Протокол от научен експеримент.

Цел на експеримента: Целта на експеримента е да се провери какво може да се научи ако някой се закачи на LAN мрежата на интернет доставчик.
Място на провеждане: Някъде в Студентски град ( точния адрес само на оторизирани лица )
Време на провеждане: От 17:57 на 14.10.2007 до 18:13 на 14.10.2007 с обща продължителност 16 мин. Първите три минути бяха използвани за установяване на наличните адреси в точката на свързване и проучване на възможните начини за атака.
Точка на свързване: Свободен порт в комутатор на етажа на сграда. Има възможност за прилагане на снимков материал за точката на свързване, както и снимков материал на използваните средства.
Средства използвани при експеримента: Лаптоп IBM R52, 3 метра пач корда, 3G Data card за резервна връзка към Интернет. Операционна система Windows XP със SP2, EtherCap и специализиран софтуер за осъществяване на MiM.
Rезултати от експеримента:
- Успешен ARP Spoof в 18:01
- Успешно откриване на рутер в 18:02
- Успешно прилагане на MiM върху 68 работни станции в 18:05
- Записан разговор по IP в 18:09 ( нищо интересно )
- Прихванати две пароли за ICQ ( UIN-ите са на 14 годишна тинейджърка и 18 годишен студент - номерата и паролите са лична информация и не могат да бъдат публикувани без разрешението на собственниците им )
- Прихваната парола за [линк]
- Прихаваната SIP регистрация на телефонен номер предоставен от алтернативен оператор - номера може да бъде предоставен на заинтересованите лица. Паролата разбита с Dictionary attack на 5-тата секунда.
- Прихванат хеша на войс гейта на алтернативния доставчик. Паролата не е разбита поради незаинтересованост на експериментатора.
Бъдещи планове:
- Провеждане на подобен експеримент с по-мощна система и осъщестяване на MiM.
- Свързване на хардуерно устройство за MACOFF за да се избегне осъществяване на MiM с компютърна система.

Провел експеримента: dotATmailDOTbg

Супер, тази тема направо трябва да се закове най-горе и да се дава линкът към нея на всички любители на този тип доставчици.

... могъл да проведеш същият експеримент и с aDSL на БТК например? Ще ми е интересно да чуя

"Нищо не променя тъй детето, както космосът и пубертета."

...давам рамо на една или друга технология за предоставяне на услуга - един вид това не е реклама.
Иначе да! Бих могъл, но малко по-трудно ще получа достъп до подходяща точка на свързване в мрежата.

Това можеш да го направиш навсякъде с всяка технология стига да получиш правилното място за достъп. Ти си го направил в незащитена студентска мрежа, не виждам с какво се гордееш.

Всъщност, като чета по внимателно си се изхвърлил супер яко. 5 секунди разбиване на парола, явно много филми гледаш напоследък, освен ако не си хванал прословутата параола 123

Всъщност, на нормално центрино с каквото сигурно е обурудван лапатопа, dictionary-то, на 4-5 буквени пароли е толкова някъде :)

Всичко е възможно но автора много се е изхвърлил с времето за което го е постигнал. В една сепарирана LAN мрежа където клиент = vlan това нещо е невъзможно.

...говори ли ти нещо? Някакъв IBM с MAC 0014:5ECD:2B95...
С това само се захванах - все пак машинката не е много мощна за масова атака.
Така! Не става дума за студентска мрежа, а за мрежа на интернет доставчик който по думите на един негов представител в друг форум притежава 8% от броудбанд пазара в България. Ако тя не е защитена...нали се сещаш? Всъщност не знам но ми се струва безсмисленно да се пускат n логически мрежички при по една среда при условие, че за MiM това не е спирачка. Все пак донякъде е хитро даването на 192.168.х.х ако мака на свързания компютър не съществува в базата. Може да спре любопитни ламета, но не и една преднамерена атака. Каквато аз правих...Следващият път ще пробвам някой от другите IP-а които мятат ARP заявки наляво и надясно.
Колкото до времето за паролата на телефонен номер 02ххх4426 не съм аз виновен, че използва лесно разбиваема парола - нали така?
Иначе донякъде си прав за vlan сегментация, въпреки че не е невъзможно да се отвори трънк за "провеждане на научни експерименти"
btw: Скенера ми е бърз. Ето ти част от лога...
************************************
* MAC Scanner/Promiscuous-mode Detector *
************************************
IP Address: 77.70.111.129
MAC Address: 00145ECD2B95
OUI Fingerprint: IBM
Hostname:
ARP Test (Broadcast 31-bit):
ARP Test (Broadcast 16-bit):
ARP Test (Broadcast 8-bit):
ARP Test (Group bit):
ARP Test (Multicast group 0):
ARP Test (Multicast group 1):
ARP Test (Multicast group 3):

IP Address: 77.70.111.133
MAC Address: 000FB00CA96F
OUI Fingerprint: Compal Electronics,INC.
Hostname:
ARP Test (Broadcast 31-bit):
ARP Test (Broadcast 16-bit):
ARP Test (Broadcast 8-bit):
ARP Test (Group bit):
ARP Test (Multicast group 0):
ARP Test (Multicast group 1):
ARP Test (Multicast group 3):

IP Address: 77.70.111.134
MAC Address: 0015E970F715
OUI Fingerprint: D-Link Corporation
Hostname:
ARP Test (Broadcast 31-bit):
ARP Test (Broadcast 16-bit):
ARP Test (Broadcast 8-bit):
ARP Test (Group bit):
ARP Test (Multicast group 0):
ARP Test (Multicast group 1):
ARP Test (Multicast group 3):

п.п: Щях да забравя! Някой да се интересува от снимковия материал?

е казваш... ахаааа...

"Нищо не променя тъй детето, както космосът и пубертета."

Ми мой човек това е лан мрежа ти по леко да не те хванат защото някой колеги не си поплюват.

Не виждам какво доказваш с това. MiM може да се направи навсякъде , да не говорим пък ако работиш в ISP (или подкупиш администратора) .
За това хората са измислили https .

KID, ще се учудиш колко е лесно да направиш MiM за АДСЛ. Стига да има какво да крадеш, щото пароли за ICQ нещо не си заслужават усилията.

не отрича, че е невъзможно, но друго имах предвид

"Нищо не променя тъй детето, както космосът и пубертета."

dot, ако си същия . , дето пише в БТК , не знам как говориш за MiM атаки и сигурност, след като бтк официално (чрез телефона за поддръжка ) препоръчва използването на чужди , публични DNS сървъри !!! Никога не бих използвал чужд DNS, колкото и да е "сигурна" и "уважавана" организацията, която го администрира.



Освен това не е забравен и случая, когато бриджнахте лан интерфейсите на адсл модемите (рутерите) и най-малкия проблем беше ip конфликтите (да не говорим, че някъде се виждаха цели чужди мрежи)

Ако някой има да крие нещо , не ще го скрие нито през ЛАН, нито през АДСЛ , освен със здраво криптиране.

Аз предлагам да не наблягаме много на тема сигурност на комуникациите

p.s.
Мен като интернет потребител ме е много по-страх от DNS натравяне, отколкото от МиМ атака. Щото, ако някой натрови ДНС сървърите, ще събира, събира .... , и https-a няма да помогне.

А имам подозрения, че DNS натравяне е правено на един от големите доставчици в България .

в една сепарирана мрежа, където 8к клиенти = 8к влан-а ?
я ми посочи такъв ланаджия :)

При положение че сме единствения доставчик в ст. град е ясно че ние сме интернет доставчика. След като си се вързал на кутия на етажа значи си го направил в някоя студентска мрежа защото нямаме кутии по етажите освен ако са останали от някоя изкупена и непреправена мрежа.
Това което си го направил може да го направят доста хора ако си го поставят за цел. Винаги когато имаш повече машини в един VLAN може с повечко усилия да разбререш някой неща.
И да, прати ми снимките за да видя къде се е случило но съм почти сигурен че е в блоковете на Софииския които си изграждат сами мрежите

Ланаджия имам впредвид.
Иначе са ти криви сметките - за 8к клиента са достатъчни доста по-малко vlan-а.

Нямаш мейл в профила. Пусни нещо на мейла в моя профил за да ти пратя снимките.

Готово. Всъщност видях че това е рутер отговарящ за 4ти, 56ти, 60ти блок и Малинова долина. 4ти и 60ти са изцяло вътрешни и едва ли си имал как да влезеш в сървърните там, така че остава 56ти които още не е направен.

... колко време трябва на един LAN доставчик да открие в мрежата си хардуерно устройство което може да изплюе за секунда 25000 валидни ethernet фрейма? А две? Толкова по въпроса за хващането.
Не съм си поставял за цел да руша - ако това беше целта първо времето беше крайно недостатъчно, второ няма да е толкова лесно колкото изглежда ако искаш да навредиш сериозно и трето - не ми е интересно да се занимавам с глупости!

да, принципно да, криви са ми, малко по-различни от твоите
обаче да направим едни други сметки, за 8к клиенти колко и какви точно умни суича ти трябват, колко ще ти струват, с колко ще оскъят услугата към клиента и т.н. :)