《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第5章 任務(wù)5.2 MAC泛洪攻擊與防御

第5章局域網(wǎng)安全技術(shù)編著：

秦?zé)鰟诖浣?/p>

任務(wù)5.2MAC泛洪攻擊與防御任務(wù)5.2MAC泛洪攻擊與防御

數(shù)據(jù)幀到達(dá)交換機(jī)時(shí)，交換機(jī)會(huì)根據(jù)數(shù)據(jù)幀的目的MAC地址，查找MAC地址表，找到對(duì)應(yīng)的出接口，進(jìn)行單播轉(zhuǎn)發(fā)。如果數(shù)據(jù)幀的目的MAC地址在MAC地址表中不存在，交換機(jī)會(huì)把這個(gè)數(shù)據(jù)幀從除入接口之外的所有接口廣播出去，收到這個(gè)數(shù)據(jù)幀的設(shè)備或主機(jī)如果發(fā)現(xiàn)數(shù)據(jù)不是發(fā)送給自己的，會(huì)將其丟棄，如果是發(fā)給自己的，就接收。剛開(kāi)機(jī)時(shí)，MAC地址表是空的。當(dāng)有數(shù)據(jù)到達(dá)交換機(jī)時(shí)，交換機(jī)會(huì)將獲取該數(shù)據(jù)的源MAC地址與入接口的對(duì)應(yīng)關(guān)系，并存入自己的MAC地址表中，以后一旦有數(shù)據(jù)去往這些MAC地址，就可以從MAC地址表中查到對(duì)應(yīng)的接口并轉(zhuǎn)發(fā)出去。

然而，MAC地址表的存儲(chǔ)空間是有限的，如果攻擊者將大量虛構(gòu)源MAC地址的數(shù)據(jù)發(fā)送到交換機(jī)，會(huì)導(dǎo)致交換機(jī)的MAC地址表爆滿，無(wú)法接收和存儲(chǔ)新的MAC地址與接口的對(duì)應(yīng)關(guān)系。之后再有數(shù)據(jù)需要交換機(jī)轉(zhuǎn)發(fā)時(shí)，交換機(jī)只能象集線器一樣，廣播出去了。如果是這樣，那么網(wǎng)絡(luò)上傳送的信息同時(shí)會(huì)廣播到攻擊者的主機(jī)上，攻擊者可通過(guò)抓包獲取和分析這些信息，同時(shí)還會(huì)造成網(wǎng)絡(luò)擁塞，網(wǎng)速變慢。5.2.1交換機(jī)的工作原理及MAC地址表5.2.2觀察MAC地址表一、通過(guò)在DHCP服務(wù)器上ping其它主機(jī)和網(wǎng)關(guān)，讓交換機(jī)學(xué)習(xí)到各主機(jī)以及網(wǎng)關(guān)的MAC地址。二、查看交換機(jī)的MAC地址表：Switch#showmacaddress-tableMacAddressTable-------------------------------------------VlanMacAddressTypePorts----------------------------10050.56c0.0001DYNAMICGi0/010050.56c0.0002DYNAMICGi0/110050.56c0.0003DYNAMICGi0/210050.56c0.0005DYNAMICGi1/011010.1010.1010DYNAMICGi0/012020.2020.2020DYNAMICGi0/113030.3030.3030DYNAMICGi0/216060.6060.6060DYNAMICGi1/018080.8080.8080DYNAMICGi0/3TotalMacAddressesforthiscriterion:9對(duì)照實(shí)驗(yàn)拓?fù)鋱D，可以看到各主機(jī)及網(wǎng)關(guān)的MAC地址與連接的交換機(jī)接口是一致的。三、查看MAC地址表的統(tǒng)計(jì)信息：Switch#showmacaddress-tablecountMacEntriesforVlan1:---------------------------DynamicAddressCount:9StaticAddressCount:0TotalMacAddresses:9TotalMacAddressSpaceAvailable:70013688可以看到，MAC地址表的總?cè)萘渴?0013688，已經(jīng)用去9條。5.2.3MAC地址泛洪攻擊一、如圖5-2-1所示，攻擊者在kalilinux上，打開(kāi)多個(gè)命令行窗口，各窗口同時(shí)運(yùn)行macof命令，發(fā)起攻擊，開(kāi)的窗口越多，攻擊的頻率越快，也就能更快的占滿交換機(jī)的MAC地址空間。命令如下：root@kali:~#macof圖5-2-1KaliLinux運(yùn)行macof命令經(jīng)過(guò)一段時(shí)間的攻擊后，查看交換機(jī)上的MAC地址表統(tǒng)計(jì)信息：Switch#showmacaddress-tablecountMacEntriesforVlan1:---------------------------DynamicAddressCount:45176StaticAddressCount:0TotalMacAddresses:45176TotalMacAddressSpaceAvailable:70013688可以看到，MAC地址表的總?cè)萘渴?0013688，已經(jīng)被占用了45176條。這臺(tái)交換機(jī)的MAC地址表總?cè)萘勘容^大，要占滿還需要一點(diǎn)時(shí)間，有些交換機(jī)的容量較小，只有8192條，很快就能占滿了。MAC表的空間一旦被占滿，攻擊者就可以抓包獲取FTP密碼、TELNET密碼等相關(guān)信息了。5.2.4防御MAC泛洪攻擊如何進(jìn)行MAC地址泛洪攻擊的防御呢？可以為接口配置port-security屬性，限制接口連接的MAC地址數(shù)量，限制同一MAC地址不能同時(shí)連接到兩個(gè)接口中。一旦出現(xiàn)違規(guī)，則按配置關(guān)閉接口或丟棄違規(guī)幀，從而杜絕MAC地址泛洪的出現(xiàn)。具體做法如下：一、為接口配置port-security。Switch#configterminalSwitch(config)#intg1/0Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-security//switchportport-security用于開(kāi)啟接口的port-security，阻止接口的泛洪攻擊。開(kāi)啟port-security后，接口連接的MAC地址數(shù)受到限制，默認(rèn)一個(gè)接口只能連接一個(gè)MAC地址，可以用命令修改成其它數(shù)值；另外，同一個(gè)MAC地址不能出現(xiàn)在不同的接口上，如果同一個(gè)MAC地址在第二個(gè)接口上出現(xiàn)，將視為違規(guī)。Switch(config-if)#switchportport-securityviolation?protectSecurityviolationprotectmoderestrictSecurityviolationrestrictmodeshutdownSecurityviolationshutdownmode//此處列舉了違規(guī)幀的三種處理方式。第一種是protect，表示將違規(guī)幀丟棄，不發(fā)告警；第二種是restrict，表示將違規(guī)幀丟棄的同時(shí)，發(fā)告警；第三種是shutdown，表示關(guān)閉出現(xiàn)違規(guī)幀的接口，將接口狀態(tài)變成errordisable，同時(shí)發(fā)告警。Switch(config-if)#switchportport-securityviolationshutdownSwitch(config-if)#switchportport-securitymaximum2//switchportport-securitymaximum2表示接口允許的MAC地址數(shù)量是2，超出將按違規(guī)處理。二、攻擊者在kaliLinux上運(yùn)行macof命令，發(fā)起攻擊。三、查看port-security狀態(tài)。1．查看接口的port-security狀態(tài)Switch#showport-securityinterfaceg1/0PortSecurity:EnabledPortStatus:Secure-shutdownViolationMode:ShutdownAgingTime:0minsAgingType:AbsoluteSecureStaticAddressAging:DisabledMaximumMACAddresses:2TotalMACAddresses:0ConfiguredMACAddresses:0StickyMACAddresses:0LastSourceAddress:Vlan:000c.29db.2497:1SecurityViolationCount:1可以看到，PortSecurity是Enable，表示已經(jīng)啟用PortSecurity；PortStatus狀態(tài)是Secure-shutdown，表示因違規(guī)，接口被關(guān)閉了；ViolationMode是Shutdown，表示遇到違規(guī)，采取的措施是關(guān)閉接口；MaximumMACAddresses為2，表示該接口能連接的MAC地址數(shù)量最大是2。2．查看port-security地址Switch#showport-securityaddressSecureMacAddressTable-----------------------------------------------------------------------------VlanMacAddressTypePortsRemainingAge(mins)-------------------------------------16060.6060.6060SecureDynamicGi1/0------------------------------------------------------------------------------TotalAddressesinSystem(excludingonemacperport):0MaxAddresseslimitinSystem(excludingonemacperport):4096可以看到，與目前G0/1接口連