ASIX/M17/UF2/PT2 - Historial de revisió

Guillem: Guillem ha mogut M17/UF2/PT2 a ASIX/M17/UF2/PT2 sense deixar una redirecció: Crear subnivell ASIX

2020-04-15T11:34:31Z

Guillem ha mogut M17/UF2/PT2 a ASIX/M17/UF2/PT2 sense deixar una redirecció: Crear subnivell ASIX

2019-03-22T21:03:27Z

Atac

2019-03-22T20:48:11Z

Atac

2019-03-22T20:44:29Z

Atac

2019-03-22T20:42:03Z

Procediment

2019-03-22T20:37:41Z

Cas pràctic

2019-03-22T20:20:16Z

Cas pràctic

2019-03-22T20:19:58Z

Cas pràctic

2019-03-22T20:17:15Z

Mitigació

2019-03-22T20:17:00Z

Mitigació

@@ Línia 200: / Línia 200: @@
 Configurarem la targeta de xarxa per tal que tingui l'adreça <code>10.17.3.8/24</code> i utilitzi <code>10.17.3.7</code> com a DNS. Aleshores des del Kali (també configurada la NIC amb els paràmetres corresponents: IP <code>10.17.3.9 i DNS 10.17.3.7</code>), podem obrir el navegador web i accedir-hi normalment http://victim.guillem.test
 {{imatge|M17UF2PT2-1.png}}
 =====Solució=====

@@ Línia 198: / Línia 198: @@
 </source>
-Configurarem la targeta de xarxa per tal que tingui l'adreça <code>10.17.3.8/24</code> i utilitzi <code>10.17.3.7</code> com a DNS. Aleshores des del Kali (també configurada la NIC amb els paràmetres corresponents), podem obrir el navegador web i accedir-hi normalment
+Configurarem la targeta de xarxa per tal que tingui l'adreça <code>10.17.3.8/24</code> i utilitzi <code>10.17.3.7</code> com a DNS. Aleshores des del Kali (també configurada la NIC amb els paràmetres corresponents: IP <code>10.17.3.9 i DNS 10.17.3.7</code>), podem obrir el navegador web i accedir-hi normalment http://victim.guillem.test
 {{imatge|M17UF2PT2-1.png}}

@@ Línia 197: / Línia 197: @@
 systemctl start http
 </source>
 =====Solució=====

@@ Línia 35: / Línia 35: @@
 ====Cas pràctic====
-Necessitarem tenir instal·lat un servidor DNS. Optarem per instal·lar BIND en una màquina virtual CentOS 7 amb un adaptador de xarxa virtual en mode Xarxa NAT compartit amb el Kali Linux i un Ubuntu 16 que farem servir de víctima.
+Necessitarem tenir instal·lat un servidor DNS. Optarem per instal·lar BIND en una màquina virtual CentOS 7 amb un adaptador de xarxa virtual en mode Xarxa NAT compartit amb el Kali Linux i un altre CentOS 7 amb un servidor web instal·lat que serà la victima.
 Primer de tot, definirem un nom de host identificatiu pel servidor DNS:
 <source>
@@ Línia 189: / Línia 189: @@
 Address: 10.17.3.9
 </source>
 =====Atac=====
 =====Solució=====

@@ Línia 81: / Línia 81: @@
 L'arxiu de configuració principal és el <code>/etc/named.conf</code> que haurem d'editar per a poder permetre, entre altres coses, que el servidor respongui a ''queries'' DNS de les màquines de la xarxa:
-*'''Línia 13:''' afegirem l'adreça IP de la interfície virtual Xarxa NAT perquè la resta de VMs d'aquella xarxa puguin veure el servidor allà <source>listen-on port 53 { 127.0.0.1; 10.17.3.7 };</source>
+*'''Línia 13:''' afegirem l'adreça IP de la interfície virtual Xarxa NAT perquè la resta de VMs d'aquella xarxa puguin veure el servidor allà <source>listen-on port 53 { 127.0.0.1; 10.17.3.7; };</source>
 *'''Línia 21: ''' canviarem ''localhost'' per ''any'' de manera que qualsevol màquina pugui fer consultes DNS al servidor <source>allow-query     { any; };</source>
@@ Línia 99: / Línia 99: @@
 };
 </source>
 =====Atac=====

← Versió més antiga	Revisió del 11:34, 15 abr 2020
(Cap diferència)

@@ Línia 92: / Línia 92: @@
 allow-update { none; };
 };
 zone "3.17.10.in-addr.arpa" IN {
 type master;

← Versió més antiga		Revisió del 20:19, 22 març 2019
Línia 84:		Línia 84:

	*'''Línia 21: ''' canviarem ''localhost'' per ''any'' de manera que qualsevol màquina pugui fer consultes DNS al servidor <source>allow-query { any; };</source>		*'''Línia 21: ''' canviarem ''localhost'' per ''any'' de manera que qualsevol màquina pugui fer consultes DNS al servidor <source>allow-query { any; };</source>
		+
		+	Llavors haurem de declarar la zona DNS. Farem servir arxius separats per a la zona directa i la zona inversa. Afegirem el següent contingut al final de l'arxiu <code>/etc/named.conf</code>
		+	<source>
		+	zone "guillem.test" IN {
		+	type master;
		+	file "directa-guillem.test";
		+	allow-update { none; };
		+	};
		+	zone "3.17.10.in-addr.arpa" IN {
		+	type master;
		+	file "inversa-guillem.test";
		+	allow-update { none; };
		+	};
		+	</source>

	=====Atac=====		=====Atac=====

@@ Línia 23: / Línia 23: @@
 Una opció per a mitigar aquests atacs seria, '''en el cas de posseir un servidor DNS públic a Internet'''
 *Limitar l'ample de banda dedicat al servidor: de manera que no sigui "atractiu" pels atacants per a ser usat com a ''relay'' d'un atac destinat a una víctima. Les consultes i respostes DNS són paquets petits que no requereixen gaire ''bandwidth'', pel que es pot definir en un marge raonable perquè el DNS no respongui ràpid en cas d'atac destinat a una altra màquina.
-**A part de l'ample de banda, també podem mitigar o fer menys atractiu el nostre servidor si li configurem ''rate limits'' de peticions com per exemple, en el cas de BIND: <source> rate-limit {
+**A part de l'ample de banda, també podem mitigar o fer menys atractiu el nostre servidor si li configurem ''rate limits'' de peticions com per exemple, en el cas de BIND: <source> rate-limit {responses-per-second 3; window 15; };</source>
 :Amb aquests paràmetres farem que el servidor respongui, com a màxim, 3 peticions DNS per segon; de manera que ningú el pugui veure atractiu per a llançar un atac d'aquest tipus.
 :El <code>responses-per-second</code> és el màxim de consultes idèntiques que pot fer un client un segon. Els atacs de ''DNS amplification'' es basen en enviar respostes a consultes iguals per simplicitat i rapidesa; pel que aquest paràmetre pot ser interessant per evitar ser usats com a "base".