clubdogirc.MyForum.ro

GhOsT · Administrator Data inscrierii: 26/Noi/2007 Mesaje: 234

Atacurile SMURF sunt considerate de experti ca una din cele mai periculoase feluri de atac DoS deoarece are un asa numit concluzie de marire care este un rezultat al expedierei pingurilor la sisteme care la rindul sau sunt obligate sa dea raspuns.

Apelul se expediaza ori la adresa de retea sau la adresa broadcast (daca ip-ul este 1.2.3.0 si masca de retea 255.255.255.0 atunci ip broadcast va fi 1.2.3.255) In orice caz, acesta trebuie sa faca transformarea din nivelul 3 (protocol) in nivelul 2 (retea), dupa cum cere RFC 1812 "Requirements for IP Version 4 Routers". In reteaua standarta din clasa C adresa de retea va fi 0 iar adresa pentru expedierea in masa va fi 255. Aceasta expediere in masa se foloseste pentru diagnostica si îngăduie identificarea sistemelor functionale dupa pinguirea fiecarei adrese din diapazon.

Atacurile SMURF sunt alcatuite din 3 faze si anume: atacant, reteaua multiplicatoare si tinta finala. Atacantul trimite pachete ICMP ECHO pe adresa retelei multiplicatoare iar adresa punctului final se inlocuieste cu adresa tintei noastre. Acum urmeaza raspunsurile acestei retele la o singura adresa (tinta noastra). Astfel, expediind un colet ICMP intr-o retea din 100 calculatoare, atacantul mareste atacul DoS de 100 ori!

Coeficientul amplificarii depinde de reteaua folosita in acest scop, din care cauza e nevoie de una mai mare ca sa poata destabiliza/stopa functionalitatea tintei. Sa luam spre exemplu cazul cind tu ai expediat 14 Kbyte de ICMP trafic la adresa unei retele amplificatoare alcatuita din 100 calculatoare. Reteaua atacantului este conectata la internet printr-o conexiune dubla ISDN, reteaua amplificatoare - T3 cu viteza 45mbyte/s iar tinta cu T1 (1.544mbyte/s). Astfel, putem genera un trafic de 14mbyte/s ceea ce va da un efect profund... Sistemul nu va mai avea cind sa faca alte operatii decit sa raspunda la apelurile de ping. O alta varianta este fraggle care este acelasi atac doar ca foloseste pachete UDP in loc de ICMP care vor cere raspuns de la sistemul tinta pe portul 7 (echo) si iarasi se formeaza un trafic puternic. In cazul cind pe sistem sunt interzise raspunsurile pe portul 7, sistemul va forma automat pachete despre aceasta ceea ce va incarca mult sistemul dat. Acum nu va ramine nimic decit sa cautati o retea buna, sa faceti un listening la traficul de iesire dupa care sa alegi citeva pachete in care sa schimbi ip-ul destinatar, adica sa-i bagi acolo ip-ul tintei tale si gata. Pentru cei ce inca nu stiu... listening la traficul de retea se face printr-un sniffer de retea...