《計算機網(wǎng)絡(luò)安全防護技術(shù)（第二版）》 課件 第5章 任務(wù)5.2 MAC泛洪攻擊與防御

第5章局域網(wǎng)安全技術(shù)編著：

秦燊勞翠金

任務(wù)5.2MAC泛洪攻擊與防御任務(wù)5.2MAC泛洪攻擊與防御

數(shù)據(jù)幀到達交換機時，交換機會根據(jù)數(shù)據(jù)幀的目的MAC地址，查找MAC地址表，找到對應(yīng)的出接口，進行單播轉(zhuǎn)發(fā)。如果數(shù)據(jù)幀的目的MAC地址在MAC地址表中不存在，交換機會把這個數(shù)據(jù)幀從除入接口之外的所有接口廣播出去，收到這個數(shù)據(jù)幀的設(shè)備或主機如果發(fā)現(xiàn)數(shù)據(jù)不是發(fā)送給自己的，會將其丟棄，如果是發(fā)給自己的，就接收。剛開機時，MAC地址表是空的。當有數(shù)據(jù)到達交換機時，交換機會將獲取該數(shù)據(jù)的源MAC地址與入接口的對應(yīng)關(guān)系，并存入自己的MAC地址表中，以后一旦有數(shù)據(jù)去往這些MAC地址，就可以從MAC地址表中查到對應(yīng)的接口并轉(zhuǎn)發(fā)出去。

然而，MAC地址表的存儲空間是有限的，如果攻擊者將大量虛構(gòu)源MAC地址的數(shù)據(jù)發(fā)送到交換機，會導致交換機的MAC地址表爆滿，無法接收和存儲新的MAC地址與接口的對應(yīng)關(guān)系。之后再有數(shù)據(jù)需要交換機轉(zhuǎn)發(fā)時，交換機只能象集線器一樣，廣播出去了。如果是這樣，那么網(wǎng)絡(luò)上傳送的信息同時會廣播到攻擊者的主機上，攻擊者可通過抓包獲取和分析這些信息，同時還會造成網(wǎng)絡(luò)擁塞，網(wǎng)速變慢。5.2.1交換機的工作原理及MAC地址表5.2.2觀察MAC地址表一、通過在DHCP服務(wù)器上ping其它主機和網(wǎng)關(guān)，讓交換機學習到各主機以及網(wǎng)關(guān)的MAC地址。二、查看交換機的MAC地址表：Switch#showmacaddress-tableMacAddressTable-------------------------------------------VlanMacAddressTypePorts----------------------------10050.56c0.0001DYNAMICGi0/010050.56c0.0002DYNAMICGi0/110050.56c0.0003DYNAMICGi0/210050.56c0.0005DYNAMICGi1/011010.1010.1010DYNAMICGi0/012020.2020.2020DYNAMICGi0/113030.3030.3030DYNAMICGi0/216060.6060.6060DYNAMICGi1/018080.8080.8080DYNAMICGi0/3TotalMacAddressesforthiscriterion:9對照實驗拓撲圖，可以看到各主機及網(wǎng)關(guān)的MAC地址與連接的交換機接口是一致的。三、查看MAC地址表的統(tǒng)計信息：Switch#showmacaddress-tablecountMacEntriesforVlan1:---------------------------DynamicAddressCount:9StaticAddressCount:0TotalMacAddresses:9TotalMacAddressSpaceAvailable:70013688可以看到，MAC地址表的總?cè)萘渴?0013688，已經(jīng)用去9條。5.2.3MAC地址泛洪攻擊一、如圖5-2-1所示，攻擊者在kalilinux上，打開多個命令行窗口，各窗口同時運行macof命令，發(fā)起攻擊，開的窗口越多，攻擊的頻率越快，也就能更快的占滿交換機的MAC地址空間。命令如下：root@kali:~#macof圖5-2-1KaliLinux運行macof命令經(jīng)過一段時間的攻擊后，查看交換機上的MAC地址表統(tǒng)計信息：Switch#showmacaddress-tablecountMacEntriesforVlan1:---------------------------DynamicAddressCount:45176StaticAddressCount:0TotalMacAddresses:45176TotalMacAddressSpaceAvailable:70013688可以看到，MAC地址表的總?cè)萘渴?0013688，已經(jīng)被占用了45176條。這臺交換機的MAC地址表總?cè)萘勘容^大，要占滿還需要一點時間，有些交換機的容量較小，只有8192條，很快就能占滿了。MAC表的空間一旦被占滿，攻擊者就可以抓包獲取FTP密碼、TELNET密碼等相關(guān)信息了。5.2.4防御MAC泛洪攻擊如何進行MAC地址泛洪攻擊的防御呢？可以為接口配置port-security屬性，限制接口連接的MAC地址數(shù)量，限制同一MAC地址不能同時連接到兩個接口中。一旦出現(xiàn)違規(guī)，則按配置關(guān)閉接口或丟棄違規(guī)幀，從而杜絕MAC地址泛洪的出現(xiàn)。具體做法如下：一、為接口配置port-security。Switch#configterminalSwitch(config)#intg1/0Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-security//switchportport-security用于開啟接口的port-security，阻止接口的泛洪攻擊。開啟port-security后，接口連接的MAC地址數(shù)受到限制，默認一個接口只能連接一個MAC地址，可以用命令修改成其它數(shù)值；另外，同一個MAC地址不能出現(xiàn)在不同的接口上，如果同一個MAC地址在第二個接口上出現(xiàn)，將視為違規(guī)。Switch(config-if)#switchportport-securityviolation?protectSecurityviolationprotectmoderestrictSecurityviolationrestrictmodeshutdownSecurityviolationshutdownmode//此處列舉了違規(guī)幀的三種處理方式。第一種是protect，表示將違規(guī)幀丟棄，不發(fā)告警；第二種是restrict，表示將違規(guī)幀丟棄的同時，發(fā)告警；第三種是shutdown，表示關(guān)閉出現(xiàn)違規(guī)幀的接口，將接口狀態(tài)變成errordisable，同時發(fā)告警。Switch(config-if)#switchportport-securityviolationshutdownSwitch(config-if)#switchportport-securitymaximum2//switchportport-securitymaximum2表示接口允許的MAC地址數(shù)量是2，超出將按違規(guī)處理。二、攻擊者在kaliLinux上運行macof命令，發(fā)起攻擊。三、查看port-security狀態(tài)。1．查看接口的port-security狀態(tài)Switch#showport-securityinterfaceg1/0PortSecurity:EnabledPortStatus:Secure-shutdownViolationMode:ShutdownAgingTime:0minsAgingType:AbsoluteSecureStaticAddressAging:DisabledMaximumMACAddresses:2TotalMACAddresses:0ConfiguredMACAddresses:0StickyMACAddresses:0LastSourceAddress:Vlan:000c.29db.2497:1SecurityViolationCount:1可以看到，PortSecurity是Enable，表示已經(jīng)啟用PortSecurity；PortStatus狀態(tài)是Secure-shutdown，表示因違規(guī)，接口被關(guān)閉了；ViolationMode是Shutdown，表示遇到違規(guī)，采取的措施是關(guān)閉接口；MaximumMACAddresses為2，表示該接口能連接的MAC地址數(shù)量最大是2。2．查看port-security地址Switch#showport-securityaddressSecureMacAddressTable-----------------------------------------------------------------------------VlanMacAddressTypePortsRemainingAge(mins)-------------------------------------16060.6060.6060SecureDynamicGi1/0------------------------------------------------------------------------------TotalAddressesinSystem(excludingonemacperport):0MaxAddresseslimitinSystem(excludingonemacperport):4096可以看到，與目前G0/1接口連