Просмотр полной версии : Smurf атака
Тут почитал про этот вид атаки (типа DoS) и скажу, что впечатлило :)
Только вот не знаю щас этот вид актуально в современных сетях ? (ну скажем где НЕТ интелектуальных IDS, firewall)
Кто небудь использоет или хотяб использовал этот способ?
Интересно ваши мнение.
Cthulchu
23.12.2009, 01:45
очень даже актуальна и широко используется. это, что называется - хорошо забытое старое. и для своих целей она хорошо используется. только не имеет ничего общего с понятием ддоса, котоое принято иметь ввиду среди большинства населения ачата.
Для тех, кому тоже захотелось надавать ТСу по зубам (утрирую) за отсутствие ссылки:
Атака SMURF относится экспертами к наиболее опасной разновидности атаки DoS, поскольку имеет эффект усиления, являющийся результатом отправки прямых широковещательных запросов рing к системам, которые обязаны послать ответ.
Запрос направляется либо на сетевой адрес, либо по адресу широковещательной рассылки, но в любом случае устройство должно выполнить преобразование уровня 3 (IР) к уровню 2 (сетевой), как этого требует RFС 1812 "Requirements foг IР Version 4 Routers" (Требования к маршрутизаторам протокола IР вер- сии 4). В стандартной сети класса С (24-разрядное выделение адресов) сетевым адресом будет .0, а адресом широковещательной рассылки – .255. Прямая широковещательная рассылка обычно служит для диагностики, позволяя выявить работающие системы без запроса по рing каждого адреса из диапазона. Атака smurf пользуется особенностями прямой широковещательной рассылки и требует как минимум трех участников: атакующий, усиливающая сеть и жертва.
Атакующий посылает мистифицированный пакет IСМР ЕСНО по адресу широковещательной рассылки усиливающей сети. Адрес источника этого пакета заменяется адресом жертвы, чтобы представить дело так, будто именно целевая система инициировала запрос. После этого происходит следующее - поскольку пакет ЕСНО послан по широковещательному адресу, все системы усиливающей сети возвращают жертве свои ответы (если только конфигурация не определяет другого поведения). Послав один пакет IСМР в сеть из 100 систем, атакующий инициирует усиление атаки DoS в сто раз! Козффициент усиаения зависит от состава сети, поэтому атакующий ищет большую сеть, способную полностью подавить работу системы-жертвы, В данной статье можно рассмотреть следующий пример: предположим, что атакующий послал 14 Кбайт непрерывного трафика IСМР на широковещательный адрес усиливающей сети, содержащей 100 систем. Сеть атакующего подключена к Интернету двухканальным соединением ISDN, усиливающая сеть – линией ТЗ со скоростью обмена 45 Мбит/с, а сеть-жертва – линией Т1 (1.544 Мбит/с). Подсчет показывает, что атакующий может сгенерировать трафик 14 Мбит/с в целевой сети, у которой практически не останется шансов продолжить нормальную работу, поскольку будет полностью занята вся полоса пропускания линии Т1.
Одним из вариантов атаки является fraggle (осколочная граната). Эта атака базируется на smurf, но использует пакеты UDР вместо ICМР. Атакующий посылает обманные пакеты UDР по адресу широковещательной рассылки усиливающей сети, обычно на порт 7 (эхо). Каждая система сети, в которой разрешен ответ на эхо-пакеты, возвратит пакеты системе-жертве, в результате чего будет сгенерирован большой объем трафика, Если в системах усиливающей сети запрещены эхо-ответы, системы будут генерировать сообщения IСМР о недостижимости, и полоса пропускания все равно будет захватываться ненужным трафиком.
Специалисты по сетевой безопасности рекомендуют предпринять следующие контрмеры: чтобы предотвратить эффект усиления позволит запрет операций прямой широковещательной рассылки на всех граничных маршрутизаторах. Дополнительно можно установить в операционной системе режим "тихого" отброса широковещательных эхо-пакетов IСМР.
Ну я так понимаю - в этом виде атак принимается типа "отражене эха" , да ? то есть достаточно запросов посылать нескоьлко пользователям и через несколько секунд все начнут псылать друг другу ICMP пакеты и получится ping of dead ..
я парвильно думаю?
И не ужели свичи, обычные маршрутизаторы не могут "понимть" это?
gold-goblin
23.12.2009, 02:19
Ну я так понимаю - в этом виде атак принимается типа "отражене эха" , да ? то есть достаточно запросов посылать нескоьлко пользователям и через несколько секунд все начнут псылать друг другу ICMP пакеты и получится ping of dead ..
я парвильно думаю?
И не ужели свичи, обычные маршрутизаторы не могут "понимть" это?
Я тебя не понял....
Получается так что в пинг пакете ты заменяешь адрес ответа и посылаешь этот пакет на 1000 компов, потом эти 1000 компов ответят на адрес которым ты заменил свой.
Все врубился вто что ты писал =) ты описал прогресс атаку =) которая будет продолжатся без твоего участия =) (сложна в реализации + требует спец настроек серверов для 100% удачи)
а где наш Cthulchu ? может он все таки расскажет как это реализовать ?
gold-goblin
все таки получается всем компам одновременно надо отправить Ping с поддельным адрес ответа ?
Retimiled
25.12.2009, 00:16
атаки land и smurf блокируются и провайдерами и маршрутизаторами Dlink 3Com LevelOne не говоря уже о Cisco.
... все админы думаю подтвердят что НЕ ИДЕТ ИЗ ВНЕШНЕЙ СЕТИ широковещательного трафика! Land также режется ....
а использовать в локалке smurf ... возможно только смысл? Простая arp-poison атак даст в 100-крат лучший результат! И реализации не нужно искать все знают CAin (полное ослепление оглухление компа)
gold-goblin
25.12.2009, 00:38
все таки получается всем компам одновременно надо отправить Ping
В этом и прелесь широковещательной сети =) Ты шлешь 1 пинг а в ответ получаешь 200 (к примеру)
Retimiled
25.12.2009, 00:43
gold-goblin приветик! 8)
... ты хоть раз видел широковещательный UDP приходящий из интернета?
... лет 5-ть уже никто не видел 8)) .... если бы провайдеры разрешили ходить в сети таким пакетам ... они умерли бы на счет ОДЫН ДВА!
а широковещательные ICMP вообще динозавры!
Так что smurf - ИСТОРИЯ !!!
Root-access
25.12.2009, 00:50
Как бы Капитан Очевидность подсказывает: https://forum.antichat.ru/showthread.php?t=10918
Заметьте, уже в этом топике (2005 год) в комментах пишут о неактуальности атаки.
О чём же может идти речь почти 5 лет спустя?
gold-goblin
25.12.2009, 01:00
я и не говорю что актуально... Я объясняю человеку про этот вид атаки.
Спасибо ребята.
напомню, что первоначалный пой вопрос был такой:
Только вот не знаю щас этот вид актуально в современных сетях ?
и только Cthulchu пишет:
очень даже актуальна и широко используется.
просто думал человек на правильном пути..
Спуфинг невозможен на сетевом уровне TCP/IP. Атака неактуальна, читайте матчасть
gold-goblin
25.12.2009, 21:18
просто думал человек на правильном пути..
В принципе эта атака актуальна для сетей с определенно настроенными клиентами\серверами.
freelsd
Как это не актуальна? еще и как актуальна. часто с CAIN_ом делаю ARP спуфиг в современных сетях и ловится инфо нормально.
gold-goblin
и как актуальна, если все роутеры блочат широковешательные пакеты?
Retimiled
25.12.2009, 23:58
2 B1t.exe
gold-goblin говорит про большие локалки даже скорее не класса С
Retimiled
ага. про тех сетях, где на основе терминаторов ЛВС организован и на коаксиале.
только щас кто пользуется такими делами - ХЗ !
gold-goblin
26.12.2009, 02:52
ага. про тех сетях, где на основе терминаторов ЛВС организован и на коаксиале. Ага а тагже вся московская сеть голден вай фай которая не блокирует широко вещательные запросы. Если пойти дальше локальная сеть корбины (нынче билайн или вымпел телеком) до недавнего времени из-за не достаточной настройки в нутри сети можно было испоьзовать широко вещательные пакеты в пределах районного свитча.
Дальше примеры надо?
gold-goblin
мдаа. парадокс получается !
а давайте пишите как выпонять smurf атака ? (с каким прогой, с GUI и как) ?
есть у кого небудь опыт ?
gold-goblin
27.12.2009, 01:33
Знаешь, я лично не использовал такой тип атаки а только боролся с ней...
В принципе для реализации простейшей атаки надо изучить протокол ICMP и написать свою прогу, или гуглить=)
vBulletin® v3.8.14, Copyright ©2000-2026, vBulletin Solutions, Inc. Перевод: zCarot