czy lokalny host może zostać sfałszowany?

9

Czy zdalny komputer może uzyskać dostęp do danych lokalnego hosta innego komputera przez sfałszowanie adresu IP pętli zwrotnej?

Powiedz, że jeśli chcę konfiguracji, w której łączę się gdzieś spoza mojej sieci, będę musiał podać dane logowania, a moje hasło będzie wymagane do wszystkich wrażliwych operacji. Jeśli jednak łączę się z komputera, te poświadczenia nie są potrzebne, ponieważ muszę zalogować się do systemu operacyjnego, aby mimo to uzyskać dostęp do sieci na tym urządzeniu. Czy w ten sposób mogę polegać na adresie sprzężenia zwrotnego jako środku bezpieczeństwa? A może atakujący może sprawić, że wygląda na to, że łączy się lokalnie?

security localhost bee.catt
źródło
Nie wydaje mi się.
SpacemanSpiff
1
Czy masz na myśli, aby maszyna otrzymała sfałszowany pakiet, który prawdopodobnie pochodzi z wersji 127.0.0.1? Czy masz na myśli skłonienie maszyny do otrzymania sfałszowanego pakietu zaadresowanego do 127.0.0.1?
David Schwartz
Zasadniczo, czy ktoś może włamać się do moich danych lokalnego hosta i zrobić z nim cokolwiek, udając, że jest lokalnym hostem.
bee.catt
Nie jest jasne, co oznacza „włamanie do moich danych lokalnego hosta”. Czy to oznacza, że ​​twój komputer otrzyma pakiet, który wydaje się pochodzić z 127.0.0.1?
David Schwartz

Odpowiedzi:

12

Nie.

Możliwe jest wysyłanie danych jako fałszywych 127.0.0.1, ale odpowiedź zniknie (pozostanie w środku) interfejsu pętli zwrotnej i zostanie „zgubiona”.

Jeśli po drodze jest router, wyśle ​​pakiet przez własny interfejs pętli zwrotnej i tam zostanie utracony.

mulaz
źródło
ok, więc jeśli rozumiem to wszystko poprawnie, osoba atakująca może potencjalnie wysłać coś WEJŚCIE, ale nie byłaby w stanie odzyskać niczego ZEWNĄTRZ, ponieważ natura pętli zwrotnej polega na tym, że mówi ona tylko do siebie. Jeśli jest to poprawne, to czy osoba atakująca może wysłać złośliwy kod, który umożliwia zdalne połączenie, a nawet tylko trochę kodu, który ogólnie psuje?
bee.catt
masz w komputerze tablicę routingu, która mówi, które pakiety wychodzą gdzie. (route -n na * nix). Masz tam wpis 127.0.0.0/8, aby przejść przez interfejs pętli zwrotnej (tak naprawdę nie wychodzi, ponieważ jest to pętla zwrotna). Tak więc, jeśli atakujący z twojej sieci wyśle ​​pakiet na twój komputer, twój komputer może go zaakceptować, ale pakiet zwrotny zostanie utracony, ponieważ pozostanie on w twoim komputerze (wysłany „na zewnątrz” z pętli zwrotnej)
mulaz
1
Ciekawy pomysł. Jednak interfejs pętli zwrotnej nie ma adresu MAC. Trzeba więc mieć MAC komputerów docelowych (techniczny NIC) w połączeniu z adresem IP, który nie należy do tego MAC i mieć nadzieję, że stos sieci odbiorczej to zaakceptuje. A potem pakiet musi zostać zaakceptowany przez coś oczekującego danych i prawdopodobnie również nasłuchującego na prawdziwym IP. Mimo to miła myśl.
Hennes
Możesz użyć Mac z karty Ethernet (kiedy wysyłasz pakiet do, powiedzmy googles 8.8.8.8, wysyłasz go do ruterów MAC z 8.8.8.8 jako dst. IP. Maszyna musi mieć włączoną funkcję przekazywania IP.
mulaz
co z atakami na płaszczyźnie kontrolnej? Przy spreparowanym adresie źródłowym jako 127.0.0.1 można ominąć niektóre listy ACL?
sdaffa23fdsf
6

Tak. Nieoczekiwanie możliwe jest sfałszowanie adresu źródłowego pętli zwrotnej. Oczywiście nie otrzymasz żadnych odpowiedzi, więc sfałszowany pakiet musi również zawierać exploita. Zostanie również zatrzymany na routerze, więc musisz być w tej samej sieci lokalnej, co ofiara. W ten sposób można wykorzystać zdalny otwór CVE-2014-9295.

Okazuje się, że OS X i jądro Linuksa zachowują się w tym przypadku podobnie. Każdy pakiet IP przychodzący do zewnętrznego interfejsu ze źródłowym adresem IP 127.0.0.1 zostanie natychmiast usunięty. Ale jeśli zamiast tego użyjemy IPv6, możemy sfałszować :: 1 i wysłać pakiety trybu sterowania do demona (niektóre dystrybucje Linuksa mają reguły zapory ogniowej, które chronią przed tym, np. Red Hat). Tak więc, jeśli jesteśmy w tej samej sieci lokalnej, możemy wysłać sfałszowane pakiety na adres lokalny łącza docelowego i ominąć ograniczenia IP.

http://googleprojectzero.blogspot.de/2015/01/finding-and-exploiting-ntpd.html

sourcejedi
źródło
To jest prawdziwa odpowiedź ...
DeepS1X,
3

Dane sprzężenia zwrotnego zwykle nigdy nie trafiają do sieci. Jest przechwytywany i, cóż, zapętlony, zanim to nastąpi. Ponieważ nigdy nie trafia do rzeczywistej sieci, nic w sieci nie może go przechwycić.

Hennes
źródło
1

Nie. Pętla jest na stałe zakodowana /etc/hosts- jest to pierwsze miejsce, w którym resolver będzie szukał translacji pętli na translację ip. Jeśli nie możesz edytować / etc / hosts, nie możesz tego zrobić.

Jeśli możesz edytować / etc / hosts, jesteś administratorem, więc możesz zrobić wszystko ...

mnmnc
źródło