HOD402 - Phần 5: Lỗ hổng mạng có dây và không dây

Đáp án đúng: "The DNS resolver cache is manipulated.". DNS poisoning (đầu độc DNS, còn gọi DNS cache poisoning) là việc chèn bản ghi giả vào bộ nhớ đệm của resolver hoặc máy chủ DNS, khiến người dùng hỏi một tên miền hợp lệ lại nhận về địa chỉ IP do kẻ tấn công kiểm soát cho tới khi bản ghi hết hạn TTL; DNSSEC và cổng nguồn ngẫu nhiên là các biện pháp giảm thiểu. "The DNS server forward lookup zone is cleared." sai vì xoá vùng tra thuận là phá huỷ dữ liệu cấu hình, gây mất phân giải chứ không chuyển hướng nạn nhân. "The DNS server reverse lookup zone is cleared." sai vì vùng tra ngược chỉ ánh xạ IP về tên, xoá nó cũng là phá hoại dịch vụ chứ không phải đầu độc. "The DNS server IP address is changed." sai vì đổi IP của chính máy chủ DNS chỉ làm máy khách mất kết nối; còn đổi cấu hình DNS trên máy nạn nhân là DNS hijacking, một kỹ thuật khác.

Đáp án đúng: "Name registration and resolution". NetBIOS-NS chạy trên cổng UDP 137, có nhiệm vụ đăng ký tên NetBIOS của máy trong mạng cục bộ và phân giải tên đó thành địa chỉ IP, tương tự vai trò của DNS nhưng cho mạng Windows cũ. Vì trả lời truy vấn quảng bá mà không xác thực, nó dễ bị đầu độc phản hồi nên thường được khuyến nghị tắt khi không dùng. "Encrypt data before transmission" sai vì NetBIOS không cung cấp mã hóa; bảo mật kênh truyền là việc của các giao thức như TLS hay IPsec. "Authenticate users across domains" là chức năng của các giao thức xác thực như Kerberos hay NTLM trong Active Directory. "Monitor DNS spoofing attacks" là việc của hệ thống phát hiện xâm nhập hoặc công cụ giám sát mạng, còn NetBIOS-NS chính là dịch vụ có thể bị giả mạo.

Đáp án đúng: "An attack that can be performed using Bluetooth with vulnerable devices in range. This attack actually steals information from the device of the victim.". Bluesnarfing là tấn công qua Bluetooth vào thiết bị có lỗ hổng trong tầm phủ sóng nhằm truy cập trái phép và lấy cắp dữ liệu như danh bạ, tin nhắn, lịch; phòng thủ bằng cách cập nhật firmware, tắt Bluetooth hoặc chế độ cho phép phát hiện khi không dùng. Mô tả "impersonating a wireless AP or a captive portal to convince a user" là kiểu evil twin hoặc cổng đăng nhập giả trên Wi-Fi, dựa vào kỹ nghệ xã hội để thu thông tin đăng nhập, không liên quan Bluetooth. Mô tả "commonly performed as spam over Bluetooth connections using the OBEX protocol" là bluejacking: gửi tin nhắn không mong muốn qua giao thức OBEX, gây phiền nhưng không lấy dữ liệu. Mô tả "modifying BLE messages between systems" là tấn công xen giữa trên Bluetooth Low Energy, sửa thông điệp để hai bên tưởng đang nói chuyện với thiết bị hợp lệ, khác với việc đánh cắp dữ liệu trực tiếp.

Đáp án đúng: "Airmon-ng". Disassociation attack (tấn công huỷ liên kết) gửi khung quản lý 802.11 giả mạo để buộc máy khách rời điểm truy cập, thường nhằm bắt lại quá trình bắt tay hoặc dụ nạn nhân sang điểm truy cập giả. Airmon-ng thuộc bộ Aircrack-ng, dùng để chuyển card mạng không dây sang chế độ monitor (giám sát), điều kiện bắt buộc để nghe và chèn khung quản lý; tiện ích cùng bộ là aireplay-ng mới trực tiếp phát khung huỷ liên kết, nên trong các lựa chọn chỉ công cụ thuộc Aircrack-ng là phù hợp. "nmap" là trình quét cổng và dịch vụ trên mạng IP, không làm việc với khung 802.11. "POODLE" không phải công cụ mà là tên một lỗ hổng hạ cấp kết nối xuống SSL 3.0. "EMPIRE" là khung hậu khai thác dựa trên PowerShell và Python, dùng sau khi đã chiếm máy chứ không tấn công lớp không dây. Biện pháp phòng thủ trước kiểu tấn công này là bật 802.11w để bảo vệ khung quản lý.

Đáp án đúng gồm bốn ý: "hash value", "SID", "FQDN" và "target service". Silver ticket (vé bạc) là vé dịch vụ Kerberos bị giả mạo: kẻ tấn công không cần liên lạc với KDC mà tự ký vé bằng giá trị băm mật khẩu của tài khoản chạy dịch vụ, kèm SID của miền, tên miền đầy đủ FQDN và dịch vụ đích như CIFS hay HTTP. Phòng thủ gồm đặt mật khẩu dài, đổi định kỳ cho tài khoản dịch vụ và bật kiểm tra chữ ký PAC. "system account" sai vì vé được ký bằng giá trị băm của tài khoản dịch vụ, không cần một tài khoản hệ thống riêng làm thông tin đầu vào. "DNS forward lookup zone" sai vì vùng tra cứu thuận chỉ ánh xạ tên sang IP, không tham gia tạo vé. "DNS resolver cache" sai vì bộ đệm phân giải DNS chỉ lưu tạm kết quả tra cứu. "DNS reverse lookup zone" sai vì vùng tra cứu ngược ánh xạ IP sang tên, cũng không phải thành phần của vé Kerberos.

Đáp án đúng: "It helps defend against deauthentication attacks.". Chuẩn 802.11w bổ sung MFP (Management Frame Protection, bảo vệ khung quản lý): các khung quản lý như deauthentication và disassociation được gắn mã kiểm tra toàn vẹn bằng khoá đã thoả thuận, nên máy khách bỏ qua khung huỷ xác thực giả mạo do kẻ tấn công phát ra; nhờ vậy nó giúp chống tấn công deauthentication. "It uses a PNL to maintain a list of trusted or preferred wireless networks." mô tả PNL (Preferred Network List, danh sách mạng ưu tiên) mà máy khách tự lưu, vốn còn bị lợi dụng trong tấn công KARMA, không liên quan MFP. "It uses a captive portal for all wireless associations." nói về cổng đăng nhập web của Wi-Fi công cộng, một cơ chế xác thực người dùng ở tầng ứng dụng. "It inserts the 802.1q tag to protect the wireless frame." nhầm sang 802.1Q, chuẩn gắn thẻ VLAN cho khung Ethernet, không có vai trò bảo vệ khung không dây.

Đáp án đúng: "Certain operating systems and adapters do not collect the management or control packets.". Trong mạng 802.11, khung quản lý (beacon, probe, authentication, association) và khung điều khiển (RTS, CTS, ACK) chỉ bắt được khi card không dây ở chế độ monitor và trình điều khiển cùng hệ điều hành chịu chuyển chúng lên phần mềm như Wireshark; nhiều tổ hợp hệ điều hành và adapter không hỗ trợ việc này nên bản bắt gói chỉ có khung dữ liệu, đó là nguyên nhân khả dĩ nhất. "The wireless card was not turned on." sai vì nếu card tắt thì không bắt được gói nào, trong khi bản trace vẫn có lưu lượng. "The wrong network card drivers were in use by Wireshark." sai vì Wireshark không dùng trình điều khiển riêng mà bắt gói qua libpcap hoặc Npcap trên driver của hệ điều hành, nên vấn đề nằm ở khả năng của hệ điều hành và adapter. "On Linux and Mac OS X, only 802.11 headers are received in promiscuous mode." sai vì ở chế độ promiscuous trên các hệ này, khung không dây thường được chuyển thành tiêu đề Ethernet giả chứ không giữ tiêu đề 802.11; muốn thấy tiêu đề 802.11 và khung quản lý phải bật chế độ monitor.

Đáp án đúng: "WPS". WPS (Wi-Fi Protected Setup) cho phép kết nối bằng mã PIN 8 chữ số, nhưng PIN được kiểm tra theo hai nửa riêng và chữ số cuối là số kiểm tra, nên không gian cần thử chỉ còn khoảng mười một nghìn tổ hợp, đủ nhỏ để dò vét cạn (brute-force) trong vài giờ bằng công cụ như Reaver; cách phòng là tắt WPS trên điểm truy cập. "WPA2-EAP" dùng xác thực doanh nghiệp 802.1X qua máy chủ RADIUS với thông tin riêng cho từng người dùng, không có PIN hay khóa chung ngắn để dò. "WPA3" dùng cơ chế bắt tay SAE (Simultaneous Authentication of Equals) chống dò mật khẩu ngoại tuyến, được thiết kế chính là để khắc phục điểm yếu này. "WPA2-TKIP" dùng TKIP đã lỗi thời và có điểm yếu, và mật khẩu chung yếu vẫn có thể bị dò từ điển ngoại tuyến sau khi bắt gói bắt tay, nhưng không dễ bị vét cạn như mã PIN của WPS.

Đáp án đúng: "It uses forged service tickets for a given service on a particular server.". Silver ticket là vé dịch vụ Kerberos (TGS) bị làm giả bằng hash mật khẩu của tài khoản dịch vụ hoặc tài khoản máy; vì vé chỉ cần được dịch vụ đích giải mã nên kẻ tấn công vào được đúng dịch vụ đó trên đúng máy chủ đó mà không cần liên lạc với KDC, khác với golden ticket là TGT giả bằng hash của krbtgt cho cả miền. Kiểm tra chữ ký PAC và đổi mật khẩu tài khoản dịch vụ định kỳ giúp phòng chống. "It mimics the authentication hash on a particular server." sai vì dùng thẳng hash để xác thực là pass-the-hash, kỹ thuật gắn với NTLM. "It acts as the LDAP directory for authentication on a target server." sai vì silver ticket không giả làm thư mục LDAP; đóng vai máy chủ xác thực giả là kiểu tấn công khác. "It converts the hashed value to the unencrypted value for an authentication attack on a particular server." sai vì biến hash thành mật khẩu rõ là bẻ khoá mật khẩu (password cracking), như kerberoasting làm với vé dịch vụ, còn silver ticket dùng trực tiếp hash để ký vé giả.

Đáp án đúng: "1 - a, 2 - e, 3 - c, 4 - d, 5 - b, 6 - f". Trong phiên SMTP, MAIL (cụ thể là MAIL FROM) khai báo địa chỉ người gửi; RSET huỷ giao dịch thư đang dở; EHELO mở hội thoại với máy chủ hỗ trợ SMTP mở rộng (ESMTP) và nhận danh sách tính năng; DATA bắt đầu truyền nội dung thư; STARTTLS nâng kết nối lên Transport Layer Security; HELO mở hội thoại SMTP cơ bản. "1 - a, 2 - b, 3 - c, 4 - d, 5 - e, 6 - f" ghép theo thứ tự xuất hiện nên gán cho RSET việc khởi tạo TLS và cho STARTTLS việc huỷ giao dịch. "1 - b, 2 - c, 3 - d, 4 - a, 5 - e, 6 - f" cho MAIL khởi tạo TLS và DATA khai báo người gửi, sai chức năng của cả hai. "1 - c, 2 - a, 3 - b, 4 - d, 5 - e, 6 - f" cho MAIL mở hội thoại ESMTP và RSET khai báo người gửi, cũng sai.

Đáp án đúng: "On-path". IP spoofing (giả mạo địa chỉ IP) là việc làm giả địa chỉ nguồn trong gói tin để đóng vai một máy khác; theo cách phân loại thường dùng trong kiểm thử xâm nhập, nó được xếp vào nhóm tấn công on-path (người đứng giữa, trước gọi là MITM) cùng với ARP spoofing hay DNS spoofing, vì kẻ tấn công mạo danh một bên để chen vào hoặc chiếm luồng liên lạc giữa hai bên. "Evil-Twin" là điểm truy cập Wi-Fi giả mang cùng tên với mạng thật, giả mạo ở mức mạng không dây chứ không phải địa chỉ IP. "Pass-the-Hash" dùng hash mật khẩu đánh cắp để xác thực mà không cần mật khẩu gốc, không liên quan địa chỉ nguồn. "DDoS" là tấn công từ chối dịch vụ phân tán; nó có thể dùng IP giả để khuếch đại hay che nguồn, nhưng đó là một công dụng của giả mạo trong DDoS chứ bản thân IP spoofing không phải một kiểu DDoS.

Đáp án đúng: "the MAC of the attacker". ARP spoofing (giả mạo ARP) gửi các bản tin ARP reply giả để máy nạn nhân ghi vào bộ đệm ARP rằng địa chỉ IP của cổng mặc định ứng với MAC của máy kẻ tấn công; khi đó gói tin đi ra ngoài mạng được gửi tới kẻ tấn công trước, đặt hắn vào vị trí on-path (trung gian) để xem hay sửa lưu lượng rồi chuyển tiếp. Dynamic ARP Inspection trên switch giúp chặn kiểu này. "the MAC of the target server" sai vì ánh xạ IP cổng mặc định sang MAC máy chủ đích không đưa lưu lượng đi qua kẻ tấn công. "the broadcast MAC" sai vì MAC quảng bá làm khung bị phát tràn tới mọi máy, gây rối chứ không tạo vị trí trung gian có kiểm soát. "that MAC of the target computer" sai vì trỏ cổng mặc định về chính MAC của máy nạn nhân làm gói tin quay lại chính nó, chỉ gây mất kết nối.

Đáp án đúng: "NetBIOS-SSN". NetBIOS Session Service chạy trên cổng TCP 139, thiết lập phiên hướng kết nối (connection-oriented) giữa hai máy để truyền dữ liệu tin cậy, chẳng hạn chia sẻ tệp và máy in qua SMB trên NetBIOS; vì vậy cổng này hay được kiểm tra khi liệt kê dịch vụ Windows. "NetBIOS-NS" là dịch vụ tên trên cổng UDP 137, chỉ đăng ký và phân giải tên NetBIOS. "NetBIOS-DGM" là dịch vụ datagram trên cổng UDP 138, truyền không kết nối và dùng cho thông điệp quảng bá, không thiết lập phiên. "LLMNR" (Link-Local Multicast Name Resolution) là giao thức phân giải tên trong mạng cục bộ bằng multicast khi DNS thất bại, không thuộc bộ dịch vụ NetBIOS và cũng không phục vụ truyền dữ liệu hướng kết nối.