Supongo que a estas alturas ya sabes que si tienes que hacer una auditoría de seguridad en una empresa necesitas revisar la seguridad de IPv6 y plantear los esquemas de ataque tanto en redes de datos IPv4 como IPv6, ya que quizá por ahí sea mucho más fácil encontrar desprotegida a la organización. Por supuesto puedes utilizar Evil FOCA para hacer los ataques SLAAC, Neighbor Advertisement Spoofing y Bridging HTTPs (IPv4) - HTTP (IPv6).
 |
| Figura 1: Módulo de Ataque SLAAC en Evil FOCA |
Cada vez hay más formas de sacar provecho de IPv6 en una auditoría, y el número de herramientas que aparecen es cada vez mayor, y a veces de forma sorprendente. Quizá el primer gran titular con IPv6 fuera el caso del CISCO-Gate y el vídeo de la censura de documentación en BlackHat, pero el número de noticias relativo a este tema han ido creciendo.
Por ejemplo, el año pasado el proyecto sudo sufrió el bug CVE-2012-2337 que permitía elevar privilegios a root por culpa de un bug en la implementación IPv6 del programa. En el mes de marzo de este año Kaspersky Internet Security 2013 sufría un bug de D.O.S. por culpa de la implementación del tratamiento de IPv6 que permitía a un atacante acabar con el servicio con un simple mensaje de red.
 |
| Figura 2: En sudo faltaba el break después de evaluar si era una dirección IPv4 y evaluaba el código de IPv6 |
Ahora, además, se empiezan a migrar las herramientas de explotación para dar soporte a IPv6, y así tenemos Slowloris para Apache, que ha sido migrado a IPv6 gracias a Hugo González. Este ataque estaba disponible dentro de Topera 2 unos días antes, la herramienta que realiza escaneo de puertos sobre IPv6 y ahora el ataque Slowris sin ser detectada por Snort.
 |
| Figura 3: Topera 2 realiza escaneo de puertos y Slowris |
Al final, aún queda mucho trabajo que hacer sobre IPv6, y hay que conocer al dedillo e funcionamiento de este protocolo. Tenéis el libro de Ataques en Redes de datos IPv4 e IPv6, yo os hice unos artículos de introducción en IPv6 Conceptos Básicos, y puedes leer los documentos de Alejandro Corletti sobre este tema [IPv6 Componentes, IPv6 Direcciones] para ir profundizando más aún.
Saludos Malignos!
Muy bueno Chema, cada día te leo desde el curro :D para hacer más leve el momento y para informarme un poco más.
ResponderEliminarSaludos :D
Hola Chema,
ResponderEliminarSoy Rafa Sánchez, creador junto a Daniel García de la herramienta TOPERA.
Queríamos puntualizar la información que publicas sobre TOPERA ya que no es del todo correcta.
Por un lado, cuando nosotros presentamos TOPERA v0.2 todavía no se había publicado la versión de Slowloris con soporte IPv6.
De hecho, en el siguiente tweet del 5 de Mayo (https://twitter.com/RSnake/status/330009895631998977) se puede observar cómo se habla de que ese mismo día se publicó la actualización de Slowloris a IPv6 y el propio Hugo González hace un retweet.
Nosotros presentamos TOPERA v0.2 en el Foro de Seguridad de RedIRIS el 25 de Abril http://www.rediris.es/difusion/eventos/foros-seguridad/fs2013/agenda.html
Por lo tanto, TOPERA no incluye ninguna herramienta ya existente anteriormente ya que lo desarrollamos nosotros desde cero.
No buscamos el reconocimiento de ser los primeros en crear una herramienta para hacer ataques del tipo Slow HTTP en IPv6, eso nos da igual, pero sí nos gustaría que nombraras una de sus características más importantes de TOPERA, es decir, que los ataques que incluye NO son detectados por SNORT.
De hecho, es el eje sobre el que gira el concepto de TOPERA.
En cualquier caso muchas gracias por la mención.
Al fin y al cabo, de lo que se trata es de que la información que se publique sea lo más veraz posible y no lleve a error, y eso solo se consigue si entre todos colaboramos adecuadamente.
Saludos!!!
@Rafa Sánchez, ya he tocado el post. Creo que queda claro con el post y tu comentario que son implementaciones distintas del mismo ataque. }:))
ResponderEliminarAhora solo falta que lo metamos en la Evil FOCA }:P
Saludos!
Gracias Chema!!!
ResponderEliminarRealmente eficiente en tus respuestas, como siempre.
Gracias de nuevo por la mención.
Y si crees que podemos colaborar de alguna forma con Evil FOCA, todo es mirarlo... :)
Saludos.
Lo primero que tienes que hacer es comprobar la seguridad del terminal del jefe de sección (que suele dejarlo todo en manos del administrador) después, le hechas morro y le cuentas con jerga técnica donde tiene el informe de despido de plantilla del mes que viene. O te hecha o te invita a la comunión de los peques jajaja
ResponderEliminar