Web programavimas, serveriai, kodai, pamokos

http://lt.wikipedia.org/wiki/OSI_modelis TCP/IP daugelyje lygių turi spragų: Kuo toliau nuo žemiausio lygio, tuo blogiau. Fizinis lygmuo: IEEE 802.3 ETHERNET Fizinio lygmens įrenginys- hub (šakotuvas).
Problema: visi mato viską. Hub-as veikia kaip stiprintuvas, jis neizoliuoja informacijos perdavimo tarp kompiuterių. Topologija atitinka bendrą magistralę, kur tik vienas kompiuteris siunčia, o visi klauso. Informaciją priima tik vienas kompiuteris, kuriam ji skirta. Kiti- atmeta.
Tačiau niekas nedraudžia kompiuteriui, kuriam informacija nepriklauso, įjungti atvirą "promiscous" režimą ir priimti svetimą informaciją. Taip gaunamas šnipinėjimas klausantis tik savęs. Toks informacijos matomumas gali būti naudingas "serveris- monitoringo kompiuteris" atveju. Tada net serverio "nulaužimo" atveju, kai pakeičiamos komandos, OS branduolys su tikslu nerodyti siunčiamos iš serverio informacijos, atidarytų portų,  turėsite objektyvią informaciją iš savo kompiuterio "šnipo". Kitaip sakant, seksite save, kad surasti netinkamus pokyčius, atsiradusius jūsų serveryje.

Keli kompiuteriai gali išskaičiuoti, kad jau galima siūsti, pradeda siūsti, gaunamas elektrinio signalo iškraipymas- kolizija. Taigi problema- kolizijos ir sąmoningas flood-inimas. Kas nors gali specialiai paleisti, kad ir ping flood-ą iš kelių kompiuterių, taip sukurdamas dirbtines kolizijas:

ping -f -s 65000 IPadresas
ping -f -s 65000 224.0.0.1 #bandymas iššaukti masinį echo reply
Sprendimas: nenaudoti hub-ų. Data link (kanalo ryšio) lygmuo Naudojant kanalo lygmens įrenginį Switching hub- pagėrėja duomenų apsauga. Switch-as vykdo sujungimus "kompiuteris-kompiuteris", tiksliau "kompiuterio plokštė-kita plokštė" pagal MAC adresus. Jis turi galimybę atsiminti MAC adresų- fizinių jungčių poras. Taigi HTTP tiesiogiai pasiklausyti nepavyks.
Dalis duomenų praeina pro switch įrenginį: masinės užklausos. ARP, windows UDP, todėl galima matyti ką iš dalies veikia kompiuteris. Galima spėti naudojimosi internetu aktyvumą, operacinę sistemą. Windows sistema mėgsta svaidytis masiniais x.x.x.255 IP adresais (10.0.1.255, 192.168.0.255 ir pan.)  ir FF:FF:FF:FF:FF:FF MAC adresais. DHCP užklausos siunčiamos 255.255.255.255 adresu.

ARP- Address resolution protocol, polygio protokolas skirtas surasti MAC pagal IP, nes kompiuteriai lokaliame tinkle komunikuoja naudojant MAC o ne IP. Kadrai priimami arba atmetami pagal MAC o ne pagal IP. ARP  gali tapti didele problema. Jeigu A nori bendrauti su B, jis pirmiausiai siunčia ARP užklausą masiniu FF:FF:FF:FF:FF:FF adresu. B kompiuteris priima užklausą, paima iš jos A kompiuterio MAC- IP irašą ir įsirašo į savo ARP kaupyklą-lentelę. Tada išsiunčia atsakymą jau konkrečiu A MAC adresu. Taigi į svetimą B kompiuterį galima prirašyti neteisingų MAC-IP porų nepriklausomai nuo svetimo B kompiuterio valios.
ARP teršimo pvz (ARP poisoning): while true

sleep 2
do
for i in 254 1 2 3 4 5 6 7 8 9 69
do
addr="192.168.0.$i"
ifconfig eth0 $addr
ifconfig eth0

ping -c 1-q 192.168.0.70

done
done
Ką rodo arp -a prieš ir po kodo vykdymo? Windows XP kompiuteryje:
C:\Documents and Settings\KOLEGIJA>arp -a

Interface: 10.0.1.59 --- 0x3
Internet Address      Physical Address      Type
10.0.1.1              00-06-4f-2f-ac-98     dynamic
10.0.1.2              00-06-4f-2f-ac-98     dynamic
10.0.1.3              00-06-4f-2f-ac-98     dynamic
10.0.1.4              00-06-4f-2f-ac-98     dynamic
10.0.1.5              00-06-4f-2f-ac-98     dynamic
10.0.1.6              00-06-4f-2f-ac-98     dynamic
10.0.1.7              00-06-4f-2f-ac-98     dynamic
10.0.1.8              00-06-4f-2f-ac-98     dynamic
10.0.1.254            00-06-4f-2f-ac-98     dynamic
Tai vadinama ARP poisoning- kompiuteris "blokuotas".
  Apsauga nuo arp atakų- aprašyti maršrutizatoriuje ir vartotojų kompiuteriuose arp įrašus. Net jeigu aprašoma iš vienos pusės, tai jau veikia kaip dalinė apsauga, bent jau negalės sniff-inti.

  Linux. arp lentelė:
arp -a
Linux. Trynimas vienam IP:
arp -d [IP]
Linux. Paimti arp iš /etc/ethers
arp -f
/etc/ethers pavidalas:

00:00:4b:3e:45:e2 10.0.1.2
00:00:56:3e:36:1f 10.0.1.1
00:11:95:d1:6f:60 10.0.1.254
Windows arp komandos:
arp -s 157.55.85.212   00-aa-00-62-c6-09
arp -d [IP]
arp -d
arp -a
Taip pat svarbu stebėti tinklą, ar nepadaugėjo  5 ar 100 kartų ARP užklausų, jeigu taip- turite problemų.
  ARP protokolas – kas tai?

• ARP protokolas susieja MAC adresus su IP adresais.
• RARP protokolas daro atvirkštinį veiksmą – MAC adresus susieja su IP adresais.

 

ARP standartas nustato du pagrindinius pranešimų tipus:

• Užklausą
• Atsakymą

Užklausos pranešimas turi IP adresą ir atitinkamo aparatinės dalies adreso (MAC) reikalavimą. Atsakymas turi IP adresą, pasiųstą su reikalavimu, ir aparatinės dalies adresą.

ARP užklausa
Tarkim kompiuteris A nori sužinoti maršrutizatoriaus MACadresą. A suformuoja ARP užklausą ir siunčia į visus to tinklo kompiuterius.  
ARP atsakymas

Į ARP užklausą atsako tik maršrutizatorius.

ARP pranešimo formatas
   


ARP pranešimo transportavimas

Kai kompiuteris siunčia ARP pranešimą, pranešimas keliauja aparatinės dalies freimo viduje. ARP pranešimas yra traktuojamas kaip transportuojami duomenys ir netikrinamas individualių laukų formatas. Techniškai pranešimo talpinimas freimo viduje siuntimui yra vadinamas paketavimu (encapsulation). ARP yra supakuotas tiesiogiai į aparatinės dalies freimą. Sekantis paveikslėlis iliustruoja šią koncepciją.

Freimo sandara



ARP optimizavimas

Užklausų siuntimas kiekvienam MAC ir IP adresų susiejimui yra labai neefektyvus. Tinklo duomenų srautui sumažinti ARP programinė įranga išskiria ir įsimena informaciją iš atsakymo, todėl ji gali būti panaudota sekantiems paketams. ARP sukuria mažą susiejimų lentelę atmintyje. Kai tik ARP vykdo adreso susiejimą, ji ieško atmintyje prieš naudodamasi tinklu. Jei susiejimas yra, ARP naudoja susiejimą be užklausos perdavimo.

ARP protokolo pažeidžiamumas

• Kadangi ARP nenustatinėja užklausų ir atsakymų autentiškumo, šie pranešimai gali būti klastojami.
• ARP yra nepriklausomas, t.y. be atitinkamos užklausos išsiuntimo gali būti gautas atsakymas.
• Kompiuteris parsisiunčiantis ARP paketą privalo atnaujinti susiejimų lentelę.

Tipinis pažeidžiamumo išnaudojimas:

• Suklastotos ARP užklausos ir atsakymai gali būti panaudoti susiejimų lentelės atnaujinimui klaidingais įrašais.
• Tai gali būti panaudota IP paketų nukreipimui į kitus hostus.

ARP išpuolių grėsmės

Išorinės „hakerių“ atakos, virusai, kirminai ir trojos arkliai yra nuolatinė grėsmė bet kokiai progresuojančiai įmonei.  Diždiąją  dalį atakų įvyksta tinklo viduje.
Vidaus tinklo atakos paprastai yra valdomos per vadinamąjį ARP Sproof abr ARP Poisoning. Kenkėjiška programinę įrangą gali atsisiųsti kiekvienas per internetą. Naudojant netikrus ARP pranešimus, užpuolikas gali nukreipti visas komunikacijas tarp dviejų kompiuterių, to pasekoje visa informacija nukopijuojama, pakeičiama kenkėjo kompiuteryje. Taikant ataką man-in-the-middle užpuolikas gali:

• Paleisti Denial of Service (DoS) ataką
• Periimti duomenis
• Sužinoti Jūsų slaptažodžius
• Manipuliuoti duomenimis
• Perimti/naudoti VoIP telefonų skambučius

ARP atakų simptomai:

• Konfidenciali įmonės informacija nutekėjo, ir niekas nežino, kaip tai galėjo atsitikti.
• Jūsų darbuotojai raportuoja apie įsilaužimą į jų internetinę bankininkystę ar elektroninį paštą.
• Nepaaiškinamas incidentas pakenkė paraiškų duomenims, kurios gali būti prieinamos tik per apsaugota sinternto  sąsajas.
• Neįprastos įvykių APR lentelės tinkle.

ARP išpuolių apsisaugojimas

ARP Guard sistema, kuri yra aktyvi apsauga, apsauga nuo vidaus ARP išpuolių. ARP apsaugos išankstinio perspėjimo sistema nuolat analizuoja visus ARP pranešimus, siunčia atitinkamus perspėjimus realaus laiko ir identifikuoja atakos šaltinį. Ši apsaugos sistema nuo APR spoofing atakų gali būti sukonfiguruota net tik iššaukti aliarmą, jeigu ARP ataka buvo jaučiama, bet netgi ir tada nepavyko apsiginti nuo atakuotojo. ARP Guard langvai integruojasi Jūsų esamoje IT apsaugos aplinkoje, kaip ugniagesė (firewall), virusų skaneriai ar įsibrovimo aptikimo sistemas ir formas, aktyvus ir patikimas skydas nuo ARP spoofing.

Išvados:
Norint apsiginti, nuo ARP atakų, reikia puikiai išmanyti kaip turi veikti tinklas. Kokie galimi trugdžiai tinkle. Kaip atsikirti virusa, kirminą ar trojos arklį nuo kito sutrikimo, galima, tik žinant kokie simptomai atsiranda tinkle. Taigi, norint išvengti paprastų, bet kartu ir sudėtingų atakų, reiktų turėti bent jau antivirusinę ar internet skanerį, kuris filtruoja atakas, kirminus ir pan. Neturint jokios antivirusinės ar interneto skanerio apsaugančio nuo įsilaužimų, reiktų pastoviai tikrinti tinkle veikima ir trugdžius.