Перехват сеанса
Министерство
образования и науки Российской Федерации
Федеральное
государственное бюджетное образовательное учреждение высшего профессионального
образования
«Тихоокеанский
государственный университет»
(ТОГУ)
Кафедра
«Высшая математика»
КУРСОВАЯ РАБОТА
по дисциплине «Основы построения
защищенных компьютерных сетей»
Тема «Перехват сеанса»
Выполнили
Студенты гр.
КБ-11
Баринов А.А.
Лагунов А.А.
Научный
руководитель
к.ф.-м.н.,
доцент
Лисенков К.В.
Хабаровск -
2015
Введение
Термин "перехвaт сеaнсa" (session hijacking)
ознaчaет способность aтaкующего зaхвaтывaть чaсть сеaнсa (чaсто - сетевой
диaлог) и вести себя кaк один из его учaстников. Перехвaт сеaнсa обычно
является чaстью прослушивaния сетевого трaфикa (снифингa), отличaясь от него
тем, что снифинг осуществляется пaссивно, a перехвaт сеaнсa требует aктивных
действий.
Перехвaт сеaнсa использует недостaтки, присущие
большинству типов сетей и протоколов без шифровaния дaнных. Глaвным из них
является передaчa информaции в открытом виде. Те же сaмые недостaтки
используются при снифинге. Но при перехвaте сеaнсa, вдобaвок к мониторингу,
злоумышленник может встaвлять пaкет или кaдр, претендуя нa роль одного из
хостов. Подобные действия aнaлогичны действиям при получении доступa обмaнным
путем (спуфинге), зa исключением того, что не нужно ничего угaдывaть - вся
необходимaя информaция уже доступнa злоумышленнику.
Цель работы: В данной курсовой будет выяснено, чего
могут достичь злоумышленники при перехвaте сеaнсa, и будут рaссмотрены
современные инструментaльные средствa перехвaтa сеaнсa, а также
продемонстрирован процесс перехвата открытой сессии Http session Hijacking (на
примере "vk.com").
Ку́ки - небольшой фрагмент данных,
отправленный веб-сервером и хранимый на компьютере пользователя. Веб-клиент
(обычно веб-браузер) всякий раз при попытке открыть страницу соответствующего
сайта пересылает этот фрагмент данных веб-серверу в составе HTTP-запроса.
Применяется для сохранения данных на стороне пользователя.
Аутентифика́ция - процедура проверки подлинности, проверка
подлинности пользователя путём сравнения введённого им пароля с паролем,
сохранённым в базе данных пользователей.
Шифрование - это процесс преобразования информации в нечитаемый для всех
вид, кроме конкретного получателя. Оно основывается на необходимых для
электронной коммерции гарантий конфиденциальности передачи информации и
невозможности ее фальсификации.
Сниффинг (Sniffing) - это перехват пакетов, передающихся между двумя
компьютерами. Перехват может произойти в любой точке маршрута данных. В
локальной сети перехватчиком может быть любой узел сети, в интернет -
провайдер.
Основные сведения о перехвaте сеaнсa
перехват
сессия сеть протокол
Сниффинг.
В сетях, построенных на основе TCP/IP, вся информация
передается, в основном, в открытом виде (в том числе и всякие секретные данные
- пароли и логины). Поэтому очень выгодно бывает настроить на одной машине
софт, который будет просматривать все пакеты, проходящие по сети, и проверять,
не содержится ли в них каких-нибудь паролей. Это и есть сниффинг. А такой софт
называется сниффером. Сниффинг - излюбленный метод многих хакеров.
Проблема сниффинга в Интернете решаемая. Самое
главное, нужно передавать приватные данные в зашифрованном виде (протоколы SSH
и SSL). Для понимания процесса посмотрим на сниффинг в локальной сети.
Перехватить пакет в Ethernet-сети очень просто. В
Ethernet-сети любой отправленный пакет предназначается каждому компьютеру.
Компьютер смотрит поле адреса получателя и сравнивает его со своим адресом.
Если адреса совпадают, пакет будет принят, иначе - отброшен. Это в сети с
концентраторами. Концентратор сети - это устройство, которое просто повторяет
принятый от машины пакет на все свои порты. Если компьютер определит, что пакет
предназначен для него, он его примет. Если пакет не предназначен для него, он
будет отброшен. Но если перевести сетевой плату в специальный режим
(promiscuous mode), то она будет принимать все полученные пакеты, независимо от
того, кому они предназначались.
Самая большая угроза сниффинга состоит в перехвате паролей часто
используемых протоколов - Telnet, FTP, POP3, HTTP, которые передают информацию
о пароле в сети в открытом виде. С помощью сниффинга можно перехватывать даже
передаваемые по сети файлы, прикрепленные к какому-нибудь письму. Сниффер можно
не устанавливать на каждой машине сети. Достаточно установить его на одной
взломанной машине или на своей машине - если машина находится в локальной сети.
На многих сервисах шифрование соединения происходит только в момент
сверки логина и пароля, а последующий сеанс сайта с пользователем проходит уже
в открытом виде. Для этого применяется идентификатор сеанса (session ID), т.е.
- пользователю передаётся в cookies случайно сгенерированный код, по которому
происходит определение “свой-чужой”. Вот эти самые кукисы и являются мишенью
для плагина “Firesheep”. Перехватив http сессию (SideJacking) и завладев
идентификатором сеанса, злоумышленник может заходить в чужие аккаунты,
маскируясь под другого пользователя.
Спуфинг.
Спуфинг (Spoofing) - имитация соединения, получение доступа обманным
путём. Способность маршрутизатора реагировать на некоторые сетевые запросы
действиями местного характера с целью избежать необходимости установления
соединения с удалённым пунктом. Используется хакерами для обхода систем
управления доступом на основе IP-адресов путём маскирования под другую систему
(её IP-адрес). Другое использование - маскировка ложных сайтов под легальный
бизнес, с целью получить от посетителей номера кредитных карточек обманным
путем.IP.
Это подмена исходного адреса в заголовке пакетов. Однако Spoofing IP не
является уникальным способ скрытия/изменения IP-адреса, аналогичный proxy или
socks. Спуфинг лишь позволяет изменить IP-адрес в заголовке пакета, но не
удерживать этот адрес как свой (т.е. ты не сможешь получить ответ, его получит
хозяин адреса, который ты указал вместо своего). Т.е., для того, чтобы изменить
свой IP-адрес в заголовке, необходимо работать с межсетевым уровнем.
Целью спуфинга обычно является вызов DoS (отказа в обслуживании) или провокация
DDoS (распределённой атаки с целью вызова DoS). А вот способов обеспечения
DoS/DDoS с помощью IP-спуфинга несколько:
Чтобы выполнить DoS-атаку на сервер (А) необходимо отослать ему много
ICMP-пакетов. Изменить свой ip просто на какой-то левый, чтобы пакеты, которыми
отвечает сервер (А) не вызвали DoS на Вашей машине. А так сервер (А) будет
отвечать на них другой машине, которой, возможно, даже не существует;
Изменяем свой IP на IP "жертвы". Затем отсылаем пакеты серверу
(В), а он, в свою очередь, DoSит "жертву", адрес которой указан в
этих пакетах;
Как адрес отправителя, так и адрес получателя равен адресу
"жертвы". Отсылаем множество таких пакетов, и "жертва"
DoSит сама себя.
Практически любой сервер уязвим к DoS-атаке, если не умеет резать пакеты,
приходящие к нему с его же адреса, или не может отличить обычный
пользовательский запрос от DoS-атаки.
На практике большое значение имеет ширина канала (Вашего, "жертвы" и
сервера). Выигрывает обычно тот, у кого канал шире и мозгов больше.
Spoofing - спуфинг расширения файла
Техника, увидевшая свет благодаря наработкам
китайского исследователя в области информационной безопасности Zhitao Zhou.
Суть данной техники заключается в использовании управляющего символа 0x202E
(RLO) в имени файла, что позволяет изменить порядок символов при отображении названия
файла в проводнике Windows (explorer.exe). Приведу пример использования этой
простой техники:music uploaded by 3pm.SCR.
Файл 3pm.SCR представляет собой не что иное, как
исполняемый файл, реализующий определенные функции (троянская программа. -
Прим. редактора). Если в начале имени файла «3pm.SRC» вставить управляющий
символ 0x202E (см. рис. 1), то порядок символов меняется на обратный и имя
файла отображается в проводнике Windows уже иначе:
music uploaded by RCS.mp3
Для изменения иконки файла следует использовать любой
редактор ресурсов (Restorator, Resource Hacker). Данная техника рассчитана на
неосторожного пользователя, который может принять этот файл за песню и открыть
двойным щелчком, тем самым запустив зловредную программу. К сожалению, данная техника
не будет работать в программах - аналогах проводника, поддерживающих Юникод.
Ниже приведен код на C#, который выполняет изменение имени файла, добавляя в
начало управляющий символ 0x202E
Sub U_202E(file As String, extension As String)d As Integer = file.Length
- 4u As Char = ChrW(823)t As Char() = extension.ToCharArray().Reverse(t)dest As
String = file.Substring(0, d) & u & New String(t) &
file.Substring(d).IO.File.Move(file, dest)Sub
Человек по середине.
В большинстве случаев нападавшие сначала попытаются
установить вредоносное ПО на компьютерах пользователей, так как это самый
короткий маршрут между ними и вашими данными. Но если это невозможно по
каким-либо причинам, другой популярный метод компромиентации системы - «человек
посередине». Как следует из названия, этот вектор атаки предполагает, что
атакующий ставит себя или свои вредоносные инструменты между жертвой и целевым
ресурсом, как то: сайт, банковский или почтовый ящик. Эти нападения могут быть
весьма эффективными и довольно трудно обнаруживаемыми, особенно для
пользователей, которые не знают о такой опасности.
Концепция MITM-нападения (Man-in-the-Middle) на
удивление проста, и она не ограничивается безопасностью компьютера или
онлайн-ресурса. В самом простом случае злоумышленнику надо всего лишь поставить
себя в цепь между двумя общающимися сторонами, чтобы перехватывать их сообщения
друг другу. При этом злоумышленник всегда должен выдавать себя за каждую из
противоположных сторон. Например, в реальной жизни можно создать поддельный
счет и положить его в почтовый ящик жертвы. После чего перехватить его на
почте, когда жертва попытается счет оплатить. В онлайне все намного сложнее, но
суть та же. Злоумышленник ставит себя между целью и ресурсом, требуемым цели.
При этом наличие атакующего всегда должно оставаться незаметным для обеих
сторон. В этом залог успеха атаки.
Варианты MITM-атаки
Больше всего распространены MITM-атаки, когда
злоумышленник использует Wi-Fi-маршрутизатор в качестве инструмента перехвата
сообщений. В данном случае создается подмена используемого роутера и подмена
самой сети. Либо используются ошибки в настройке и защите сети, позволяющие
вполне легально перехватывать сессии. В первом сценарии злоумышленник
настраивает в своем ноутбуке точку беспроводного доступа, давая ей то же имя,
что и используемое в общественном месте с доступным Wi-Fi. Когда пользователи
подключаются к этой псевдосети, то при попытке совершить какое-либо действие с
коммерческими сайтами, банковскими или прочими финансовыми ресурсами, их
информация перехватывается, после чего злоумышленник уже может пользоваться ей
по своему усмотрению.
Второй
вариант сценария предполагает, что злоумышленник находит уязвимости в настройке
или шифровании в легальной сети
<https://threatpost.com/en_us/blogs/new-attack-breaks-confidentiality-model-ssl-allows-theft-encrypted-cookies-091911>,
после чего использует этот недостаток для слежения за жертвами. Это более
сложный путь, но он может быть не менее эффективным, если атакующий имеет
постоянный доступ к интересующему его роутеру в течение длительного времени.
Это дает ему возможность незаметно «прослушивать» интересующую сессию и, пока
жертва считает, что она в безопасности, собирать большое количество нужной
информации.
В
последнее время встречается и вариант MITM-атаки «Человек-в-браузере». В этом
случае злоумышленник использует один из нескольких возможных методов для того,
чтобы занести вредоносный код, работающий внутри браузера, на компьютер жертвы.
Это ПО потом незаметно записывает все данные, передаваемые между браузером и
различными сайтами, после чего отсылает полученные сведения злоумышленнику.
Такой вариант становится все более распространенным, так как он может
применяться к большой группе пользователей-жертв, а также не требует, чтобы
злоумышленник находился поблизости.
Защита
Есть несколько эффективных средств защиты от
MITM-атак, но почти все они используются либо в самом маршрутизаторе, либо на
серверах, к которым обращается потенциальная жертва. При этом самой жертве
невдомек, на настоящем она сервере либо это подделка, подставленная
злоумышленником. Одним из способов защиты от такой атаки является использование
стойкого шифрования между клиентом и сервером. В таком случае сервер может
идентифицировать себя посредством предоставления цифрового сертификата, после
чего между пользователем и сервером устанавливается шифрованный канал для
обмена конфиденциальными данными. Но в этом случае возникает зависимость от
самого сервера и выбора им метода шифрования.
Другим
вариантом защиты от некоторых видов MITM-атак является полный отказ от
использования открытых Wi-Fi-сетей для работы с личными данными. Хорошую защиту
дают некоторые плагины для браузеров. Например, HTTPS Everywhere
<https://www.eff.org/https-everywhere> или ForceTLS
<#"865685.files/image001.gif">
Плагин Firesheep, разработанный Эриком Батлером, демонстрирует, как
просто можно украсть пользовательские логины и пароли на различных веб-сервисах
в незащищенной Wi-Fi-сети. Утилита основана на методе перехвата cookies.
Firesheep позволяет украсть чужой аккаунт при условии, что шифрованию не подвергается
ни http-соединение с сайтом, ни трафик в беспроводной сети Wi-Fi.
) На screen1 представлены главные окна "CookieCadger" и
"Firesheep"
Screen1
Cadger - кроссплатформенная утилита на Java,
сочетающая в себе мощь Wireshark и простой графический интерфейс. В рабочем
окне программа показывает, какие сессии открыты на ноутбуке жертвы. Можно
выбрать любую сессию - и в один щелчок мыши воспроизвести её в своём браузере,
путём воспроизведения таких же HTTP GET запросов с перехваченными cookies.
Единственной защитой против атак подобного рода
является использование SSL/TLS, но до сих пор многие веб-разработчики так и не
внедрили поддержку защищённых протоколов на своих сайтах. Даже там, где она
существует (например, Facebook), значительная часть аудитории по-прежнему
продолжает использовать незащищённое соединение.
Screen2
Находим файл pds.php и копируем его содержимое в текстовый файл.
Screen3
Screen4
Находим строку "Cookies" и в ней параметр "remixid"(отвечает
за авторизацию) и копируем его. (screen3 screen4)
Затем устанавливаем плагин для редактирования cookies. Например,
"Edit this cookie" и вставляем в поле "remixid" значение из
файла.
Процесс аторизации прошел успешно. screen5
Screen5
Использование SSL соединения. Способ избежать таких уязвимостей.
Для осуществления SSL соединения необходимо, чтобы сервер имел
инсталлированный цифровой сертификат. Цифровой сертификат - это файл, который
уникальным образом идентифицирует пользователей и серверы. Это своего рода
электронный паспорт, который проводит аутентификацию сервера до того, как
устанавливается сеанс SSL соединения. Обычно цифровой сертификат независимо
подписывается и заверяется третьей стороной, что гарантирует его достоверность.
В роли такой третьей стороны выступают центры сертификации, в частности,
компания thawte. Компания thawte является наиболее известным в мире центром
сертификации.
Протокол SSL обеспечивает защищенный обмен данными за
счет сочетания двух следующих элементов:
Аутентификация
Цифровой сертификат привязан к конкретному домену сети Интернет, а центр
сертификации проводит проверки, подтверждающие подлинность организации, а уже
затем создает и подписывает цифровой сертификат для этой организации. Такой
сертификат может быть установлен только на тот домен web-сервера, доля которого
он прошел аутентификацию, что и дает пользователям сети Интернет необходимые
гарантии.
Шифрование
Шифрование - это процесс преобразования информации в нечитаемый для всех
вид, кроме конкретного получателя. Оно основывается на необходимых для
электронной коммерции гарантиях конфиденциальности передачи информации и
невозможности ее фальсификации.
Заключение
Зaщитa от перехвaтa соединений прежде всего основaнa нa шифровaнии
дaнных. Следует отметить, что в основном шифровaние применимо к сетевому
трaфику. Но дaже при использовaнии протоколов шифровaния, передaвaемых по сети
дaнных, злоумышленник сможет успешно перехвaтить дaнные жертвы.
Список используемой литературы
1. Дэвид М.
Ахмад, Идо Дубравский, Хал Флинн, Джозеф «Кингпин» Гранд, Роберт Грэм, Норис
Джонсон, K2, Дэн «Эффугас» Камински, Ф. Уильям Линч, Стив Манзуик, Райян Пемех,
Кен Пфеил, Рэйн Форест Паппи, Райян Расселл. Защита от хакеров корпоративных
сетей-М.:2006-248с.