đoc copy đoạạn mã virus vn mã virus vàào vo vàà lây lây

nhinhiễễm sang cm sang cáác chương trc chương trìình khnh kháác.c.•• GiGiốống virus sinh hng virus sinh họọc, virus mc, virus mááy ty tíính cnh cóó ththểể ssựự ssảản sinh (replicated).n sinh (replicated).•• LanLan truytruyềền, thn, thựực hic hiệện mn mọọi chi chứức năng cc năng cóó ththểể (v(víí ddụụ phpháá hohoạạii ddữữ liliệệu).u).

HoHoạạt đt độộng cng củủa virusa virus•• Giai đoGiai đoạạn nn nằằm chm chờờ: n: nằằm im chm im chờờ ssựự kikiệện kn kíích hoch hoạạt (vt (víí ddụụ ngngàày, y, chương chương

trtrìình, dnh, dung lưung lượợng đng đĩĩaa……).).•• Giai đoGiai đoạạn lây lan: sao chn lây lan: sao chéép chp chíính nnh nóó sang csang cáác chương trc chương trìình khnh kháác /phc /phầần n

khkháác cc củủa ha hệệ ththốống.ng.•• Giai đoGiai đoạạn kn kíích hoch hoạạt: tht: thựực hic hiệện chn chứức năng gc năng gàài si sẵẵn khi cn khi cóó ssựự kikiệện xn xảảy ra.y ra.•• Giai đoGiai đoạạn thn thựực thi: thc thi: thựực hic hiệện hn hàành vi mong munh vi mong muốốn.n. Đa s Đa sốố khai thkhai tháác cc cáác đc đặặc c

trưngtrưng, , điđiểểm ym yếếu chu chủủ yyếếu cu củủa ha hệệ ththốống cng cụụ ththểể đang ch đang chạạy.y.

CCấấu tru trúúc Virusesc Virusesprogram V :=program V :=

{{gotogoto main;main;1234567;1234567;subroutine infectsubroutine infect--executable :=executable := {loop:{loop:

file := getfile := get--randomrandom--executableexecutable--file;file;if (firstif (first--lineline--ofof--file = 1234567) then file = 1234567) then gotogoto looploopelse else prependprepend V to file; }V to file; }

subroutine dosubroutine do--damage := {whatever damage is to be done}damage := {whatever damage is to be done}subroutine triggersubroutine trigger--pulled := {return true if condition holds}pulled := {return true if condition holds}main: mainmain: main--program :=program := {infect{infect--executable;executable;

if triggerif trigger--pulled then dopulled then do--damage;damage;gotogoto next;}next;}

next:next:}}

Các hình thái tấn công DDoS

Đột phá cục bộ theo dây chuyền– Khai thác hệ điều hành, phá rối hoạt động server

Tiêu hủy tài nguyên cục bộ– fork() bomb, fill disks, deep directory nesting

Từ chối cấp dịch vụ cho các máy trạm– Gây các đột phá hoặc ngừng các dịch vụ quan trọng

Tạo các đột phá từ xa theo dây chuyền– “magic” packets – ping of death, teardrop

Tiêu hủy tài nguyên từ xa– syslog, SYN, fragment flood, UDP storm

Từ chối dịch vụ trên toàn mạng– Nhắm tới các links sơ hở hoặc cơ sở hạ tầng thông tin trọng yếu

Điều khiển ngừng mạng từ xa– Tấn công routers, DNS servers– Lái tuyến – Giả mạo thông tin định tuyến

Gây nghẽn mạng từ xa– Giả danh broadcasts – smurf, fraggle– Điều khiển từ xa các máy tính gây hại – máy tính ma (“zombies”) để phối hợp gây tràn - DDoS

Các tấn công chuyển hướng từ từng máy đơn lẻ sang cơ sở hạ tầng mạng !

Các hình thái tấn công DDoS (2)

Các kỹ thuật gây rối của tấn công DDoSDistributed attacks– Điều khiển từ xa đội quân zombies

Các thử nghiệm mới đây cho thấy, một máy tính không có bảo vệtrên Internet có thể bị tấn công trong vòng < 8 phút.

– Phản xạ IP

Gây rối trong vết kiểm chứng mạng– Giả mạo/Nhái lại (Forged/”spoofed”) địa chỉ IP gốc– Thay đổi tần suất tấn công (on/off) – Nghi binh (Decoys)

Gây rối trong dấu hiệu tấn công– Bắt chước lưu lượng hợp pháp (e.g. TCP ACK flood)– Hóa trang với lưu lượng hợp pháp

Tất cả các kỹ thuật này nhằm bẻ gẫy mọi phương pháp theo dấu vết kiểu thủ công và tránh các IDS thông dụng

Xu thế mới của DoS Attacks

Tấn công tràn dựa vào mạng– Khi các lỗ hổng được vá, khó lòng tìm ra các host xung yếu

Nhái các mạng con cục bộ– Các bộ lọc ingress / egress phổ biến hơn

Tấn công đường lưu lượng lên– Nhắm tới các upstream routers & links

Đánh và chạy (Hit-and-run)– Gây tràn sốc (pulsing / short-lived floods)– Sử dụng nhiều đội quân zombie theo chu kỳ

Kỹ thuật phân tán– Phân tán rộng khắp, các đội quân zombie rộng khắp

Gây rối trong dấu vết kiểm chứng mạng– Thay đổi đặc tính một số giao thức ứng dụng – Tái lập các

truy vấn DNS, etc.

Biến đổi dấu hiệu tấn công– Dùng address, protocol, port ngẫu nhiên

Tấn công định tuyến hạ tầng mạng– Chặn cướp tuyến BGP route phục vụ khởi động tấn công

Tự động tuyển mộ thêm (automated conscription) các đội quân zombie– recent Internet worms and viruses– Microsoft Outlook, IE, IIS, SMB

Xu thế mới của DoS Attacks (2)

Trình tự tấn công DDoS

A. Một lượng lớn máy tính bị hạiB. Tin tặc xác định được các máy có thể lợi dụng với các

kỹ thuật dò quét (scanners), etc.C. Tin tặc truy nhập hệ thống với các công cụ từ xa:

exploits, sniffers, password cracking, worms, trojansD. Tin tặc cài đặt các công cụ tấn côngE. Tin tặc ra lệnh từ xa cho các máy bị hại được tập hợp

để tấn công vào mục tiêu

Distributed DoS Attack (DDoS)Phối hợp tấn công vào các Links và tài nguyên trọng yếu

DNSTấn công vào hạ tầng định tuyến

Example: Smurf Attack

Reflector Network

SRC DST3.3.3.100 2.2.2.255

SRC DST2.2.2.* 3.3.3.100

ICMP Echo Request

3.3.3.100

2.2.2.*ICMP Echo Replies

Target1.1.1.100

Attacker

• Mô hình đơn giản: gửi các gói yêu cầu echo giả mạo ICMP tới các địa chỉ IP broadcast trong một mạng tin cậy.

• Mọi hosts của mạng này gửi 1 trả lời ICMP tới địa chỉ IP giả mạo của nạn nhân

• Khi hầu như mọi máy của mạng phản hồi yêu cầu ICMP echo này, mạng bị tắc nghẽn và tê liệt.

Ví dụ: TCP SYN Flood

SYN

SYN+ ACK

ACKClient Server

CLOSED CLOSED

SYN_SENT

ESTABLISHEDESTABLISHED

SYN_RCVD

Tuần tự quá trình thiết lập 1 kết nối TCP (3-way handshake)

Ví dụ: TCP SYN Flood (cont.)ServerAttacker

SYNSYN

ACKSYNSYNSYN

SYN

SYN

SYN

SYNACK

SYNACK

SYN_RCVDSYN_RCVDSYN_RCVDSYN_RCVDSYN_RCVDSYN_RCVDSYN_RCVD

SYN_RCVD

Listen Queue

SYN_RCVD

• Nếu sau khi server gửi SYN + ACK response, client không gửi ACK response half-open connection

• Server tạo trong bộ nhớ một kiến trúc dữ liệu chứa mọi kết nối mở Timeout• Tin tặc gây ra memory overflow, khiến server crash hoặc không thể chấp nhận mọi kết nối mới

cho đến khi xóa hết bảng dữ liệu• Vị trí giả danh IP trong hệ thống bị tấn công được che đậy, vì các địa chỉ nguồn trong các gói tin

SYN thường đều không rõ ràng. Khi gói tin đến hệ thống máy chủ nạn nhân, không có cách gì đểxác định ra nguồn gửi thực sự.

Các biện pháp phòng chống DDoSIngress / Egress filtering ( anti-spoofing )

Strict / Loose RPF (Reverse Path Forwarding)Black lists / White listsPolicy based Filter

Rate limitingICMP etc..

Stateful defenses ( e.g. tcp intercept )Patch vulnerable hosts and servicesProvisioning and capacity planningPacket filtering on provider side of WAN links

Xử lý, phản ứng với tấn công DDoS

Ba bước quan trọng:Phát hiện

Xác định phương pháp của tin tặc và các tài nguyên bị tác động.Tìm cách cô lập vùng tài nguyên bị lợi dụng

Truy xét dấu vếtXác định nguồn phát, đường đi, chặng chuyển tiếp…

Giảm thiểu thiệt hạiXác định lưu lượng nào cần chặn, tốt nhất chặn ở đâu…

Các chiến lược giảm thiểu DDoS

• Unicast Reverse Path Forwarding (uRPF)– Sử dụng uRPF chặt chẽ– Chống giả mạo địa chỉ IP– Tránh lạm dụng uRPF và BGP ở toàn bộ border routers

• Rate Limiting – Hạn chế tốc độ lưu lượng tấn công: ICMP, UDP, TCP SYN– Theo dõi các quy trình giao thức không bình thường!– Đảm bảo chính sách QoS thông qua BGP (special community)

• ACL– Lọc ra các lưu lượng tập trung vào một máy đích

• Tạo hố bẫy, đường tránh (Blackhole / Sinkhole / Shunt)– Lọc từng cấp, tạo bẫy, truy vấn điều tra…

Ví dụ về giảm thiểu DDoS

Customer

Customer Portalor Operator < back

Customer Portalor Operator

Customer

Ví dụ về giảm thiểu DDoS

Customer

Customer Portalor Operator

Hốbẫ

y

Ví dụ về giảm thiểu DDoS

Customer

Customer Portalor Operator

Hốbẫ

y

ACL/ Hạ

n chế

tốc độ

Ví dụ về giảm thiểu DDoS

Customer

Customer Portalor Operator

Bộlọc

thôn

g minh

Xu thế kết hợp nhiều biện pháp tối ưu hơn !

Hốbẫ

y

ACL/ Hạ

n chế

tốc độ

Ví dụ về giảm thiểu DDoS

DarkIP• Các hành vi sử dụng Dark Address Space để gửi thông tin đến các vùng địa

chỉ IP dành cho việc khác, hoặc chưa được sử dụng.• Việc sử dụng Dark Address Space xảy ra do một số nguyên nhân:

– Lập sai cấu hình Router– Hành vi bất thường của một ứng dụng– Lập sai cấu hình mạng– Hành vi quét cổng trái phép– Hành vi tấn công của Worm trên mạng…

• Lưu lượng tăng với Dark IP có thể biểu thị khả năng lan truyền Worm trên mạng, hoặc hành vi quét mạng để tuyển mộ đội quân Zombie

• Dữ liệu tạo ra từ Dark IP thường được sử dụng để: – Xác định dấu vết new zero day worms– Xác định nguồn phát của worm– Tạo ra danh dách các máy bị lây nhiễm

Ứng dụng DarkIP

Hành vi bất thường định trước và không định trước

Hành vi bất thường định trước biểu thị sai lệch mức lưu lượng bình thường. Thường do tấn công gây ra. Hành vi này cần được xem xét tiếp để xác định mức độ nguy hại.

Hành vi bất thường không định trước có thể xảy ra khi một máy nào đó không tuân thủ các quy ước truyền thông. Lỗi xảy ra có thể do tấn công, hoặc do lỗi mạng. Do đó cần truy xét để tìm đúng nguyên nhân.

Các hành vi bất thường không định trước• Đa số tin tặc sử dụng để tấn công một máy đích nào đó trên mạng.• Các kiểu gói tin thường sử dụng:

– Syn floods, ICMP floods, IP fragments• Các gói tin thường thuộc nhóm:

– IP Null, TCP Null, Private IP

Theo dõi hành vi bất thường

anomalies are usually more likely to be malicious

High severity protocol anomalies for protocols other than TCP

High severity incoming anomalies towards a single host

Graph shows a spike in the traffic levels

Anomaly is high severity with a very high % of threshold

Botnets• Tin tặc phát triển các công cụ phát tán tự động (sử dụng

botnets,…) cho phép chúng gửi các tấn công tới các máy trung gian trong cùng 1 thời gian, làm tất cả các máy trung gian gửi phản hồi trực tiếp tới 1 máy nạn nhân.

• Tin tặc phát triển các công cụ để quan sát các router trên mạng không sử dụng các bộ lọc để lọc broadcast traffic, phát hiện các mạng cho phép nhiều máy cùng cókhả năng trả lời đồng thời. Các mạng này thường được dùng làm trung gian cho các cuộc tấn công.

Dictionary Attack – cracking of authentication passwords

• Các mật mã xác thực được chứa trong một file (trên Unix / Windows), thường được mã hóa với một thuật toán chống phákhóa (ví dụ MD5) (Thuật toán một chiều).

• Người dùng đăng nhập mật khẩu, mật khẩu được mã hóa và so sánh với bản mã hóa ghi sẵn trong máy.

• Brute force attack: tin tặc sử dụng phương pháp quét toàn bộcác khả năng (dictionary attack) tìm kiếm các khả năng giải mã xuất phát từ một danh sách các từ trong từ điển.

• Người dùng thường sử dụng các mật khẩu thông dụng dễ bịphá: – Sử dụng từ, chữ cái thông thường– Sử dụng các cụm từ thông dụng….

• Dictionary attacks thường được áp dụng trong 2 trường hợp sau:– Khi phân tích mật mã, phương pháp này tìm kiếm khả năng xác định

chìa khóa giải mã cho một cụm từ mã cho trước.– Khi nối mạng, tìm cách lừa gạt cơ chế xác thực để thực hiện truy nhập

trái phép vào máy tính bằng cách đoán mật khẩu.

• Tin tặc có khả năng kiếm bản copy danh sách các mật khẩu đã mã hóa từmột hệ thống máy ở xa. Tin tặc sẽ sử dụng phương pháp Dictionary attacks để dò tìm mật khẩu theo thói quen của người dùng (qua dò tìm mọi thông tin về người dùng), so sánh mật khẩu với đoạn mã đã copy được.

• Thực tế cho thấy, người dùng thường sử dụng mật khẩu cho dễ nhớ. Nếu sửdụng một tập danh sách đủ lớn, xác suất tìm ra mật khẩu là 4/10.

• Dictionaries hiện có trên Internet cho mọi ngôn ngữ, dễ dàng truy cập, dễdàng được sử dụng để dò tìm mật khẩu theo phương pháp này.

Dictionary Attack

username Encrypted password

Alix.Bergeret ADSNUYTGHLKLLL

Matthew.Green NJKFFDSHPTTDRD

Ian.Coulson VFGMNBDEQQASU

Brendan.Riordan VHGUIOUIYEDRDT

Chris.Dennett CXZAASWEWEDFD

Andy.Sloane MLOPIUYTRFFGHJ

Mary.Garvey MNJTYUUIFVCXFG

Brian.Penfold REDERFGGGHYTR

Mã hóa 1 chiều cho mật khẩu được ghi trong file mật khẩu

Alix.BergeretADSNUYTGHLKLLL

Mật khẩu được mã hóabởi Client với cùng 1 thuật toán khi gửi qua mạngNếu các giá trị Hash bằng nhau, Client được xác thực!

Client

Password authentication server

Ưu nhược điểm của Dictionary attacks

• Tin tặc có thể mã hóa và lưu trữ danh sách các từmã hóa kiểu từ điển, sắp xếp chúng theo từ khóa ‘value’ đã mã hóa.– Phương pháp này tiêu tốn nhiều bộ nhớ, thường mất

nhiều thời gian chuẩn bị và tính toán. Tuy nhiên, phương thức này có thể tạo ra tấn công gần như tức thì.

– Phương pháp này đặc biệt hiệu quả khi cần giải mã một số lượng mật khẩu lớn cùng lúc.

Tin tặc thường ghi danh sách các mật khẩu thường được sửdụng và chuyển chúng cho một thuật toán, sắp xếp chúng theo thứ tự alphabet.

Word Hashed word

cricket ABVGTHYULPMMN

football ADSNUYTGHLKLLL

england CFTGERHTYUUUU

sister QRTSNDCNCNNNN

christopher RTSGHWEREEEDM

charlie STTHHHHHERERE

louise NMZOAOWJBHEEU

Crackers sorted list of hashed words

username Encrypted password

Alix.Bergeret ADSNUYTGHLKLLL

Matthew.Green NJKFFDSHPTTDRD

Ian.Coulson VFGMNBDEQQASU

Brendan.Riordan VHGUIOUIYEDRDT

Chris.Dennett CXZAASWEWEDFD

Andy.Sloane MLOPIUYTRFFGHJ

Mary.Garvey MNJTYUUIFVCXFG

Brian.Penfold REDERFGGGHYTR

Password list Easy to determine Alix.Begeret passwordby comparing hash values

RIP attacks

• Routing Information Protocol (RIP) attacks thường thấy trong các bộ router cài đặt phiên bản chuẩn của RIP.

• RIP được sử dụng để phân phát thông tin định tuyến trong mạng, ví dụ các tuyến ngắn nhất, các tuyến quảng bá từ mạng nội bộ ra ngoài…

• Phiên bản chuẩn của RIP không có phần xác thực. Thông tin cung cấp trong bản tin RIP thường được sửdụng mà không có sự kiểm tra xác thực lại chính nó.

• Tin tặc có thể giả mạo 1 bản tin RIP, ví dụ xác định máy “X”có tuyến ngắn nhất ra ngoài mạng.

• Mọi gói tin gửi ra từ mạng này sẽ được định tuyến qua “X”. Máy X có thể kiểm soát, sửa đổi gói tin.

• Tin tặc có thể sử dụng RIP để bắt chước bất kỳ host nào, làm mọi lưu lượng gửi đến máy tin tặc thay vì gửi đến host này.

• Phiên bản RIPv2 đã cải thiện hơn với thuật toán xác thực mật khẩu đơn giản, làm cho việc tấn công qua RIP khó khăn hơn.

• Giải pháp IPsec VPN cũng cung cấp khả năng mã hóa thông tin định tuyến qua các routers sử dụng IPsec VPN.

RIP attacks

Packet Sniffing• NIC cards thường chỉ xử lý các gói tin (MAC) nhằm tới

máy chứa NIC này. Toàn bộ lưu lượng trong mạng không có switch được gửi tới tất cả các máy tính.

• Software/hardware được thiết kế sẵn sàng để làm việc đó.• Nếu NIC cards được cấu hình “Promiscuous” thì nó có thể

bắt và xử lý mọi gói tin đi trên mạng con.• Điều đó nghĩa là có thể xem được nội dung toàn bộ các gói

tin truyền trên mạng (1 số giao thức như FTP, Telnet, HTTP, SMTP, POP3 gửi các mật khẩu dưới dạng clear text). Ngoài ra, còn nhiều thông tin khác có thể bị khai thác.

• Thực tế, các bộ switch chỉ cho phép gói tin đến đúng máy đích. Tuy nhiên, tin tặc có nhiều cách để bắt được các gói tin này…

Hai cách để “vượt qua” SwitchSpoof ARP và MAC Flooding

• Spoof ARP là phương pháp "thủ công". ARP là address resolution protocol, dùng để "map" IP address và MAC address. Vì ARP là 1 dạng stateless protocol nên nó có thể bịlừa khá dễ dàng.

• Phương pháp thường được sử dụng là giả mạo Gateway, làm cho toàn bộ lưu lượng từ máy A (máy nạn nhân) đi đến Gateway phải đi qua máy B của tin tặc trước.

• Công cụ phổ biến là: Arpspoof, dsniff

ARP SpoofingTin tặc dùng các chương trình như arpspoof để thay đổi danh tính của 1 host, để nhận toàn bộ thông tin qua mạng.

ARP spoofing steps1. Set your machine to forward packets:

Linux: echo 1 > /proc/sys/net/ipv4/ip_forward echo 1 > /proc/sys/net/ipv4/ip_forwardBSD: sysctl -w net.inet.ip.forwarding=1

2. Start arpspoofing (using two terminal windows)arpspoof -t 149.160.x.x 149.160.y.yarpspoof -t 149.160.y.y 149.160.x.x

3. Start sniffingngrep host 149.160.x.x | lessORDsniff | less

ĐĐểể chchốống lng lạại: 1) Static ARP table; 2) ARPWatchi: 1) Static ARP table; 2) ARPWatch

MAC Flooding• MAC Flooding là một kỹ thuật đầu độc ARP Cache hướng

tới tấn công các switch trên mạng.• Khi một bộ switch bị đánh tràn, nó sẽ trở thành một “Hub”

thuần túy !• Trong chế độ “Hub”, bộ switch sẽ không thể thực thi bất

kỳ tính năng bảo mật gì, sẵn sàng quảng bá mọi gói tin đến mọi máy trên mạng con.

• Tin tặc có thể đánh tràn bảng ARP của bộ Switch với các gói tin ARP phản hồi giả mạo, tiếp đó đặt Switch vào chế độ “Hub” để bắt toàn bộ các gói tin.

• Một công cụ điển hình là Macof, dsniff

Tin tặc thay đổi danh tính để những người dùng khác tin rằng hắn là ai đó trong só họ:– Email, User ID, IP Address, …– Tin tặc khai thác quá trình xác thực giữa người dùng và hệthống/mạng để chiếm quyền điều khiển.

Kiểu Spoofing:1.IP Spoofing:2.Email Spoofing3.Web Spoofing

Giả mạo (Spoofing)

Giả mạo IP – Thay đổi địa chỉ IP gốc

•• Phương phPhương phááp qup quéét lt léén ln lúút git giảả mmạạo đo địịa cha chỉỉ

– Trước khi tấn công máy nạn nhân, tin tặc tìm cách quét hệ thống để tìm

khai thác thông tin nhiều nhất về máy nạn nhân.

– Firewall, IDS có thể phát hiện quá trình quét này, có thể cảnh báo về nguy

cơ tấn công.

– Tin tặc tìm cách che dấu hành vi quét mạng bằng cách sử dụng các

datagrams giả mạo từ một giải địa chi IP (không từ một địa chỉ IP cố

định) để che mắt Firewall, IDS.

Attacker uses IP address of another computer to acquire information or gain access

IP Spoofing – Flying-Blind Attack

Replies sent back to 10.10.20.30

Spoofed Address10.10.20.30

Attacker10.10.50.50

John10.10.5.5

From Address: 10.10.20.30To Address: 10.10.5.5

• Attacker changes his own IP address to spoofed address

• Attacker can send messages to a machine masquerading as spoofed machine

• Attacker can not receive messages from that machine

Tin tặc giả mạo địa chỉ IP (10.10.20.30), chèn vào giữa 2 máy để bắt các gói tin trả lời.

IP Spoofing – Source Routing

Replies sent back to 10.10.20.30

Spoofed Address10.10.20.30

Attacker10.10.50.50

John10.10.5.5

From Address: 10.10.20.30To Address: 10.10.5.5

• Đường đi của gói tin có thể thay đổi theo thời gian

• Để chắc chắn chèn vào giữa trong quá trình, tin tặc sử dụng source

routing để đảm bảo gói tin luôn đi qua các nút xác định trước trên

mạng.

Attacker intercepts packetsas they go to 10.10.20.30

Tin tặc gửi các gói tin broadcast tới mạng tin cậy

Các trạm host trả lời lại địa chỉ IP bị giả mạo của nạn nhân

RouterPing (broadcast address)

Victim

Tin tặc gửi mail giả mạo ai đó và chờ tin phản hồi?

Các kiểu Email Spoofing:1. Create an account with similar email address

– Sanjaygoel@yahoo.com: giả danh các địa chỉ quen thuộc2. Modify a mail client

– Tin tặc chèn địa chỉ reply tự động vào mail gửi đi

3. Telnet to port 25– Hầu hết các mail server đều sử dụng cổng 25 cho SMTP.– Tin tặc đón gói tin đến cổng này, sau đó thay đổi bản tin gửi đến

người dùng.

Email Spoofing

• Basic – Tin tặc đăng ký một địa chỉ Web gần giống với địa chỉ khác gây

nhầm lẫn cho người dùng.

• Man-in-the-Middle Attack– Tin tặc giả lập một Proxy giữa Web server và client.– Tin tặc tấn công vào Router hoặc nút mạng chuyển tiếp lưu lượng

tương ứng giữa Web server và client.

• URL Rewriting– Tin tặc chuyển hướng web traffic tới một trang khác được chúng

kiểm soát.– Tin tặc ghi chèn địa chỉ Web của nó trước đường link hợp thức.

• Tracking State– Khi người dùng login vào một trang có duy trì xác thực. Tin tặc lấy

cắp thông tin xác thực để giả mạo người dùng.

Web Spoofing

Quá trình chiếm quyền sử dụng phiên làm việc đang tồn tại.

Phương thức:1. Người dùng tạo kết nối với Server thông qua xác thực

với user ID and password.

2. Sau quá trình xác thực người dùng, họ truy nhập vào server cho đến khi kết thúc phiên làm việc.

3. Tin tặc sử dụng DoS để làm tê liệt phiên làm việc.

4. Tin tặc chiếm quyền điều khiển phiên của người dùng với vai trò giả danh người dùng.

Cướp phiên (Session Hijacking)

Hành vi của tin tặc:– Giám sát phiên– Gửi liên tiếp lệnh chèn giữa các lần gửi yêu cầu truy nhập của user– Chèn tấn công passive/active vào phiên

Session Hijacking

Bob telnets to Server

Bob authenticates to Server

Bob

Attacker

Server

Die! Hi! I am Bob

Các kỹ thuật chống giả mạo địa chỉCác quy tắc lọc gói tin của Border routers

• Quy tắc 1: Không để lọt các gói tin đi ra xuất phát từ một địa chỉ IP gốc không thuộc phạm vi ISP (rfc2827)

• Quy tắc 2: Không để lọt các gói tin đi vào với địa chỉ IP gốc thuộc phạm vi ISP.

• Quy tắc 1 là quy tắc cơ bản nhất, thường được sử dụng để chống tấn công DoS

AS for my ISP171.85.0.0

AS of neighbouring ISP204.12.15.0

• Tấn công lợi dụng cách ghi và lưu trữ thông tin• Tin tặc tìm cách ghi thông tin vào Stack nhiều hơn dung

lượng bộ nhớ cho phép.

How does it work?

Buffer Overflow Attacks

•Buffer 2

Local Variable 2Buffer 1

Local Variable 1

Return Pointer

Function Call Arguments

•

FillDirection

Bottom ofMemory

Top ofMemory

Stack bình thường

•Buffer 2

Local Variable 2Machine Code:execve(/bin/sh)New Pointer to

Exec CodeFunction Call

Arguments

•

FillDirection

Bottom ofMemory

Top ofMemory

Stack đã bị tấn công

Return Pointer Overwritten

Buffer 1 Space Overwritten

• Lợi dụng các mật khẩu kém và các kết nối mạng (qua modem) không có kiểm soát.

• Steps– Tin tặc tìm kiếm số Phone của công ty.– Tin tặc thực hiện chương trình quay số tự động

• Ví dụ: số điện thoại 555-5532, thì sẽ thực thi quay mọi số trong khoảng 555-55xx để tìm số modem.

• Nếu một modem trả lời tín hiệu, tin tặc ghi nhận số modem.– Tin tặc sử dụng user ID và password để vào mạng Cty:

• Nhiều Cty sử dụng default accounts ví dụ: temp, anonymous không cópassword.

• Khá nhiều Cty sử dụng tên công ty làm root account và password• Tin tặc sử dụng các công cụ password cracking để dò tìm password.

Password Attacks

• Băm Password và lưu trữ– Thêm Salt để tạo password ngẫu nhiên và lưu trữ vào máy.

• Chạy các chương trình phá Password để crack.

Password Security

HashFunction

Hashed Password

Salt

ComparePassword

Client

Password

Server

Stored Password

Hashed Password

Allow/Deny Access

• Dictionary Attack– Hacker tries all words in dictionary to crack password– 70% of the people use dictionary words as passwords

• Brute Force Attack– Try all permutations of the letters & symbols in the alphabet

• Hybrid Attack– Words from dictionary and their variations used in attack

• Social Engineering– People write passwords in different places– People disclose passwords naively to others

• Shoulder Surfing– Hackers slyly watch over peoples shoulders to steal passwords

• Dumpster Diving– People dump their trash papers in garbage which may contain

information to crack passwords

Password Attacks - Types