Tìm hiểu về phương pháp tấn công sniffing và cách phòng chống + demo cụ thể

MỤC LỤC
LỜI MỞ ĐẦU...........................................................................................3
DANH MỤC HÌNH VẼ...........................................................................4
CHƯƠNG 1: GIỚI THIỆU.....................................................................6
1.1.

Tổng quan về an ninh mạng và các nguy cơ gây mất an ninh
6

1.2.

Các kiểu tấn công mạng phổ biến.............................................9

1.3.

Mục tiêu của báo cáo.................................................................11

mạng

CHƯƠNG 2: PHƯƠNG PHÁP TẤN CÔNG SNIFFING VÀ CÁCH
PHÒNG CHỐNG..............................................................................................12
2.1.

Giới thiệu...................................................................................12

2.1.1. Khái niệm sniffing.................................................................12
2.1.2. Cơ chế hoạt động của sniffing............................................12
2.1.3. Phân loại sniffing..................................................................13
2.1.4. Các hình thức tấn cơng........................................................14
2.2.

Lắng nghe thông tin qua Hub....................................................14

2.2.1. Phương pháp tấn công.........................................................14
2.2.2. Các biện pháp phịng chống.................................................16
2.3.

Tấn cơng MAC..........................................................................16

2.3.1. Khái niệm địa chỉ MAC........................................................16
2.3.2. Phương pháp tấn cơng.........................................................16
2.3.3. Các biện pháp phịng chống.................................................18
2.4.

Tấn cơng DHCP........................................................................18

2.4.1. Khái niệm DHCP và q trình cấp phát IP động................18
2.4.2. DHCP Client giả...................................................................19
2.4.3. DHCP Server giả..................................................................20
2.4.4. Các biện pháp phòng chống.................................................21


2.5.

Chặn bắt thông tin dùng ARP – Poisoning................................22

2.5.1. Khái niệm và nguyên tắc làm việc của ARP trong mạng
LAN
22
2.5.2. Cách thức hoạt động của ARP poisoning............................23
2.5.3. Các biện pháp phòng chống.................................................25

2.6.

Chặn bắt thông tin dùng DNS – Spoofing................................26

2.6.1. Giao thức DNS......................................................................26
2.6.2. Phương pháp tấn công DNS – Spoofing..............................26
2.6.3. Các biện pháp phòng chống DNS Spoofing.........................28
2.7.

VLAN Hopping..........................................................................28

2.7.1. Các giao thức hoạt động trong môi trường VLAN..............28
2.7.2. VLAN Hopping......................................................................31
2.7.3. Các biện pháp phịng chống.................................................32
CHƯƠNG 3: DEMO MỘT SỐ PHƯƠNG PHÁP TẤN CƠNG
SNIFFING..........................................................................................................33
3.1.

Mơ hình minh họa......................................................................33

3.2.

Demo tấn cơng sniffing dùng ARP – Poisoning........................34

3.2.1. Cơng cụ thực hiện demo......................................................34
3.2.2. Q trình thực hiện tấn công...............................................34
3.3.

Demo tấn công sniffing dùng DNS – Spoofing.........................43

TÀI LIỆU THAM KHẢO......................................................................51


LỜI MỞ ĐẦU
Theo thống kê và tính tốn của Cục An tồn thơng tin và Trung tâm Ứng
cứu khẩn cấp máy tính Việt Nam (VNCERT) - Bộ TT&TT, năm 2016, Việt
Nam phát hiện 135.190 cuộc tấn công mạng, tăng gấp hơn 3 lần so với năm
2015, trong đó có 10.276 cuộc tấn công lừa đảo (Phishing), 47.135 cuộc tấn
công cài phần mềm độc hại (Malware) và 77.779 cuộc tấn công thay đổi giao
diện (Deface). Trong đó, có 201 cuộc tấn cơng thay đổi giao diện vào các hệ
thống có tên miền “.gov.vn”.
Riêng trong nửa đầu năm 2017, Trung tâm VNCERT ghi nhận 6.303 cuộc
tấn công mạng vào các hệ thống thông tin của Việt Nam, bao gồm 1.522 cu ộc
tấn công lừa đảo, 3.792 cuộc tấn công cài đặt phần mềm độc hại và 989 cuộc
tấn công thay đổi giao diện. Tổng số cuộc tấn công mạng vào các hệ thống
thông tin sử dụng tên miền “.gov.vn” trong 6 tháng đầu năm 2017 là 25 cuộc.
Các cuộc tấn công ngày nay ngày càng diễn biến phức tạp, với số lượng
các cuộc tấn công mạng vào những cơ quan, tổ chức, doanh nghiệp có chiều
hướng tăng so với các năm trước đây, nhất là các cuộc tấn công mạng vào hệ
thống thông tin của cơ quan nhà nước và các doanh nghiệp lớn.
Bài báo cáo sẽ giới thiệu tổng quát về phương pháp Hacker sử dụng để
tấn cơng mạng, nói cụ thể về phương pháp tấn cơng sniffing và cách phịng
chống. Nội dung bài báo cáo gồm 03 chương:
CHƯƠNG 1: GIỚI THIỆU
CHƯƠNG 2: PHƯƠNG PHÁP TẤN CƠNG SNIFFING VÀ CÁCH
PHỊNG CHỐNG
CHƯƠNG 3: DEMO PHƯƠNG PHÁP TẤN CÔNG SNIFFING

3

DANH MỤC HÌNH VẼ
Hình 2.1: Cơ chế hoạt động của sniffing
Hình 2.2.1: Lắng nghe thơng tin qua Hub
Hình 2.2.2: Xung đột khi nhiều thiết bị cùng truyền thông tại một thời
điểm
Hình 2.3.1: Kẻ tấn cơng đầu độc switch bằng địa chỉ MAC gi ả m ạo khi ến
bảng CAM trong switch bị đầy
Hình 2.3.2: Kẻ tấn cơng đã khiến switch hoạt động như một hub và l ắng nghe
được thông tin trong mạng
Hình 2.4.1: Quá trình cấp phát IP từ máy chủ DHCP
Hình 2.4.2: Attacker thực hiện “vét cạn” khiến giải địa chỉ IP có trên DHCP
Server bị cạn kiệt
Hình 2.4.3: Hoạt động của DHCP Server giả mạo
Hình 2.5.1: Cách thức hoạt động của ARP
Hình 2.5.2: Chặn bắt thơng tin dùng ARP Poisoning
Hình 2.6.1: Mơ hình tấn cơng DNS - spoofing
Hình 2.6.2: Tấn cơng giả mạo DNS sử dụng phương pháp ID Spoofing
Hình 2.7.1: Giao thức VTP
Hình 2.7.2: VLAN Hopping - Switch Spoofing
Hình 2.7.3: VLAN Hopping – Double tagging
Hình 3.1: Mơ hình mạng minh họa
Hình 3.2.1: Thơng tin máy tấn cơng
Hình 3.2.2: Thơng tin máy nạn nhân
Hình 3.2.3: Thực hiện ping thơng 2 máy
Hình 3.2.4: Địa chỉ Default Gateway của máy tấn cơng và máy nạn nhân
Hình 3.2.5: Lựa chọn card mạng phù hợp
Hình 3.2.6: Bắt đầu tiến hành nghe lén
Hình 3.2.7: Thêm tất cả các địa chỉ IP trên cùng subnet
Hình 3.2.8: Phát hiện được địa chỉ IP của máy nạn nhân

Hình 3.2.9: Chọn địa chỉ Default Gateway và IP của máy nạn nhân
4


Hình 3.2.10: Bật tính năng ARP
Hình 3.2.11: Đăng nhập Facebook trên trình duyệt IE với dạng giao thức
HTTPS
Hình 3.2.12: Thơng tin Username và Password đã bị lấy cắp
Hình 3.2.13: Địa chỉ IP và MAC của máy nạn nhân đã bị thay đổi
Hình 3.2.14: Địa chỉ MAC của 2 máy trùng nhau
Hình 3.2.15: Tắt các tính năng trên máy tấn cơng
Hình 3.2.16: Địa chỉ MAC của máy nạn nhân trở về là địa chỉ ban đầu
Hình 3.3.1: Danh sách các kiểu tấn cơng của bộ toolkit SET
Hình 3.3.2: Danh sách những lựa chọn tấn cơng
Hình 3.3.3: Lựa chọn thứ 3 để tấn cơng web
Hình 3.3.4: Chọn nội dung sao nhập một trang web đơn giản
Hình 3.3.5: Nhập IP host và URL
Hình 3.3.6: Web Facebook clone với địa chỉ là host IP
Hình 3.3.7: Chỉnh sửa thơng số file bằng câu lệnh
Hình 3.3.8: Chỉnh sửa các thơng số
Hình 3.3.9: Chỉnh sửa các dịng lệnh để bật chức năng chuyển h ướng các gói
tin
Hình 3.3.10: Tiến hành thay đổi quyền truy cập
Hình 3.3.11: Chỉnh sửa tên miền thành facebook và IP của máy ảo kali
Hình 3.3.12: Chọn card
Hình 3.3.13: Quét hosts
Hình 3.3.14: Chọn địa chỉ cho các target
Hình 3.3.15: Chọn Sniff remote trong tấn cơng MITM
Hình 3.3.16: Chọn kiểu tấn cơng dns spoof
Hình 3.3.17: Nạn nhân đăng nhập vào facebook

Hình 3.3.18: Mật khẩu và email của nạn nhân được gửi về cho máy kẻ tấn
công

5


6


CHƯƠNG 1: GIỚI THIỆU
Tổng quan về an ninh mạng và các nguy cơ gây mất an ninh mạng
Trong bối cảnh tiến trình hội nhập, vấn đề an ninh mạng và bảo mật
dữ liệu đang trở nên rất được quan tâm. Khi cơ sở hạ tầng và các công ngh ệ
mạng ngày càng được đáp ứng tốt, tuy nhiên song song với việc đó là th ực
trạng tấn cơng trên mạng đang ngày một gia tăng, thì vấn đề bảo m ật càng
được chú trọng hơn. Không chỉ các nhà cung cấp dịch vụ Internet, các cơ quan
chính phủ mà các doanh nghiệp, tổ chức cũng có ý thức h ơn v ề an tồn thơng
tin. Bảo mật hay an tồn thông tin là sự bảo vệ thông tin tr ước các m ối đe
dọa về "thông tin lộ", "thông tin khơng cịn tồn v ẹn" và "thơng tin khơng s ẵn
sàng". Ngồi ra, nó cịn là sự bảo vệ chống lại các nguy cơ về mất an tồn
thơng tin như "nguy hiểm", "thiệt hại", "mất mát" và các t ội ph ạm khác. B ảo
mật như là hình thức về mức độ bảo vệ thông tin bao gồm "c ấu trúc" và "quá
trình xử lý" để nâng cao bảo mật.
Các nguyên tắc nền tảng của an ninh mạng:
 Tính bí mật: Là sự ngăn ngừa việc tiết lộ trái phép những thơng tin quan
trọng, nhạy cảm. Đó là khả năng đảm bảo mức độ bí m ật c ần thi ết
được tuân thủ và thông tin quan trọng, nhạy cảm đó đ ược che gi ấu v ới
người dùng khơng được cấp phép. Đối với an ninh mạng thì tính bí m ật
rõ ràng là điều đầu tiên được nói đến và nó thường xun bị tấn cơng
nhất

 Tính tồn vẹn: Là sự phát hiện và ngăn ngừa việc sửa đổi trái phép về
dữ liệu, thông tin và hệ thống, do đó đảm bảo được sự chính xác của
thơng tin và hệ thống. Có ba mục đích chính của việc đảm bảo tính tồn
vẹn:
- Ngăn cản sự làm biến dạng nội dung thông tin của những người
sử dụng không được phép.
- Ngăn cản sự làm biến dạng nội dung thông tin không được phép
hoặc không chủ tâm của những người sử dụng được phép.
- Duy trì sự tồn vẹn dữ liệu cả trong nội bộ và bên ngồi.
 Tính sẵn sàng: Bảo đảm các người sử dụng hợp pháp của hệ thống có
khả năng truy cập đúng lúc và khơng bị ngắt quãng tới các thông tin
1.1.

7


trong hệ thống và tới mạng. Tính sẵn sàng có liên quan đến độ tin cậy
của hệ thống.
Tình hình an ninh mạng trong những năm gần đây chuyển biến rất phức
tạp, với sự xuất hiện của các loại hình cũ lẫn mới:
 Trojans chiếm tới hơn một nửa số mã độc mới: Vẫn tiếp tục xu th ế
gần đây, trong nửa đầu năm 2009, Trojans chiếm tới 55% tổng số lượng
mã độc mới, tăng 9% so với nửa đầu năm 2008. Trojans đánh c ắp thông
tin là loại mã độc phổ biến nhất.
 Mã cực độc Conficker: Khởi đầu tháng 12 năm 2008 và phát triển m ạnh
vào tháng 4 năm 2009, Conficker đã gây trở ngại cho các nhà nghiên cứu
an ninh và gây ra sự hoang mang cho cộng đồng người dùng máy tính.
Hậu quả này đã minh chứng cho sự tinh vi và phức tạp của các tội
phạm mạng.
 Những kiểu tấn công cũ nhưng tinh vi hơn: Những tấn cơng bằng sâu

máy tính trên diện rộng sẽ lại phổ biến và Trojan vẫn ti ếp t ục đóng vai
trị chủ yếu trong các hoạt động tấn cơng qua mạng. Các loại hình tấn
cơng từ chối dịch vụ diễn ra trên quy mô lớn trong nửa đầu năm 2009.
 Các kiểu tấn công mới: Đầu năm 2010 các mạng xã hội ảo càng b ị t ấn
công chiếm lấy tài khoản thơng tin nhiều hơn. Điện tốn đám mây đang
được coi là đính ngắm của các hacker trong những tháng tiếp theo.
Trong thực tế, có rất nhiều cách để tấn công, lấy cắp thông tin của một
hệ thống như từ các lỗ hổng của ứng dụng, lỗ hổng dịch vụ trực tuyến (web,
mail…), lỗ hổng hệ điều hành… Vì thế, rất khó để có thể thi ết l ập và duy trì
bảo mật thơng tin. Việc đảm bảo an ninh, an tồn thơng tin cịn trở nên phức
tạp hơn khi số lượng ứng dụng được sử dụng trên một thiết bị là vô cùng
lớn, trong khi người dùng khơng có khả năng hoặc khơng có kiến thức thường
trao toàn quyền hệ thống cho các ứng dụng dẫn tới khả năng mất an tồn
thơng tin trở nên dễ dàng. Các nguy cơ đe dọa an ninh mạng như:
 Lỗi và sự bỏ sót, cố tình bỏ qua
Nguy cơ này được xếp vào hàng nguy hiểm nhất. Khi lập trình,
các cảnh báo và lỗi do trình biên dịch đưa ra th ường bị b ỏ qua và nó có
thể dẫn đến những sự việc khơng đáng có, ví dụ như tràn b ộ đ ệm, tràn
heap. Khi người dùng vơ tình (hay cố ý) sử dụng các đầu vào không hợp
8


lý thì chương trình sẽ xử lý sai, hoặc dẫn đến việc bị khai thác, đổ vỡ
(crash). Kỹ thuật lập trình đóng vài trị rất quan tr ọng trong m ọi ứng
dụng. Và lập trình viên phải ln ln cập nhật thơng tin, các lỗi bị khai
thác, cách phịng chống, sử dụng phương thức lập trình an tồn.
 Lừa đảo và lấy cắp thơng tin
Việc lấy cắp có thể được thực hiện dưới nhiều hình thức: lấy
cắp văn bản in hay lấy cắp thông tin số, cung cấp thông tin n ội b ộ cho
bên ngoài. Cách tốt nhất để phịng tránh nguy cơ này là phải có những

chính sách bảo mật được thiết kế tốt. Những chính sách có thể giúp
người quản lý bảo mật thông tin thu thập thơng tin, từ đó đi ều tra và
đưa ra những kết luận chính xác, nhanh chóng. Khi đã có một chính
sách tốt, người quản trị có thể sử dụng các kỹ thuật điều tra số
(forensics) để truy vết các hành động tấn cơng.
 Hacker (Tin tặc)
Có rất nhiều cách hacker tấn cơng hệ thống. Mỗi kẻ tấn cơng
đều có những thủ thuật, công cụ, kiến thức, hiểu biết v ề h ệ thống.
Trước tiên, hacker thu thập thông tin về hệ thống, nhiều nhất có thể.
Càng nhiều thơng tin, thì khả năng thành công của việc tấn công sẽ
càng lớn. Những thơng tin đó có thể là: tên ứng dụng, phiên bản ứng
dụng, hệ điều hành, email quản trị… Bước tiếp theo là quét hệ thống
để tìm lỗ hổng. Các lỗ hổng này có thể gây ra bởi ứng dụng xử lý
thông tin hoặc do hệ điều hành, hoặc bất kỳ thành phần nào có liên
quan. Từ đó, họ sẽ lợi dụng các lỗ hổng tìm được, hoặc sử dụng các tài
khoản mặc định nhằm chiếm quyền truy cập vào ứng dụng. Khi đã
thành công, hacker sẽ cài đặt các phần mềm, mã độc để có th ể xâm
nhập vào hệ thống trong các lần sau. Bước cuối cùng là xóa v ết t ấn
cơng.
Để phịng tránh nguy cơ này, các ứng dụng tương tác với người
dùng, dữ liệu cần phải giấu đi những thông tin quan tr ọng (n ếu có th ể)
như phiên bản, loại ứng dụng, các thành phần kèm theo… Sử dụng các
phần mềm phát hiện truy cập trái phép, rà soát hệ thống thường xuyên
xem có phần mềm lạ khơng, cấu hình tường lửa hợp lý, chính sách truy
cập của từng nhóm người dùng, quản lý truy cập…
9


 Lây lan mã độc
Có rất nhiều loại mã độc có thể kể đến như: virus, sâu máy tính,

Trojan horse, logic bomb… Nguy cơ do chúng gây ra là hoàn tồn rõ ràng
và vơ cùng phong phú. Khi đã xâm nhập vào máy nạn nhân, mã độc có
thể: mở cổng hậu (back door) để kẻ tấn cơng có thể truy cập và làm
mọi việc trên máy nạn nhân; ghi lại thơng tin sử dụng máy tính (thao tác
bàn phím, sử dụng mạng, thông tin đăng nhập…).
Cài mã độc vào máy tính có thể qua nhiều con đường: l ỗ h ổng phần
mềm, sử dụng phần mềm crack, khơng có giấy phép sử dụng,… Cách tốt
nhất để tránh nguy cơ này là luôn cập nhật phần mềm xử lý d ữ li ệu, hệ đi ều
hành và phần mềm an ninh mạng, diệt virus.
Các kiểu tấn cơng mạng phổ biến
Có rất nhiều kiểu tấn công mạng để xâm nhập vào một hệ thống máy
tính, nhưng phổ biến thường là các kiểu tấn công sau đây:
 Tấn công trực tiếp:
Những cuộc tấn công trực tiếp thông thường được sử dụng trong
giai đoạn đầu để chiếm quyền truy nhập bên trong. Một phương pháp
tấn cơng cổ điển là dị tìm tên người sử dụng và mật khẩu. Đây là
phương pháp đơn giản, dễ thực hiện và khơng địi hỏi một điều kiện
đặc biệt nào để bắt đầu. Kẻ tấn cơng có thể sử dụng những thông tin
như tên người dùng, ngày sinh, địa chỉ, số nhà…để đốn mật khẩu.
Trong trường hợp có được danh sách người sử dụng và những thông tin
về môi trường làm việc, có một chương trình tự động hố về việc dị
tìm mật khẩu này. Trong một số trường hợp phương pháp này cho phép
kẻ tấn cơng có được quyền của người quản trị hệ thống (root hay
administrator).
Hai chương trình thường được dùng cho phương pháp này là
chương trình Sendmail và Rlogin của hệ thống Unix. Sendmail là m ột
chương trình phức tạp với mã nguồn bao gồm hàng ngàn dòng lệnh C.
Sendmail được chạy với quyền của người quản trị hệ thống do chương
trình phải có quyền ghi vào hộp thư của người sử dụng. Vì Sendmail
nhận trực tiếp các u cầu về mạng thư tín bên ngồi nên nó tr ở thành

nguồn cung cấp những lỗ hổng bảo mật để truy cập hệ thống. Rlogin
10
1.2.


cho phép người sử dụng từ một máy trên mạng truy cập t ừ xa vào m ột
máy khác sử dụng tài nguyên của máy này. Trong quá trình nhập tên và
mật khẩu của người sử dụng, rlogin không kiểm tra độ dài dịng nhập
nên ta có thể đưa vào một xâu lệnh đã được tính tốn trước để ghi đè
lên mã chương trình của Rlogin, từ đó chiếm quyền truy cập.
 Nghe trộm:
Việc nghe trộm thông tin trên mạng có thể đưa lại những thơng tin có
ích như tên, mật khẩu của người sử dụng, các thông tin mật chuyển qua
mạng. Việc nghe trộm thường được tiến hành ngay sau khi kẻ tấn công đã
chiếm được quyền truy nhập hệ thống, thơng qua các chương trình cho phép
đưa card giao tiếp mạng (Network Interface Card-NIC) vào chế độ nhận tồn
bộ các thơng tin lưu truyền trên mạng. Những thơng tin này cũng có th ể d ễ
dàng lấy được trên Internet.
 Giả mạo địa chỉ:
Việc giả mạo địa chỉ IP có thể được thực hiện thơng qua việc sử d ụng
khả năng dẫn đường trực tiếp (source-routing). Với cách tấn cơng này, kẻ tấn
cơng gửi các gói tin IP tới mạng bên trong với một địa chỉ IP giả mạo (thông
thường là địa chỉ của một mạng hoặc một máy được coi là an toàn đối v ới
mạng bên trong), đồng thời chỉ rõ đường dẫn mà các gói tin IP phải gửi đi.
 Vô hiệu các chức năng của hệ thống:
Đây là kiểu tấn công nhằm tê liệt hệ thống, khơng cho nó thực
hiện chức năng mà nó thiết kế. Kiểu tấn công này không thể ngăn chặn
được, do những phương tiện được tổ chức tấn công cũng chính là các
phương tiện để làm việc và truy nhập thơng tin trên m ạng. Ví d ụ s ử
dụng lệnh ping với tốc độ cao nhất có thể, buộc m ột hệ th ống tiêu hao

toàn bộ tốc độ tính tốn và khả năng của mạng để tr ả l ời các lệnh này,
khơng cịn các tài ngun để thực hiện những cơng việc có ích khác.
 Sử dụng lỗi của người quản trị hệ thống:
Đây không phải là một kiểu tấn công của những kẻ đột nhập, tuy
nhiên lỗi của người quản trị hệ thống thường tạo ra những lỗ hổng cho
phép kẻ tấn công sử dụng để truy nhập vào mạng nội bộ.
 Tấn công vào yếu tố con người:
Kẻ tấn cơng có thể liên lạc với một người quản trị hệ thống, gi ả
làm một người sử dụng để yêu cầu thay đổi mật khẩu, thay đ ổi quy ền
11


truy nhập của mình đối với hệ thống, hoặc thậm chí thay đổi một số
cấu hình của hệ thống để thực hiện các phương pháp tấn công khác.
Với kiểu tấn cơng này khơng một thiết bị nào có thể ngăn ch ặn m ột
cách hữu hiệu, và chỉ có một cách giáo dục người sử dụng mạng nội
bộ về những yêu cầu bảo mật để đề cao cảnh giác với những hiện
tượng đáng nghi. Nói chung yếu tố con người là một điểm yếu trong
bất kỳ một hệ thống bảo vệ nào, và chỉ có sự giáo dục cộng với tinh
thần hợp tác từ phía người sử dụng để có thể nâng cao được độ an toàn
của hệ thống bảo vệ.
Mục tiêu của báo cáo
Với sự phát triển mạnh mẽ của mạng máy tính hiện nay, nhu cầu sử
dụng mạng cho việc trao đổi và chia sẻ thông tin là rất lớn. Tuy nhiên, đi song
song với việc đó thì an ninh mạng luôn là một nỗi lo khi các hình th ức t ấn
cơng mạng ngày một nhiều và ngày càng trở nên tinh vi h ơn. Do v ậy vi ệc
nghiên cứu về các phương pháp tấn công mạng và cách phòng chống là điều
tất yếu.
1.3.

Bài báo cáo “NGHIÊN CỨU CÁC PHƯƠNG PHÁP TẤN CƠNG
MẠNG VÀ CÁCH PHỊNG CHỐNG” được thực hiện nhằm tìm hiểu về các
kiểu tấn công phổ biến trên mạng. Cụ thể, bài báo cáo sẽ đi sâu vào nghiên
cứu phương pháp tấn công sniffing và cách phịng chống.
Mục tiêu đề ra là:
 Tìm hiểu một số kiểu tấn cơng phổ biến trên mạng.
 Tìm hiểu phương pháp tấn cơng sniffing.
 Cách phịng chống tấn công sniffing.

12


CHƯƠNG 2: PHƯƠNG PHÁP TẤN CƠNG SNIFFING VÀ CÁCH
PHỊNG CHỐNG
2.1. Giới thiệu
2.1.1.
Khái niệm sniffing
Sniffing là một hình thức nghe lén trên hệ thống mạng dựa trên những
đặc điểm của cơ chế TCP/IP. Người nghe lén để thiết bị lắng nghe giữa
mạng mang thông tin như hai thiết bị điện thoại hoặc hai thiết bị đầu cu ối
trên internet. Nghe lén được sử dụng như công cụ để các nhà quản trị mạng
theo dõi, bảo trì hệ thống mạng và có thể kiểm tra các dữ liệu ra vào m ạng.
Về mặt tiêu cực, nó được sử dụng với mục đích nghe lén các thông tin trên
mạng để lấy các thông tin quan trọng.
2.1.2.
Cơ chế hoạt động của sniffing
Những giao dịch giữa các hệ thống mạng máy tính thường là nh ững d ữ
liệu ở dạng nhị phân. Bởi vậy để hiểu được những dữ liệu này, các chương
trình nghe lén phải có tính năng phân tích các nghi thức, cũng như tính năng
giải mã các dữ liệu ở dạng nhị phân để hiểu được chúng.

Hình 2.1: Cơ chế hoạt động của sniffing
Trong mơi trường Hub: Một khung gói tin khi chuyển từ máy A sang
máy B thì đồng thời nó gửi đến tất cả các máy khác đang kết nối cùng Hub
theo cơ chế loan tin (broadcast). Các máy khác nhận được gói tin này sẽ tiến
hành so sánh yêu cầu về địa chỉ MAC của frame gói tin v ới đ ịa ch ỉ đích. N ếu
trùng lập thì sẽ nhận, cịn khơng thì cho qua. Do gói tin từ A được gửi đến B
13


nên khi so sánh thì chỉ có B mới giống địa chỉ đích đến nên ch ỉ có B m ới th ực
hiện tiếp nhận.
Dựa vào nguyên tắc đó, máy được cài đặt chương trình nghe tr ộm sẽ
“tự nhận” bất cứ gói tin được lưu chuyển trong mạng qua Hub, k ể c ả khi
đích đến gói tin có đích đến khơng phải là nó, do sniffer chuyển card m ạng
của máy sang chế độ hỗn tạp (promiscuous mode). Promiscuous mode là chế
độ đặc biệt. Khi card mạng được đặt dưới chế độ này, nó có th ể nh ận t ất c ả
các gói tin mà khơng bị ràng buộc kiểm tra địa chỉ đích đến.
Trong mơi trường Switch: Khác với Hub, Switch chỉ chuyển tải các gói
tin đến những địa chỉ cổng xác định trong bảng chuyển mạch nên nghe trộm
kiểu “tự nhận” như ở Hub không thực hiện được. Tuy nhiên, kẻ tấn cơng có
thể dùng các cơ chế khác để tấn công trong môi trường Switch như ARP
spoofing, MAC spoofing, MAC duplicating, DNS spoofing, v.v…
2.1.3.
Phân loại sniffing
 Passive sniffing: Chủ yếu hoạt động trong môi trường khơng có các
thiết bị chuyển mạch gói, phổ biến hiện nay là các dạng mạng sử dụng
Hub. Do không có các thiết bị chuyển mạch gói nên các gói tin đ ược
broadcast đi trong mạng. Chính vì vậy, việc thực hiện sniffing là khá
đơn giản. Kẻ tấn công không cần gửi ra gói tin giả mạo nào, chỉ cần

bắt các gói tin từ Port về (dù host nhận gói tin khơng phải là nơi đ ến
của gói tin đó). Hình thức sniffing này rất khó phát hiện do các máy tự
broadcast các gói tin. Ngày nay hình thức này thường ít được sử dụng
do Hub khơng cịn được ưa chuộng nhiều, thay vào đó là Switch.
 Active sniffing: Chủ yếu hoạt động trong mơi trường có các thiết bị
chuyển mạch gói, phổ biến hiện nay là các dạng mạch sử dụng Switch.
Kẻ tấn công thực hiện sniffing dựa trên cơ chế ARP và RARP (2 cơ chế
chuyển đổi từ IP sang MAC và từ MAC sang IP) bằng cách phát đi các
gói tin đầu độc, mà cụ thể ở đây là phát đi các gói thơng báo cho máy
gửi gói tin là “tơi là người nhận” mặc khơng phải là “người nhận”.
Ngồi ra, các sniffer cịn có thể dùng phương pháp giả địa ch ỉ MAC,
thay đổi MAC của bản thân thành MAC của một máy hợp lệ và qua
được chức năng lọc MAC của thiết bị, qua đó ép dịng dữ liệu đi qua
card mạng của mình. Tuy nhiên, do gói tin phải gửi đi nên s ẽ chi ếm
băng thông. Nếu thực hiện sniffing quá nhiều máy trong mạng thì lượng
14


gói tin gửi đi sẽ rất lớn (do liên tục gửi đi các gói tin giả mạo) có th ể
dẫn đến nghẽn mạng.
2.1.4.
Các hình thức tấn cơng
Sniffing là hình thức nghe lén thông tin trên mạng nhằm khai thác hiệu
quả hơn tài nguyên mạng, theo dõi thông tin bất hợp pháp. Tuy nhiên, sau này
các hacker dùng sniffing để lấy các thơng tin nhạy cảm, do đó cũng có th ể coi
đó là 1 hình thức hack. Có khá nhiều các phương pháp để thực hiện sniffing,
dù là tấn công chủ động hay bị động. Bài báo cáo sẽ nói c ụ th ể v ề 6 ph ương
pháp tấn công sniffing:
1) Lắng nghe thông tin qua Hub
2) Tấn công MAC

3) Tấn công DHCP
4) Chặn bắt thông tin dùng ARP – poisoning
5) Chặn bắt thông tin dùng DNS – spoofing
6) VLAN Hopping
2.2. Lắng nghe thông tin qua Hub
2.2.1.
Phương pháp tấn công
Sniffing trên mạng môi trường Hub là 1 giấc mơ đối với bất kỳ ai, b ởi
gói tin được gửi đi qua thiết bị Hub thì sẽ đi qua t ất c ả các c ổng k ết n ối v ới
Hub đó. Một khung gói tin khi chuyển từ máy A sang máy B thì đồng thời nó
gửi đến tất cả các máy khác đang kết nối cùng Hub theo cơ chế loan tin
(broadcast).

15


Hình 2.2.1: Lắng nghe thơng tin qua Hub
Để phân tích lưu lượng đi qua 1 máy tính kết nối v ới 1 thi ết b ị Hub thì
chỉ cần kết nối một packet sniffer tới 1 cổng còn trống trên Hub. Tuy nhiên,
những giao dịch giữa các hệ thống mạng máy tính thường là nh ững d ữ li ệu ở
dạng nhị phân. Vì thế các chương trình nghe lén phải có chức năng giải mã dữ
liệu ở dạng nhị phân để hiểu được chúng. Ngồi ra, kẻ tấn cơng sẽ chuyển
card mạng sang chế độ Promiscuous. Chế độ Promiscuous cho phép card
mạng nhìn thấy tất cả các gói tin đi qua hệ thống dây mạng. Khi card mạng
được đặt dưới chế độ này, nó có thể nhận tất cả các gói tin mà khơng b ị ràng
buộc kiểm tra địa chỉ đích đến. Từ đó, kẻ tấn cơng có thể thấy được tất cả
truyền thông đến và đi từ máy tính đó, cũng như truyền thơng giữa các thiết bị
khác kết nối với thiết bị Hub.
Tuy nhiên, ngày nay mạng Hub khơng cịn được ưa chuộng bởi vì chỉ có
1 thiết bị duy nhất có thể truyền thơng tại một thời điểm, 1 thiết bị kết nối

qua 1 Hub phải cạnh tranh băng thông với các thiết bị khác cũng đang cố gắng
truyền thơng qua thiết bị Hub đó. Khi hai hay nhiều thiết bị truyền thông ngay
tại cùng một thời điểm, sẽ dễ xảy ra xung đột.

16


Hình 2.2.2: Xung đột khi nhiều thiết bị cùng truyền thông tại một thời
điểm
Kết quả gây ra sẽ là mất mát gói tin, và các thiết bị sẽ phải truyền l ại
các gói tin đó, khiến cho mạng càng trở nên tắc nghẽn. Khi đến 1 mức xung
đột nào đó, thiết bị sẽ phải truyền lại một gói tin đến tận 3,4 lần và sẽ làm
giảm hiệu năng của mạng. Ngồi ra, hình thức tấn cơng qua Hub rất khó bị
phát hiện do các máy tự broadcast các gói tin. Vì thế nên dù Hub có ti ện l ợi,
dễ sử dụng nhưng ngày nay, hầu hết các mạng đều sử d ụng Switch thay cho
Hub.
2.2.2.
Các biện pháp phòng chống
Phương pháp lắng nghe thơng tin qua Hub khó phát hiện và phịng
chống, vì kẻ tấn cơng chỉ tiến hành lắng nghe trên đường truyền và bắt giữ
lại những gói tin mà khơng có sự tác động đáng kể nào vào hệ thống. Vì thế
một trong những cách đơn giản nhất là làm cách nào để các gói tin khơng cịn
broadcast nữa, bằng cách sử dụng Switch thay cho Hub. Ngoài ra có th ể dùng
phương pháp “lấy độc trị độc” là sử dụng chính các cơng cụ nghe lén đ ể phát
hiện mình có bị nghe lén hay khơng. Các cơng cụ này ngồi vi ệc th ực hi ện tác
vụ nghe lén, cịn có khả năng dị tìm trên mạng nội bộ có máy nào đang nghe
lén hay khơng.
2.3.

Tấn công MAC

17


2.3.1.
Khái niệm địa chỉ MAC
Địa chỉ MAC (Media Access Control) là kiểu địa chỉ vật lí, đặc tr ưng
cho một thiết bị hoặc một nhóm các thiết bị trong LAN. Địa chỉ này đ ược
dùng để nhận diện các thiết bị giúp cho các gói tin lớp 2 có thể đến đúng đích.
Địa chỉ MAC gồm một bộ sáu cặp hai ký tự, cách nhau bằng dấu hai
chấm. Ví dụ 00:1B:44:11:3A:B7 là một địa chỉ MAC.
2.3.2.
Phương pháp tấn công
Tấn công MAC là kỹ thuật khá phổ biến trong mạng LAN. Mục đích
của kỹ thuật này là làm ngập lụt switch với một số l ượng l ớn yêu c ầu. Tho ạt
nhìn thì thấy đây chỉ là mục đích phá hoại nhưng đối tượng tấn cơng có thể đi
xa hơn khi tận dụng để nghe lén các gói tin của người khác.
Kẻ tấn cơng phải nằm trong chính mạng LAN đó và sử dụng một ứng
dụng phần mềm để tạo thật nhiều frame với địa chỉ MAC giả mạo (MAC
spoofing) rồi gửi đến switch. Khi nhận được frame này, switch không phân
biệt được đâu là giả đâu là thật và sẽ xem nó như một frame bình thường. Lúc
này, switch sẽ cập nhật các địa chỉ MAC mới vào bảng CAM.
Bảng CAM (Content Addressable Memory), cũng có thể gọi là bảng
MAC, là nơi lưu trữ các địa chỉ MAC của các port và các tham số VLAN trong
switch. Nhờ vào bảng CAM, switch có thể biết được một thiết bị có địa chỉ
MAC X đang nằm ở port vật lý nào để cịn đẩy frame trả lời về port đó. Kẻ
tấn cơng sẽ đầu độc switch liên tục tồn các địa ch ỉ MAC gi ả m ạo. B ảng
CAM của switch thì có kích thước giới hạn, nên đến một thời điểm nào đó
bảng CAM sẽ bị đầy.

Hình 2.3.1: Kẻ tấn công đầu độc switch bằng địa chỉ MAC giả mạo

khiến bảng CAM trong switch bị đầy
18


Khi máy A gửi gói tin đến máy B, nó sẽ tìm trong bảng địa ch ỉ MAC
của nó, coi thử có địa chỉ MAC của máy B hay khơng, nếu khơng có máy A s ẽ
gửi gói tin ARP request đến switch để hỏi địa chỉ MAC của máy B. Máy B lúc
này nhận được gói tin sẽ gửi phản hồi lại cho máy A sau đó các gói tin đ ược
lưu chuyển từ A đến B mà không chuyển sang các máy khác. Tuy nhiên, lúc
này bảng CAM đã bị đầy tràn, các lưu lượng ARP request sẽ làm ng ập l ụt
mỗi cổng của switch. Switch đã bị lụt với các gói tin của các đ ịa ch ỉ MAC
khác nhau và sẽ broadcast lưu lượng mà ko cần thông qua bảng CAM n ữa.
Đến lúc này thì switch hoạt động khơng khác gì hub. Kẻ tấn công s ẽ s ử d ụng
1 công cụ Packet Sniffer để thâu tóm các dữ liệu mong muốn.

Hình 2.3.2: Kẻ tấn công đã khiến switch hoạt động như một hub và
lắng nghe được thông tin trong mạng
2.3.3.
Các biện pháp phịng chống
Ngun lí chung của các phương pháp phịng chống là khơng để các gói
tin có địa chỉ MAC lạ đi qua switch. Phương pháp phòng chống hi ệu qu ả nh ất
là cấu hình port security trên switch. Đây là một đặc trưng cấu hình cho phép
điều khiển việc truy cập vào cổng switch thông qua địa ch ỉ MAC c ủa thi ết b ị
gắn vào. Khi switch nhận được một gói tin chuyển đến, nó sẽ kiểm tra địa chỉ
MAC nguồn của gói tin với danh sách các địa chỉ đã đ ược c ấu hình tr ước đó.
Nếu hai địa chỉ này khác nhau thì tuỳ theo sự cấu hình c ủa ng ười qu ản tr ị mà
switch sẽ xử lí gói tin đến với các mức độ khác nhau.
Các lệnh cấu hình port security:
- Switch(config-if)# switchport mode access

19


- Switch(config-if)# switchport port-security: cho phép cổng được hoạt
động trong chế độ port-security.
- Mặc định thì cổng chỉ cho phép một địa chỉ MAC (một thiết bị) được
gán vào và số địa chỉ có thể nằm trong khoảng từ 1 đến 1024.
- Switch(config-if)#sw port-security violation shutdown: Nếu vi phạm sẽ
tắt cổng, kẻ tấn công sẽ không thể làm tràn bảng CAM
2.4. Tấn cơng DHCP
2.4.1.
Khái niệm DHCP và q trình cấp phát IP động
DHCP (Dynamic Host Configuration Protocol - giao thức cấu hình host
động) là một giao thức cho phép cấp phát địa chỉ IP một cách tự động cùng
với các cấu hình liên quan khác như subnet mark và gateway mặc định.
Q trình truyền thơng giữa một máy tính tr ạm được c ấu hình s ử d ụng
IP động (DHCP Client) với một máy đảm nhận chức năng cấp phát IP đ ộng
(DHCP Server) diễn ra như sau:
 Đầu tiên, một DHCP Client muốn nhận mới một địa chỉ IP sẽ gửi lên
tồn mạng (broadcast) một thơng điệp “DHCP Discover” có chứa địa
chỉ MAC của nó để tìm kiếm sự hiện diện của DHCP server.
 Sau đó, nếu có DHCP Server thuộc cùng subnet với DHCP Client trên
server này sẽ phản hồi lại cho client bằng một thông điệp “DHCP
Offer” có chứa một địa chỉ IP như là một lời đề nghị cho “thuê” (lease)
địa chỉ.
 Tiếp theo, khi nhận được gói “DHCP Offer” đến đầu tiên, client sẽ trả
lời lại cho server một thông điệp “DHCP Request” như là sự chấp
thuận lời đề nghị.
 Cuối cùng, server gửi lại cho client thông điệp “DHCP
Acknowledgment” để xác nhận lần cuối với client. Và từ đây client có

thể sử dụng địa chỉ IP vừa “thuê” được để truyền thông với các máy
khác trên mạng.

20


Hình
2.4.1: Quá trình cấp phát IP từ máy chủ DHCP
Tuy có nhiều ưu điểm, nhưng giao thức DHCP lại hoạt động khá đơn
giản, suốt q trình trao đổi thơng điệp giữa DHCP Server và DHCP Client
khơng có sự xác thực hay kiểm soát truy cập nên dễ phát sinh một số điểm
yếu về an tồn. DHCP Server khơng thể biết được rằng mình đang liên l ạc
với một DHCP Client bất hợp pháp hay không, ngược lại DHCP Client cũng
không thể biết DHCP Server đang liên lạc có hợp pháp khơng. Trong m ạng có
khả năng xuất hiện các DHCP Client giả và DHCP Server giả.
2.4.2.
DHCP Client giả
Trong trường hợp này, DHCP Client là một máy trạm bất hợp pháp.
Attacker có thể thoả hiệp thành cơng với một client hợp pháp nào đó trong
mạng, sau đó thực hiện các chương trình cài đặt. Các chương trình th ực thi
trên client này thực hiện “vét cạn”, liên tục gửi tới DHCP Server các gói tin
yêu cầu xin cấp IP với các địa chỉ MAC khơng có thực, cho tới khi dải IP có
sẵn trên DHCP Server cạn kiệt vì bị th hết. Điều này dẫn t ới vi ệc DHCP
Server không còn địa chỉ IP nào để cho các DHCP Client hợp pháp thuê, khi ến
dịch vụ bị ngưng trệ, các máy trạm khác không thể truy nhập vào hệ thống
mạng để truyền thơng với các máy tính trong mạng.

21

Hình 2.4.2: Attacker thực hiện “vét cạn” khiến giải địa chỉ IP có trên
DHCP Server bị cạn kiệt
2.4.3.
DHCP Server giả
Kẻ tấn công sẽ tạo ra môt server giả mạo vào trong mạng. Server này
có khả năng phản hồi DHCP discovery request từ phía client. Vậy nên cả
server giả mạo và server thực đều có khả năng phản hồi các yêu cầu của
client và server nào đáp ứng trước sẽ kiểm sốt được client đó. DHCP server
giả mạo có thể gán địa chỉ IP của mình thành default gateway cho client. Nh ư
vậy, tất cả các thông tin từ client sẽ được gửi tới địa chỉ của kẻ tấn công. K ẻ
tấn công sau khi thu thập tất cả những thông tin này, rồi chuyển đến default
gateway đúng của mạng. Vì thế client vẫn truyền bình thường với các máy
ngồi mạng mà không hề biết họ đã để lộ thông tin cho kẻ tấn cơng. Loại tấn
cơng này rất khó bị phải hiện bởi client trong một thời gian dài.

22


Hình 2.4.3: Hoạt động của DHCP Server giả mạo
Nguy hiểm hơn, nếu kẻ tấn công phá vỡ được các hàng rào bảo vệ
mạng và đoạt được quyền kiểm soát DHCP Server thì có thể tạo ra nh ững
thay đổi trong cấu hình của DHCP Server theo ý muốn. Khi đó, kẻ tấn cơng có
thể thiết lập lại dải IP, subnet mask,… của hệ thống để các máy tr ạm h ợp
pháp không thể đăng nhập vào hệ thống mạng được, tạo ra tình tr ạng t ừ ch ối
dịch vụ trong mạng hay làm những việc gây ảnh hưởng xấu đến tồn hệ
thống mạng.
2.4.4.
Các biện pháp phịng chống
Kẻ tấn cơng đã dùng phương pháp “vét cạn”, liên tục gửi t ới DHCP
Server các gói tin yêu cầu xin cấp IP với các đ ịa ch ỉ MAC khơng có th ực, cho

tới khi dải IP có sẵn trên DHCP Server cạn kiệt vì bị th hết. Vì thế cần phải
có biện pháp ngăn chặn việc này như:
- Xây dựng một bảng chứa thông tin liên quan giữa: địa chỉ MAC máy
client-địa chỉ IP - VLAN - số hiệu cổng. Bảng này dùng để giám sát
việc xin cấp phát địa chỉ IP của các máy client, tránh việc 1 máy client
xin cấp phát nhiều địa chỉ IP.
- Quy định số lượng gói tin DHCP đến 1 cổng/đơn vị thời gian.
Ngồi ra có thể sử dụng một số giải pháp của các hãng công nghệ.
Hãng Cisco đã đưa công nghệ DHCP snooping (giám sát DHCP) vào thiết bị
switch. Ý tưởng chính của cơng nghệ này là:
- Cấu hình các cổng trên switch thành 2 kiểu: cổng trust và cổng untrust.
- Cổng trust là cổng có thể cho phép gửi đi tất cả các loại các bản tin,
được nối với máy chủ DHCP.
- Cổng untrust là cổng chỉ có thể gửi đi bản tin xin cấp phát địa chỉ IP.
Cổng untrust thường là cổng nối với các thiết bị đầu cuối người dùng.
Do vậy máy tính của kẻ tấn cơng mặc dù là một máy chủ DHCP, nhưng
không thể gửi các bản tin DHCP cấp phát địa chỉ IP giả mạo.
2.5. Chặn bắt thông tin dùng ARP – Poisoning
2.5.1.
Khái niệm và nguyên tắc làm việc của ARP trong mạng LAN
Tầng Network của mô hình OSI sử dụng các loại địa chỉ mang tính chất
quy ước như IP, IPX… Trên thực tế, các card mạng (NIC) chỉ có th ể k ết n ối
với nhau theo địa chỉ MAC, địa chỉ cố định và duy nhất của phần cứng. Chính
23


vì vậy, giao thức phân giải địa chỉ: Address Resolution Protocol (ARP) được
sử dụng để chuyển đổi các dạng địa chỉ này qua lại với nhau.
Khi một thiết bị mạng muốn biết địa chỉ MAC của một thiết bị mạng
nào đó mà nó đã biết địa chỉ ở tầng network (IP, IPX…) nó sẽ gửi m ột ARP

request bao gồm địa chỉ MAC address của nó và địa chỉ IP c ủa thi ết b ị mà nó
cần biết MAC address trên toàn bộ một miền broadcast. Mỗi một thiết bị
nhận được request này sẽ so sánh địa chỉ IP trong request với đ ịa ch ỉ t ầng
network của mình. Nếu trùng địa chỉ thì thiết bị đó phải gửi ngược lại một
ARP reply cho thiết bị gửi ARP request (trong đó có chứa địa chỉ MAC c ủa
mình).
Lấy ví dụ trong một hệ thống mạng đơn giản, khi PC A muốn gửi gói
tin đến PC B và nó chỉ biết được địa chỉ IP của PC B. Khi đó PC A sẽ ph ải
gửi một ARP request broadcast cho toàn mạng để hỏi xem "địa chỉ MAC của
PC có địa chỉ IP này là gì?". Khi PC B nhận được broadcast này, nó s ẽ so sánh
địa chỉ IP trong gói tin này với địa chỉ IP của nó. Nhận thấy đó là đ ịa ch ỉ IP
của mình, PC B sẽ gửi lại một gói tin ARP reply cho PC A, trong đó có chứa
địa chỉ MAC của B. Sau đó PC A mới bắt đầu truyền gói tin cho B.

Hình 2.5.1: Cách thức hoạt động của ARP

24


ARP là một giao thức phi trạng thái. Máy chủ mạng sẽ t ự động l ưu tr ữ
bất kỳ ARP reply nào mà chúng nhận được, bất kể máy khác có u cầu hay
khơng. Ngay cả các mục ARP chưa hết hạn sẽ bị ghi đè khi nhận được gói tin
ARP reply mới. Khơng có phương pháp nào trong giao th ức ARP mà giúp m ột
máy có thể xác nhận máy mà từ đó gói tin bắt ngu ồn. Hành vi này là l ỗ h ổng
cho phép ARP spoofing xảy ra.
2.5.2.
Cách thức hoạt động của ARP poisoning
Giao thức ARP vốn được thiết kế ra nhằm mục đích tạo tính thuận tiện
để trao đổi địa chỉ giữa lớp thứ 2 và lớp thứ 3 của mơ hình OSI. L ớp th ứ hai,
hay còn gọi với cái tên khác là tầng data-link, sử dụng địa chỉ MAC để các

thiết bị phần cứng thể giao tiếp với nhau một cách trực tiếp trong một diện
nhỏ. Còn với lớp thứ 3, tên khác là tầng network, thì lại sử d ụng đ ịa ch ỉ IP đ ể
tạo ra một mạng với diện rộng hơn để có thể giao tiếp trên toàn cầu.
Tổ chức của giao thức ARP vốn xoay quanh hai gói tin chính, đó là ARP
request và ARP reply. Mục đích chính của gói tin request và reply là đ ể đ ịnh v ị
được địa chỉ MAC của thiết bị phần cứng tương ứng với địa chỉ IP mà nó
được gán cho. Từ đó, các luồng dữ liệu mới có thể được truyền đi tới đích
trong một mạng mà không bị thất lạc hay nhầm lẫn máy tính khác khơng u
cầu gói tin đó.
Để hiểu được tính chất request và reply, ta hình dung đơn giản nh ư sau.
Gói request sẽ được gửi đi cho từng thiết bị trong mạng và phát đi thông đi ệp
“Xin chào, địa chỉ IP của tôi là X.X.X.X, và địa chỉ MAC c ủa tôi là
X:X:X:X:X:X. Tôi cần gửi một thứ đến một máy có địa chỉ IP là Y.Y.Y.Y,
nhưng tiếc thay tơi khơng có địa chỉ MAC của anh ấy. Vậy ai có địa ch ỉ IP
như tơi vừa nói thì vui lịng phản hồi kèm theo địa chỉ MAC c ủa anh đ ể tơi
trao gói tin này.”
Lúc này, máy cần phản hồi sẽ đưa ra gói ARP reply với thơng đi ệp “Tơi
là người anh cần tìm đây. Tơi có địa chỉ IP là Y.Y.Y.Y và MAC của tơi là
Y:Y:Y:Y:Y:Y”. Khi q trình truyền giao gói tin hồn tất, thiết bị phát sẽ cập
nhật bảng ARP cache của nó và hai thiết bị này có thể truyền thơng với nhau.
Việc đầu độc gói tin ARP này chính là đánh vào yếu tố bất l ợi và không
bảo mật của giao thức ARP ban đầu. Rõ ràng qua đoạn trên cũng có th ể th ấy
được tính bất cập của gói ARP request và reply. Bất kỳ một máy tính nào đó
khơng phải mang địa chỉ Y.Y.Y.Y nhưng hắn cũng có thể lấn quyền máy thật
25