Bài tập lớn môn an toàn mạng (17)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
KHOA CƠNG NGHỆ THƠNG TIN

Học phần: An tồn mạng
Bài báo cáo:
Tìm hiểu về công cụ Yersinia
Giảng viên hướng dẫn: TS. Đặng Minh Tuấn
Sinh viên thực hiện:
Nhóm 2
Phạm Đức Anh – B18DCAT010

Hà Nội 2021


Mục lục
DANH SÁCH CÁC THUẬT NGỮ TIẾNG ANH VÀ VIẾT TẮT ................................................. 3
DANH MỤC CÁC HÌNH VẼ ........................................................................................................... 5
Lời nói đầu ........................................................................................................................................ 6
Chương 1: Giới thiệu Kali ................................................................................................................. 7
1. Giới thiệu: ................................................................................................................................ 7
2. Lịch sự phat triển: .................................................................................................................... 7
3. Đặc điểm: ................................................................................................................................. 7
Chương 2: Tổng quan về Sniffer ....................................................................................................... 8
1. Giới thiệu Sniffer: .................................................................................................................... 8
2. Đối tượng của Sniffing: ........................................................................................................... 8
3. Mục đích sử dụng tấn cơng Sniffer: ........................................................................................ 8
4. Sniffing thường xảy ra ở đâu :.................................................................................................. 8
5. Mức độ nguy hiểm của Sniffing: .............................................................................................. 8
6. Các Giao thức sử dụng Sniffing:.............................................................................................. 9
7. Phương thức hoạt động của tấn công Sniffer: ......................................................................... 9
8. Phân loại: ................................................................................................................................. 9

Chương 3: Tổng quan về Spoofing: ................................................................................................ 10
1. Giới thiệu về Spoofing: .......................................................................................................... 10
2. Các cuộc tấn công Spoofing: ................................................................................................. 10
3. Các phát hiện tấn cơng Spoofing: .......................................................................................... 12
4. Cách phịng chống: ................................................................................................................. 13
Chương 4: Yersinia: ........................................................................................................................ 13
1. Giới thiệu chung về Yersinia: ................................................................................................ 14
2. Hướng dẫn cài đặt và sử dụng Yersinia:................................................................................ 14
3. Tấn công DHCP Dos với Yersinia trong Kali Linux: ........................................................... 16
4. Tấn công DHCP Starvation với Yersinia: ............................................................................. 22
5. Tấn công Switch Spoofing: ................................................................................................... 27
2


Chương 6: So sánh đánh giá: .......................................................................................................... 30
Chương 7: Tài liệu tham khảo ......................................................................................................... 30

DANH SÁCH CÁC THUẬT NGỮ TIẾNG ANH VÀ VIẾT TẮT
Từ
viết tắt

Thuật ngữ tiếng Anh/Giải
thích

Thuật ngữ tiếng Việt/Giải thích

STP

Spanning Tree Protocol

Giao thức Spanning Tree

VLAN

Virtual Local Area Network

Giao thức Trunking VLAN

HSRP

Hot Standby Router Protocol

Giao thức bộ định tuyến dự phịng
nóng

DHCP

Dynamic Host Configuration
Protocol

Giao thức cấu hình máy chủ

DTP

Dynamic Trunking Protocol

Giao thức Trunking động

CDP

Cisco Discovery Protocol

Giao thức khám phá của Cisco

ISL

Inter-Switch Link

Giao thức liên kết giữa các Switch

3


DANH MỤC CÁC HÌNH VẼ
Hình ảnh 2. 1: Các tùy chọn của Yersinia....................................................................................... 15
Hình ảnh 3. 1: Mơ hình tấn cơng DHCP ......................................................................................... 16
Hình ảnh 3. 2: Cài đặt và tạo Scope ................................................................................................ 17
Hình ảnh 3. 3: Giao diện của Yersinia ............................................................................................ 17
Hình ảnh 3. 4: Giao diện các lệnh của Yersinia .............................................................................. 18
Hình ảnh 3. 5: Bật Interface eth0 .................................................................................................... 19
Hình ảnh 3. 6: Giao diện tấn cơng – DHCP mode .......................................................................... 19
Hình ảnh 3. 7: Bảng chọn tấn cơng ................................................................................................. 20
Hình ảnh 3. 8: Các gói tin đã được gửi ........................................................................................... 21
Hình ảnh 3. 9: Wireshark để thấy các gói tin DHCP ...................................................................... 21
Hình ảnh 3. 10: nghi2204 bị lỗi và không thể cung cấp IP cho Client ........................................... 22
Hình ảnh 4. 1: Mơ hình tấn cơng..................................................................................................... 23
Hình ảnh 4. 2: Giao diện đồ họa GTK của Yersinia ....................................................................... 24
Hình ảnh 4. 3: Chọn interface ......................................................................................................... 24
Hình ảnh 4. 4: Chọn cách tấn cơng ................................................................................................. 25
Hình ảnh 4. 5: Dừng cuộc tấn cơng ................................................................................................. 25

Hình ảnh 4. 6: Lệnh: ip dhcp binding ............................................................................................. 25
Hình ảnh 4. 7: Lệnh: show ip binding ............................................................................................. 26
Hình ảnh 4. 8: Số lượng gói tin nhận và gửi ................................................................................... 27
Hình ảnh 5. 1: Mơ hình liên kết tấn cơng ........................................................................................ 28
Hình ảnh 5. 2: Giao diện tấn cơng đồ họa GTK ............................................................................. 28
Hình ảnh 5. 3: Gửi tin nhắn DTP .................................................................................................... 29
Hình ảnh 5. 4: Mơ hình liên kết sau khi đã tấn công xong ............................................................. 30

4


Lời nói đầu
Trong thời đại 4.0 hiện nay thì internet là thứ mà chúng ta không thể thiếu trong cuộc sống của
mỗi chúng ta. Mà đa phần các ứng dụng internet trong ngày nay sử dụng mơ hình máy chủ - máy
khách. Sau rất nhiều nghiên cứu phân tích và thống kê, chúng ta kết luận rằng mơ hình giao tiếp
này rất dễ bị tấn công bởi nhiều các mối đe dọa như tấn công từ chối dịch vụ (DOS) , tấn công
nghe lén ( Snifffing and spoofing),.v.v.. Trong tài liệu này chúng ta chủ yếu tập trung vào các nội
dung tấn công nghe lén (Snifffing and spoofing) bằng các cơng cụ có sẵn trong kali linux. Chúng
ta cũng tìm hiểu về cách thức cài đặt và hoạt động của các cơng cụ này để có thể phát hiện, hiểu
được và chuẩn bị sẵn sàng cũng như cách khắc phục mỗi khi các cuộc tấn công xảy ra.
Sniffer là thuật ngữ thường dùng để ám chỉ việc nghe lén thông tin của đối phương. Trong môi
trường bảo mật thông tin thì Sniffer là những cơng cụ có khả năng chặn bắt các gói tin trong q
trình truyền và hiển thị dưới dạng giao diện đồ họa hay dòng lệnh để có thể theo dõi dễ dàng. Một
số ứng dụng sniffer cao cấp khơng những có thể đánh cắp các gói tin mà còn ráp chúng lại thành
dữ liệu ban đầu như là các thư điện tử hay tài liệu gốc.
Bên cạnh tấn cơng Sniffing thì cịn có tấn cơng Spoofing. Ta có thể hiểu tấn cơng Sniffing là việc
chặn và bắt các gói tin thì tấn cơng Spoofing là một cuộc tấn cơng giả mạo, là tình huống mà một
người hoặc một chương trình làm sai lệch dữ liệu để đạt được lợi ích bất hợp pháp.
Qua bài báo cáo này em có xây dựng các cơ sở lý thuyết cũng như kịch bản và demo tấn công
bằng công cụ Yersinia, từ đó giúp cho các bạn đọc có thể khai thác và sử dụng công cụ Yersinia

này đồng thời hiểu rõ hơn về các cuộc tấn công Sniffing và tấn cơng Spoofing. Mặc dù bài báo
cáo vẫn cịn nhiều thiếu xót nhưng em mong thầy bỏ qua cho em và cho em xin những góp ý chân
thành nhất để hoàn thiện bài báo cáo này hơn.

5


Chương 1: Giới thiệu Kali Linux
1. Giới thiệu:
Kali Linux là phiên bản mới nhất của hệ điều hành Linux do Offensive Security phát hành vào
tháng 3 năm 2013. Không giống như những hệ điều hành Linux khác ,Kali Linux thường được
dùng để thử nghiệm xâm nhập hệ thống mạng.Đó là cách để đánh giá mức độ an toàn của một hệ
thống máy tính hoặc mạng bằng cách mơ phỏng một cuộc tấn công mạng.
Kali Linux một OS tập hợp và phân loại gần như tất cả các công cụ thiết yếu mà bất kỳ một
chuyên gia đánh giá bảo mật nào cũng cần sử dụng đến.
2. Lịch sử phát triển
Kali phát triển trên nền tảng hệ điều hành Debian, tiền thân của Kali là hệ điều hành BackTrack
xuất hiện năm 2006 và nó đã khơng ngừng cải tiến để đạt được vị trí nhất định trong cộng đồng
bảo mật.
Kali Linux đã được phát hành chính thức vào ngày 13 tháng 3 năm 2013.
3. Đặc điểm
Kali Linux được cài đặt sẵn với 400 công cụ để thử nghiệm thâm nhập hệ thống. Tính tương thích
kiến trúc:
Kali có khả năng tương thích với kiến trúc ARM.Chúng ta có thể xây dựng phiên bản Kali trên
một Raspberry Pi hoặc trên Samsung Galaxy Note.
Hỗ trợ mạng không dây tốt hơn:
-Hỗ trợ một số lượng lớn phần cứng bên trong các thiết bị mạng không dây hay USB Dongle.Một
yêu cầu quan trọng khi các chuyên gia bảo mật thực hiện đánh giá mạng không dây.
Khả năng tùy biến cao:
-Kali rất linh hoạt khi đề cập đến giao diện hoặc khả năng tùy biến hệ thống

Dễ dàng nâng cấp giữa các phiên bản:
-Mục đích của các nhà phát triển là duy trì và cung cấp các bản cập nhật mới nhất để Kali trở
thành lựa chọn tốt nhất cho bất cứ ai tìm kiếm một hệ điều hành Pentest, một hệ điều hành dành
cho công việc bảo mật chuyên nghiệp.

6


Chương 2: Tổng quan về Sniffing
1. Giới thiệu về Sniffer.
- Khởi đầu Sniffer là tên một sản phẩm của Network Associates có tên là Sniffer Network
Analyzer. Tấn cơng Sniffer được hiểu đơn giản như là một chương trình cố gắng nghe
ngóng. Các lưu lượng thơng tin trên (trong một hệ thống mạng). Tương tự như là thiết bị
cho phép nghe lén trên đường dây điện thoại. Chỉ khác nhau ở mơi trường là các chương
trình Sniffer thực hiện nghe lén trong mơi trường mạng máy tính.
2. Đối tượng của Sniffing là:
- Password(Từ Email, Web, SMB, FTP, SQL hoặc Telnet).
- Các thơng tin về thẻ tín dụng.
- Văn bản của các Email.
- Các tập tin di đông trên mạng (Tập tin Email, FTP, SMB)
3. Mục đích sử dụng tấn cơng Sniffer.
- Tấn công Sniffer thường được sử dụng vào 2 mục đích khác biệt nhau. Nó có thể là một
cơng cụ giúp cho các quản trị mạng theo dõi và bảo trì hệ thống mạng của mình. Cũng
như theo hướng tiêu cực nó có thể là một chương trình được cài vài một hệ thống mạng
máy tính với mục đích đánh hơi, nghe lén các thông tin trên đoạn mạng này…Dưới đây
là một số tính năng của Sniffer được sử dụng theo cả hướng tích cực và tiêu cực :
+ Tự động chụp các tên người sử dụng (Username) và mật khẩu khơng được mã hố
(Clear Text Password). Tính năng này thường được các Hacker sử dụng để tấn công hệ
thống của bạn.
+ Chuyển đổi dữ liệu trên đường truyền để những quản trị viên có thể đọc và hiểu được

ý nghĩa của những dữ liệu đó. Bằng cách nhìn vào lưu lượng của hệ thống cho phép các
quản trị viên có thể phân tích những lỗi đang mắc phải trên hệ thống lưu lượng của
mạng.
4. Sniffing thường xảy ra ở đâu?
- Sniffing chủ yếu xảy ra ở mặt vật lý. Nghĩa là kẻ tấn cơng phải tiếp cận. Và có thể điều
khiển một thành phần của hệ thống mạng. Chẳng hạn như một máy tính nào đó. Ví dụ
kẻ tấn cơng có thể dùng laptop hoặc PC trong các dịch vụ Internet, các quán café WiFi,
trong hệ thống mạng nội bộ doanh nghiệp, v.v… Trường hợp hệ thống máy tính nghe
trộm. Và kẻ tấn công ở cách xa nhau. Kẻ tấn cơng tìm cách điều khiển một máy tính nào
đó trong hệ thống. Rồi cài đặt trình nghe lén vào máy đó để thực hiện nghe trộm từ xa.
5. Mức độ nguy hiểm của Sniffing.
- Hiện nay, nghe trộm mạng thực hiện rất dễ dàng. Bởi có q nhiều cơng cụ giúp thực
hiện như Yersinia, Ettercap, Mana, Rebind, Responder… Các công cụ này ngày càng
7


được “tối ưu hóa” để dễ sử dụng. Và tránh bị phát hiện sử được thực thi. So với các kiểu
tấn công khác, tấn công dạng Sniffing cực kỳ nguy hiểm. Bởi nó có thể ghi lại tồn bộ
thơng tin được truyền dẫn trên mạng. Và người sử dụng không biết là đang bị nghe trộm
lúc nào. Do máy tính của họ vẫn hoạt động bình thường, khơng có dấu hiệu bị xâm hại.
Điều này dẫn đến việc phát hiện và phịng chống nghe trộm rất khó. Và hầu như chỉ có
thể phịng chống trong thế bị động. Nghĩa là chỉ phát hiện được bị nghe trộm khi đang ở
tình trạng bị nghe trộm.
6. Các giao thức có thể sử dụng Sniffing.
- Telnet và Rlogin : ghi lại các thông tin như Password, usernames.
- HTTP: Các dữ liệu gởi đi mà khơng mã hóa.
- SMTP : Password và dữ liệu gởi đi khơng mã hóa.
- NNTP : Password và dữ liệu gởi đi khơng mã hóa.
- POP : Password và dữ liệu gởi đi khơng mã hóa.
- FTP : Password và dữ liệu gởi đi khơng mã hóa.

- IMAP : Password và dữ liệu gởi đi khơng mã hóa.
7. Phương thức hoạt động của tấn công Sniffer.
- Công nghệ Ethernet được xây dựng trên một nguyên lý chia sẻ. Theo một khái niệm này
thì tất cả các máy tính trên một hệ thống mạng cục bộ. Đều có thể chia sẻ đường truyền
của hệ thống mạng đó. Hiểu một cách khác tất cả các máy tính đó. Đều có khả năng
nhìn thấy lưu lượng dữ liệu. Được truyền trên đường truyền chung đó. Như vậy phần
cứng Ethernet được xây dựng với tính năng lọc. Và bỏ qua tất cả những dữ liệu khơng
thuộc đường truyền chung với nó.
- Nó thực hiện được điều này trên nguyên lý. Bỏ qua tất cả những Frame có địa chỉ MAC
khơng hợp lệ đối với nó. Khi Sniffer được tắt tính năng lọc này. Và sử dụng chế độ hỗn
tạp (promiscuous mode). Nó có thể nhìn thấy tất cả lưu lượng thơng tin từ máy B đến
máy C. Hay bất cứ lưu lượng thông tin giữa bất kỳ máy nào trên hệ thống mạng. Miễn là
chúng cùng nằm trên một hệ thống mạng.
8. Phân loại Sniffing:
a. Active:
- Chủ yếu hoạt động trong môi trường có các thiết bị chuyển mạch gói, phổ biến hiện nay
là các dạng mạch sử dụng Switch. Kẻ tấn công thực hiện sniffing dựa trên cơ chế ARP
và RARP (2 cơ chế chuyển đổi từ IP sang MAC và từ MAC sang IP) bằng cách phát đi
các gói tin đầu độc, mà cụ thể ở đây là phát đi các gói thơng báo cho máy gửi gói tin là
"tơi là người nhận" mặc khơng phải là "người nhận". Ngồi ra, các sniffer cịn có thể
dùng phương pháp giả địa chỉ MAC, thay đổi MAC của bản thân thành MAC của một
máy hợp lệ và qua được chức năng lọc MAC của thiết bị, qua đó ép dịng dữ liệu đi qua
card mạng của mình. Tuy nhiên, do gói tin phải gửi đi nên sẽ chiếm băng thông. Nếu
8


thực hiện sniffing quá nhiều máy trong mạng thì lượng gói tin gửi đi sẽ rất lớn (do liên
tục gửi đi các gói tin giả mạo) có thể dẫn đến nghẽn mạng.
b. Passive:
- Chủ yếu hoạt động trong môi trường khơng có các thiết bị chuyển mạch gói, phổ biến

hiện nay là các dạng mạng sử dụng Hub. Do không có các thiết bị chuyển mạch gói nên
các gói tin được broadcast đi trong mạng. Chính vì vậy, việc thực hiện sniffing là khá
đơn giản. Kẻ tấn công không cần gửi ra gói tin giả mạo nào, chỉ cần bắt các gói tin từ
Port về (dù host nhận gói tin khơng phải là nơi đến của gói tin đó). Hình thức sniffing
này rất khó phát hiện do các máy tự broadcast các gói tin. Ngày nay hình thức này
thường ít được sử dụng do Hub khơng cịn được ưa chuộng nhiều, thay vào đó là
Switch.

Chương 3: Tổng quan về Spoofing.
1. Giới thiệu về Spoofing.
- Spoofing là hành động ngụy trang một thông tin liên lạc của một một nguồn tin cậy, xác
định bằng một nguồn khơng xác định.
- Spoofing có thể áp dụng cho email, cuộc gọi điện thoại và trang web hoặc có thể mang
tính kỹ thuật hơn, chẳng hạn như máy tính giả mạo địa chỉ IP, Giao thức phân giải địa
chỉ (ARP) hoặc máy chủ Hệ thống tên miền (DNS).
- Việc giả mạo có thể được sử dụng để có quyền truy cập vào thơng tin cá nhân của mục
tiêu, phát tán phần mềm độc hại thông qua các liên kết hoặc tệp đính kèm bị nhiễm, bỏ
qua các kiểm soát truy cập mạng hoặc phân phối lại lưu lượng để thực hiện một cuộc tấn
công từ chối dịch vụ. Lừa đảo thường là cách một diễn viên xấu có được quyền truy cập
để thực hiện một cuộc tấn công mạng lớn hơn như một mối đe dọa dai dẳng tiên tiến
hoặc một cuộc tấn công trung gian.
2. Các cuộc tấn công Spoofing.
a. Giả mạo email.
- Giả mạo email là hành động gửi email có địa chỉ người gửi sai, thường là một phần của
cuộc tấn công lừa đảo được thiết kế để đánh cắp thông tin của nạn nhân, lây nhiễm máy
tính của nạn nhân bằng phần mềm độc hại hoặc là để xin tiền. Điển hình cho các email
độc hại bao gồm ransomware , phần mềm quảng cáo, tiền điện tử , Trojan (như Emotet )
hoặc phần mềm độc hại làm nơ lệ máy tính của bạn trong botnet (xem DDoS ).
- Nhưng một địa chỉ email giả mạo không phải lúc nào cũng đủ để đánh lừa người bình
thường. Hãy tưởng tượng nhận được một email lừa đảo với địa chỉ giống như địa chỉ

9


Facebook trong trường người gửi, nhưng phần thân của email được viết bằng văn bản cơ
bản, khơng có thiết kế hay HTML nào để nói về ngay cả logo khơng phải là logo. Đó
khơng phải là thứ chúng tơi quen nhận được từ Facebook và nó sẽ giơ cờ đỏ. Theo đó,
email lừa đảo thường sẽ bao gồm một sự kết hợp của các tính năng lừa đảo:
+ Địa chỉ người gửi sai được thiết kế trông giống như từ một người bạn biết và tin tưởng
có thể là một người bạn, đồng nghiệp, thành viên gia đình hoặc cơng ty bạn kinh doanh.
Trong một thay đổi gần đây, một lỗi trong Gmail cho phép những kẻ lừa đảo gửi email
mà khơng có địa chỉ người gửi mà khơng phải là một người dùng bình thường của bạn
có thể nhìn thấy. Phải mất một số bí quyết kỹ thuật để xem chuỗi mã độc được sử dụng
để làm cho trường "From" xuất hiện trống.
+ Trong trường hợp của một công ty hoặc tổ chức, email có thể bao gồm nhãn hiệu quen
thuộc; ví dụ: logo, màu sắc, phơng chữ, nút gọi hành động, v.v.
+ Các cuộc tấn công lừa đảo Spear nhắm vào một cá nhân hoặc nhóm nhỏ trong một
công ty và sẽ bao gồm ngôn ngữ được cá nhân hóa và địa chỉ người nhận theo tên.
b. Giả mạo website.
- Giả mạo website là tất cả về việc làm cho một trang web độc hại trông giống như một
trang web hợp pháp. Trang web giả mạo này sẽ trông giống như trang đăng nhập cho
một trang web mà bạn thường xuyên sử dụng cho đến thương hiệu, giao diện người
dùng và thậm chí là một tên miền giả mạo trơng giống nhau ngay từ cái nhìn đầu tiên.
Tội phạm mạng sử dụng các trang web giả mạo để nắm bắt tên người dùng và mật khẩu
của bạn (còn gọi là giả mạo đăng nhập) hoặc thả phần mềm độc hại vào máy tính của
bạn ( tải xuống theo ổ đĩa ). Một trang web giả mạo thường sẽ được sử dụng cùng với
một trò giả mạo email, trong đó email sẽ liên kết đến trang web.
- Cũng đáng lưu ý rằng một trang web giả mạo không giống như một trang web bị tấn
công. Trong trường hợp hack trang web , trang web thực sự đã bị xâm phạm và tiếp
quản bởi tội phạm mạng khơng có sự giả mạo hay giả mạo liên quan. Trong các quảng
cáo độc hại, tội phạm mạng đã lợi dụng các kênh quảng cáo hợp pháp để hiển thị quảng

cáo độc hại trên các trang web đáng tin cậy. Những quảng cáo này bí mật tải phần mềm
độc hại vào máy tính của nạn nhân.
c. Giả mạo tin nhắn.
- Giả mạo SMS là gửi tin nhắn văn bản với số điện thoại hoặc ID người gửi của người
khác. Nếu bạn đã từng gửi tin nhắn văn bản từ máy tính xách tay của mình, bạn đã giả
mạo số điện thoại của chính mình để gửi văn bản, vì văn bản khơng thực sự bắt nguồn
từ điện thoại của bạn. Các công ty thường giả mạo số riêng của họ, nhằm mục đích tiếp
thị và thuận tiện cho người tiêu dùng, bằng cách thay thế số dài bằng ID người gửi chữ
và số ngắn và dễ nhớ. Những kẻ lừa đảo làm điều tương tự mà che giấu danh tính thực
sự của họ đằng sau một ID người gửi chữ và số, thường đóng giả là một cơng ty hoặc tổ
10


chức hợp pháp. Các văn bản giả mạo thường sẽ bao gồm các liên kết đến các trang web
lừa đảo SMS ( smishing ) hoặc tải xuống phần mềm độc hại.
d. Giả mạo IP.
- Giả mạo IP được sử dụng khi ai đó muốn ẩn hoặc ngụy trang vị trí mà họ đang gửi hoặc
yêu cầu dữ liệu trực tuyến. Vì nó áp dụng cho các mối đe dọa trực tuyến, giả mạo địa
chỉ IP được sử dụng trong các cuộc tấn công từ chối dịch vụ phân tán (DDoS) để ngăn
chặn lưu lượng độc hại bị lọc ra và để ẩn vị trí của kẻ tấn cơng.
e. Tấn cơng người đứng giữa(Mitm).
- Việc sử dụng Wi-Fi miễn phí ví dụ như tại quán cà phê. Nếu một tên tội phạm mạng đã
hack Wi-Fi hoặc tạo ra một mạng Wi-Fi lừa đảo khác ở cùng địa điểm? Trong cả hai
trường hợp, có một thiết lập hồn hảo cho một cuộc tấn công người đứng giữa , được
đặt tên như vậy vì tội phạm mạng có thể chặn lưu lượng truy cập web giữa hai bên. Việc
giả mạo phát huy tác dụng khi bọn tội phạm thay đổi liên lạc giữa các bên để định tuyến
lại tiền hoặc thu hút thông tin cá nhân nhạy cảm như số thẻ tín dụng hoặc thông tin đăng
nhập.
- Lưu ý bên lề: Mặc dù các cuộc tấn công MitM thường chặn dữ liệu trong mạng Wi-Fi,
một hình thức tấn cơng MitM khác chặn dữ liệu trong trình duyệt. Đây được gọi là một

người đàn ông trong cuộc tấn công trình duyệt (MitB).
3. Cách phát hiện tấn cơng Spoofing.
a. Giả mạo Website.
- Khơng có biểu tượng khóa hoặc thanh màu xanh lá cây. Tất cả các trang web an tồn, có
uy tín cần phải có chứng chỉ SSL , có nghĩa là cơ quan chứng nhận của bên thứ ba đã
xác minh rằng địa chỉ web thực sự thuộc về tổ chức được xác minh. Một điều cần lưu ý,
chứng chỉ SSL hiện miễn phí và dễ dàng có được . Mặc dù một trang web có thể có ổ
khóa, điều đó khơng có nghĩa đó là vấn đề thực sự. Chỉ cần nhớ, khơng có gì là an tồn
100 phần trăm trên Internet.
- Trang web này khơng sử dụng mã hóa tập tin. HTTP , hay Giao thức truyền siêu văn
bản, cũng cũ như Internet và nó đề cập đến các quy tắc được sử dụng khi chia sẻ tệp trên
web. Các trang web hợp pháp hầu như sẽ luôn sử dụng HTTPS , phiên bản được mã hóa
của HTTP, khi truyền dữ liệu qua lại. Nếu bạn đang ở trên một trang đăng nhập và bạn
thấy "http" trái ngược với "https" trong thanh địa chỉ của trình duyệt, bạn nên nghi ngờ.
- Sử dụng một trình quản lý mật khẩu. Trình quản lý mật khẩu như 1Password sẽ tự động
điền thông tin đăng nhập của bạn cho bất kỳ trang web hợp pháp nào bạn lưu trong kho
mật khẩu của mình. Tuy nhiên, nếu bạn điều hướng đến một trang web giả mạo, trình
quản lý mật khẩu của bạn sẽ khơng nhận ra trang web đó và khơng điền vào các trường
tên người dùng và mật khẩu cho bạn một dấu hiệu tốt bạn đang bị giả mạo.
b. Giả mạo Email.
11


- Google nội dung của email. Một tìm kiếm nhanh có thể cho bạn biết nếu một email lừa
đảo đã biết đang tìm đường trên web.
- Liên kết nhúng có URL bất thường. Bạn có thể kiểm tra URL trước khi nhấp bằng cách
di chuột qua chúng bằng con trỏ của bạn.
- Typose, ngữ pháp xấu và cú pháp bất thường. Những kẻ lừa đảo không đọc được công
việc của họ.
- Cảnh giác với các tập tin đính kèm Đặc biệt khi đến từ một người gửi không xác định.

4. Cách phòng chống.
- Đầu tiên và quan trọng nhất là phải học cách phát hiện một cuộc tấn công giả mạo.
- Một số biện pháp phổ biến như sau:
+ Bật bộ lọc thư rác. Điều này sẽ ngăn phần lớn các email giả mạo không bao giờ được
gửi đến hộp thư đến.
+ Đừng nhấp vào liên kết hoặc mở tệp đính kèm trong email nếu email đến từ một
người gửi khơng xác định. Nếu có cơ hội email là hợp pháp, liên hệ với người gửi thông
qua một số kênh khác và xác nhận nội dung của email.
+ Đăng nhập thông qua một tab hoặc cửa sổ riêng biệt. Nếu nhận được email hoặc tin
nhắn văn bản đáng ngờ, yêu cầu đăng nhập vào tài khoản và thực hiện một số hành
động, ví dụ: xác minh thơng tin, đừng nhấp vào liên kết được cung cấp. Thay vào đó,
hãy mở một tab hoặc cửa sổ khác và điều hướng đến trang web trực tiếp. Ngồi ra, đăng
nhập thơng qua ứng dụng chuyên dụng trên điện thoại hoặc máy tính bảng.
+ Nhấc điện thoại lên. Nếu đã nhận được một email đáng ngờ, được cho là từ một người
mà đã biết, đừng ngại gọi điện hoặc nhắn tin cho người gửi và xác nhận rằng họ thực sự
đã gửi email. Việc này sẽ tránh được việc giả mạo để nhờ mua thẻ điện thoại hay
chuyển khoản ngân hàng…
+ Hiển thị phần mở rộng tập tin trong Windows. Windows không hiển thị tiện ích mở
rộng tệp theo mặc định, nhưng có thể thay đổi cài đặt đó bằng cách nhấp vào tab "Xem"
trong File Explorer, sau đó chọn hộp để hiển thị tiện ích mở rộng tệp. Mặc dù điều này
sẽ khơng ngăn chặn tội phạm mạng giả mạo các tiện ích mở rộng tệp, ít nhất sẽ có thể
thấy các tiện ích mở rộng giả mạo và tránh mở các tệp độc hại đó.
+ Đầu tư vào một chương trình an ninh mạng tốt. Trong trường hợp nhấp vào liên kết
hoặc tệp đính kèm xấu, đừng lo lắng, một chương trình an ninh mạng tốt sẽ có thể cảnh
báo bạn về mối đe dọa, ngăn chặn việc tải xuống và ngăn phần mềm độc hại xâm nhập
vào hệ thống hoặc mạng. Ví dụ, Malwarebytes có các sản phẩm bảo mật khơng gian
mạng cho Windows , Mac và Chromebook .

12

Chương 4: Yersinia
1. Giới thiệu chung về Yersinia
Yersinia là một khuôn khổ để thực hiện các cuộc tấn công lớp 2. Nó được thiết kế để tận dụng
một số điểm yếu trong các giao thức mạng khác nhau. Nó giả vờ là một khn khổ vững chắc
để phân tích và kiểm tra các mạng và hệ thống đã triển khai.
Nó bao gồm các cuộc tấn công lớp 2 khác nhau khai thác các điểm yếu của các giao thức lớp 2
khác nhau. Do đó, một pentester có thể xác định các lỗ hổng trong lớp sâu 2 của mạng. Trong
các đợt áp sát, yersinia được sử dụng để bắt đầu các cuộc tấn công vào các thiết bị lớp 2 như
thiết bị chuyển mạch, máy chủ dhcp mở rộng giao thức cây, v.v. Hiện tại yersinia hỗ trợ:
- Giao thức Spanning Tree (STP)
 Spanning Tree Protocol (STP) là một giao thức ngăn chặn sự lặp vòng, cho phép các
bridge truyền thơng với nhau để phát hiện vịng lặp vật lý trong mạng. Sau đó giao thức
này sẽ định rõ một thuật tốn mà bridge có thể tạo ra một topology luận lý chứa loopfree. Nói cách khác STP sẽ tạo một cấu trúc cây của free-loop gồm các lá và các nhánh
nối toàn bộ mạng lớp 2.
- Giao thức Khám phá của Cisco (CDP)
 CDP là một giao thức độc quyền của Cisco, mặc đinh thì giao thức CDP được bật trên
tất cả các cổng, các cổng này sẽ gửi thông điệp CDP đến các thiết bị Cisco láng giềng,
qua việc trao đổi thơng điệp CDP thì các các thiết bị sẽ nắm rõ được hết các thiết bị láng
giềng của mình. Các thơng điệp này được gửi định kì 60s một lần và chỉ trên các đường
link có trạng thái up/up.
+ Giao thức độc quyền của Cisco.
+ Các thiết bị của Cisco sử dụng nó để giao tiếp với nhau.
+ Nó mang một số dữ liệu thú vị (Phiên bản iOS, Nền tảng, Tên miền VLAN, ...).
- Giao thức Trunking động (DTP)


DTP được sử dụng trong Cisco switch để đàm phán, thỏa thuận port trên switch sẽ hoạt
động ở mode access hay mode trunk.
+ Giao thức độc quyền của Cisco.

+ Thiết lập trunking giữa các switch.
13


- Giao thức cấu hình máy chủ động (DHCP)
+ DHCP là giao thức cấu hình host động. Nó cung cấp cho máy tính địa chỉ ip ; subnet
mask; default gateway. Và nó thường được cấp phát bởi DHPC server được tích hợp sẵn
trên router.
- Giao thức bộ định tuyến dự phịng nóng (HSRP)
 HSRP là một giao thức cho phép các Router Cisco thực hiện nhiệm vụ dự phòng
gateway cho các host trong một mạng LAN. HSRP là một giao thức được phát triển bởi
Cisco.
- IEEE 802.1Q
- IEEE 802.1.X
- Giao thức liên kết giữa công tắc (ISL)
 Inter-Switch Link (ISL) là giao thức đóng gói frame độc quyền của Cisco lựa chọn cho
cấu hình trung kế Lớp 2. Nó được dùng chính trong mơi trường Ethernet, chỉ hỗ trợ trên
các Router và Switch của Cisco.
- Giao thức Trunking VLAN (VTP)
 Giao thức VTP có vai trị duy trì cấu hình của VLAN và đồng nhất trên toàn mạng. VTP
là giao thức sử dụng đường trunk để quản lý sự thêm, xóa, sửa các VLAN trên tồn
mạng từ switch trung tâm được đặt trong Server mode.
2. Hướng dẫn cài đặt và sử dụng Yersinia.
a. Hướng dẫn cài đặt.
- Một máy chưa cài đặt tool Yersinia sẽ không thể thực hiện các lệnh của Yersinia. Chính
vì thế ta phải thực hiện cài đặt Yersinia bằng câu lệnh: sudo apt install yersinia
- Installed size: 437 KB.
b. Hướng dẫn sử dụng Yersinia.
- Để sử dụng các câu lệnh của Yersinia ta phải vào quyền root bằng lệnh: sudo su
- Sau đó gõ lệnh: Yersinia –help để có thể thấy được hết các tùy chọn của tool Yersinia.

14


Hình ảnh 2. 1: Các tùy chọn của Yersinia
+ h,

--help

Màn hình Trợ giúp.

+ V,

--Version.

Phiên bản chương trình -V, --Version.
Bắt đầu một phiên GTK đồ họa.

+G
+ I,

--interactive

+ D,

--daemon

+d

Khởi động trình lắng nghe mạng dành cho quản trị

viên từ xa (mô phỏng Cisco CLI).
Kích hoạt thơng báo gỡ lỗi.

+l

logfile

+c

conffile

+M

Bắt đầu một phiên ncurses tương tác.

Lưu phiên hiện tại vào tệp logfile. Nếu logfile tồn
tại, dữ liệu sẽ được thêm vào ở cuối.
Đọc / ghi các biến cấu hình từ / đến conffile.
Vơ hiệu hóa giả mạo MAC.
15


- GTK GUI: GTK GUI (-G) là giao diện đồ họa GTK với tất cả các tính năng mạnh mẽ
của yersinia và 'giao diện' chuyên nghiệp.
- GUI Ncurses GUI: (-I) là một giao diện điều khiển dựa trên ncurses (hoặc nguyền rủa)
nơi người dùng có thể tận dụng các tính năng mạnh mẽ của yersinia. Nhấn 'h' để hiển
thị Màn hình trợ giúp và tận hưởng phiên.
- NETWORK DAEMON: Network Daemon (-D) là một máy chủ dựa trên mạng viễn
thông (chế độ Cisco) lắng nghe theo mặc định ở cổng 12000 / tcp chờ các kết nối telnet
đến. Nó hỗ trợ CLI tương tự như thiết bị Cisco nơi người dùng (sau khi được xác thực)

có thể hiển thị các cài đặt khác nhau và có thể khởi động các cuộc tấn công mà không
cần yersinia chạy trong máy của chính mình (đặc biệt là người dùng Windows hữu ích).
3. Tấn cơng DHCP DoS với Yersinia trong Kali Linux.

Hình ảnh 3. 1: Mơ hình tấn cơng DHCP
- Sử dụng CLI để tấn công DoS vào DHCP trên Windows Server 2016. Cài đặt DHCP
server trên Windows server 2016 và tạo Scope cấp IP cho nghi2204: 192.168.177.0

16


Hình ảnh 3. 2: Cài đặt và tạo Scope
Bước 1: Mở CLI của Yersinia
 Sử dụng lệnh: yersinia –I

Hình ảnh 3. 3: Giao diện của Yersinia
 Bấm phím “h” để xem giao diện các lệnh sẵn có trên Yersinia
17


Hình ảnh 3. 4: Giao diện các lệnh của Yersinia
Bước 2: Chọn Interface để tấn công DoS DHCP server
 Nhấn phím “i” để edit interface tấn cơng, chọn interface của Kali Linux có cùng VLAN
với DHCP Server
 Bật “ON” trên interface eth0 để tấn công DHCP server

18


Hình ảnh 3. 5: Bật Interface eth0

Bước 3: Chọn mode DHCP attack trên Yersinia
 Nhấn phím “F2” để vào mode tấn cơng

Hình ảnh 3. 6: Giao diện tấn cơng – DHCP mode
19


Bước 4: Thực hiện tấn công DHCP flood attack
 Nhấn phím “x” để tấn cơng DHCP server

Hình ảnh 3. 7: Bảng chọn tấn cơng
 Sau đó nhấn phím “1” để thực hiện tấn cơng DoS với gói tin DHCP Discover đến DHCP
Server

20


Hình ảnh 3. 8: Các gói tin đã được gửi
 Có thể sử dụng wireshark để thấy các gói tin DHCP Discover mà Yersinia sử dụng để tấn
công đến DHCP server

Hình ảnh 3. 9: Wireshark để thấy các gói tin DHCP
21


 Khi đó, nghi2204 của DHCP server trên Windows Server 2016 đã bị lỗi và không thể cấp
IP cho các Client

Hình ảnh 3. 10: nghi2204 bị lỗi và khơng thể cung cấp IP cho Client
 Cuối cùng trở lại Yersinia, nhấn phím “q” để dừng tấn cơng.

4. DHCP Starvation Attack by Yersinia.
- Hình thức tấn cơng là dựa vào ngun tắc hoạt động của dịch vụ DHCP.

22


Hình ảnh 4. 1: Mơ hình tấn cơng
- Attacker sẽ sử dụng 1 công cụ để giả địa chỉ MAC và gửi đến DHCP server gói tin
DHCP Discover để yêu cầu DHCP cung cấp IP.
- Lúc này DHCP nhận được gói DISCOVER sẽ trả lời về gói DHCP OFFER bên trong
gói này đã có IP cấp cho client. IP này sẽ được DHCP giữ lại để không cấp cho client
khác.
- Lợi dụng điều này Attacker sẽ gửi hàng loạt gói tin DHCP DISCOVER (dạng tấn công
Dos) nhằm cho.
+ Tài nguyên của DHCP Server bị cạn kiệt vì xử lý quá nhiều packet DISCOVER.
+ DHCP server sẽ cấp hết pool IP của nó và lúc này client khác khơng thể xin được IP.
Bước 1: Mở tool Yersinia để thực hiện tấn công bằng lệnh: yersinia –G
- Sau khi gõ lệnh sẽ xuất hiện giao diện của Yersinia. Các bạn thực hiện theo các bước
trong hình.

23


Hình ảnh 4. 2: Giao diện đồ họa GTK của Yersinia
Bước 2:Đầu tiên các bạn chọn tab "edit interface" để chọn interface mà broadcast gói
DHCP DISCOVER đến DHCP Server.

Hình ảnh 4. 3: Chọn interface
Bước 3: Tiếp theo là tab "Lauch Attack" để thực hiện tấn công. Ở đây bạn chọn "sending
DISCOVER packet" để tấn công.

24


Hình ảnh 4. 4: Chọn cách tấn cơng
Bước 4: Tab "List attacks" để dừng cuộc tấn cơng.

Hình ảnh 4. 5: Dừng cuộc tấn công
 Kết quả:
- Trên Router các bạn gõ 2 lệnh sau để xem kết quả:

Hình ảnh 4. 6: Lệnh: ip dhcp binding
- Đợi 1 thời gian sau, bạn gõ lại lệnh "show ip binding". bạn sẽ thấy việc Router đã cấp
hết dãi IP trong Pool của nó.

25