Lab Thực Hành An Toàn Mạng Phần 1

Bài thực hành số 1: Công cụ Cain & Abel Kali Linux I Cain & Abel Giới thiệu Cain & Abel công cụ dùng để phục hồi password hệ thống Windows Công cụ cho phép người quản trị, hacker, … Có thể lấy password thông qua việc sniffing hệ thống mạng, crack password mã hóa (bằng cách sử dụng thuật tốn dictionay, brute-force phân tích mã), ghi lại hội thoại VoIP, … Cấu hình Click vào Menu Configure để thực bước cấu hình Cain 2.1 Tab Sniffer Dùng để thiết lập thông số của card mạng cho chức sniffer APR (ARP Poison Routing) Cain • Start Sniffer on Startup: Cain chạy chức sniffer khởi động • Start ARP on startup: Cain chạy chức ARP khởi động • Don’t use Promiscucos mode: Cain Kích hoạt APR Poisoning mạng khơng dây khơng thể sử dụng tính giả mạo MAC 2.2 Tab APR Đây tab dùng để cấu hình APR (ARP Poison Routing) Khi chức khởi động Cain tạo thread gửi gói tin ARP Poison đển nạn nhân 30 giây, người dùng điều chỉnh lại thời gian gửi gói tin (Nếu thời gian nhỏ tạo nhiều traffic ARP, thời gian lớn tạo số lỗi trình thực hijacking traffic) Phần cấu hình spoofing địa MAC IP mà cain ghi vào header Ethernet ARP gói tin ARP Poison, điều cho phép thực cơng ARP Poison hồn tồn vơ danh Nhưng cấu hình tùy chọn cần phải ý vấn đề sau:  Spoofing Ethernet Address: Thực máy nối tới hub switch không chạy chức port security  IP address Spoofing: Phải sử dụng IP address chưa sử dụng subnet  MAC address Spoofing: Phải sử dụng địa MAC khơng có subnet 2.3 Tab Filters and Ports Đây nơi cho phép enable/disbale sniffer filter số port, có port enbale cain bắt thông tin Cain bắt thông tin việc auhentication khơng bắt tồn gón tin, bạn muốn có thơng tin tồn gói tin sử dụng chương trình khác wireshark Sử dụng Cain để thực ARP Poison Routing 3.1 Mơ hình mạng 3.2 u cầu a Đặt địa IP cho server PC mô hình b Cài đặt dịch vụ HTTP Server (xác thực username, password trước sử dụng) c Sử dụng công cụ Cain&Abel phiên 4.9.56 máy attacker, sniffer username password dịch vụ HTTP máy Victim sử dụng dịch vụ máy server 3.3 Các bước triển khai a Đặt địa IP cho server PC Máy server sử dụng Windows server Linux server, PC sử dụng Windows xp, 7,… (trong thực hành này, sử dụng Windows server 2003 làm server, PC sử dụng Windows xp) + Server: + Victim: + Attacker: b Cài đặt dịch vụ HTTP Server + HTTP: ++ Cài đặt dịch vụ HTTP trang web đơn giản: Vào start  setting  control panel  add or remove program  Add/Remove windows components Chọn Next để tiếp tục trình cài đặt, sau cài đặt xong chọn finish để hoàn thành - Tạo trang web đơn giản bao gồm text - Vào my computer  c:\  inetpub  wwwroot, tạo file index.htm với nội dung (Trong thực hành tạo nội dung “Chao ban den voi website!”) Test: Truy cập vào website vừa tạo xong ++Cấu hình xác thực username, password truy cập dịch vụ HTTP - Tạo username: u1, password: 123 sử dụng để xác thực trước truy cập vào website: Vào start  run  cmd gõ lệnh: net user u1 123 /add để tạo username u1, password 123 - Vào start  programs  addministrative tools  Internet Information Services (IIS) Manager Nhấp chuột phải vào Default website chọn properties hình bên Chọn tab Directory security, nhấn vào nút edit mục Authentication and access control Nhấn vào nút browse mục use the following windows user account for anonymous access: gõ u1 nhấn nút check names, sau nhấn OK Trở lại hộp thoại Authentication Methods, bỏ dấu tick mục Enable anonymous access Đồng thời đánh dấu tick vào mục Basic authentication(password is sent in clear text), bỏ chọn dấu tick lại nhấn ok hình bên - Test: Trên máy client, mở trình duyệt web (Internet explorer, google chrome, firefox,…) truy cập vào website máy server Lúc yêu cầu username, password trước xem nội dung trang web Nhập vào username: u1, password: 123 để xem nội dung trang web máy server c Sử dụng công cụ Cain&Abel phiên 4.9.56 máy attacker, sniffer username password dịch vụ HTTP máy Victim sử dụng dịch vụ máy server - Cài đặt công cụ Cain&Abel phiên 4.9.56 máy attacker - Sniffer username, password dịch vụ HTTP máy Victim sử dụng dịch vụ máy server B1: Chạy phần mềm Cain&Abel, công cụ menu tab chọn tab Configure, chọn vào card mạng sử dụng để sniffer (ở card mạng có địa IP 10.0.0.2), sau nhấn OK Trở giao diện phần mềm Cain, start sniffer cách nhấn vào nút (hình card mạng) cơng cụ, hình bên B2: Quét địa mac hệ thống mạng vừa thiết lập Chuyển qua tab sniffer công cụ, sau nhấn vào nút hình chữ thập màu xanh (như hình bên dưới) Hộp thoại User Accounts e Trong cửa sổ User Authentication (XAuth), nhấn Next để tiếp tục Bước 7: Xác định group authorization and user group policies a Trong cửa sổ Group Authorization and User Group Policies, phải tạo group policy cho VPN server Giao diện group authorization and user group policies b c Nhấn Add để tạo group policy Trong cửa sổ Add Group Policy, nhập VPN-Access tên group Nhập pre-shared key cisco12345 sau nhập lại d Chọn vào Pool Information nhập địa bắt đầu 192.168.3.100 địa kết thúc 192.168.3.150 subnet mask 255.255.255.0 e Nhập 50 cho dòng Maximum Connections Allowed f Nhấn OK để chấp nhận thành phần Hộp thoại Add Group Policy g Một thông điệp SDM warning xuất địa IP pool địa IP cổng FastEthernet0/0 subnet Nhấn Yes để tiếp tục h Khi quay lại cửa sổ Group Authorization, chọn Configure Idle Timer nhập vào Điều ngắt kết nối idle user khơng có hoạt động cho phép người khác kết nối Nhấn Next để tiếp tục Giao diện group authorization and user group policies sau tạo group i Khi cửa sổ Cisco Tunneling Control Protocol (cTCP) xuất hiện, không cho phép cTCP Nhấn Next để tiếp tục j Khi cửa sổ Easy VPN Server Passthrough Configuration xuất hiện, Action Modify chọn Nhấn OK để tiếp tục Giao diện Modify Firewall Bước 8: Xem lại tóm tắt cấu hình cung cấp lệnh a Di chuyển qua lệnh mà SDM gửi đến router Không chọn mục test VPN Nhấn Finish b Khi nhắc để cung cấp cấu hình cho router, nhấn Deliver Giao diện Summary of the Configuration c Trong cửa sổ Command Delivery Status, nhấn OK Bước 9: Kiểm tra VPN Server a Quay trở lại cửa sổ VPN với tab Edit Easy VPN Server chọn Nhấn nút Test VPN Server phía bên phải hình b Trong cửa sổ VPN Troubleshooting, nhấn nút Start Màn hình trơng giống hình Nhấn OK để đóng cửa sổ information Nhấn Close để thoát cửa sổ VPN Troubleshooting Giao diện VPN Troubleshooting Sử dụng Cisco VPN Client để Test Remote Access VPN Bước 1: Cài đặt Cisco VPN client PC-A Trong thực hành sử dụng Cisco VPN Client 4.8.02.0010 cho Windows XP Giải nén tập tin exe zip bắt đầu cài đặt Chấp nhận giá trị mặc định nhắc Nhấn Finish VPN Client cài đặt thành công Nhấn Yes để khởi động lại máy tính để thay đổi cấu hình có hiệu lực Giao diện cài đặt Cisco VPN client Bước 2: Cấu hình PC-A VPN client để truy cập VPN server a Bắt đầu Cisco VPN Client chọn Connection Entries  New nhấn New icon với dấu cộng màu đỏ (+) Giao diện VPN Client b Nhập thông tin sau để xác định mục kết nối Nhấn Save hoàn - thành Connection Entry: VPN-R3 Description: Kết nối đến mạng nội R3 Host: 10.2.2.1 (địa IP R3 cổng s0/0) Group Authentication Name: VPN-Access Password: cisco12345 Confirm Password: cisco12345 Giao diện Create New VPN Connection Entry Bước 3: Kiểm tra truy cập từ PC-A mà khơng có kết nối VPN Từ PC-A, ping không thành công PC-C địa IP 192.168.3.3 Vì PC-A cấu hình địa IP (192.168.1.3) bị chặn tường lửa C:\Documents and Settings\Administrator>ping 192.168.3.3 Pinging 192.168.3.3 with 32 bytes of data: Request timed out Request timed out Request timed out Request timed out Ping statistics for 192.168.3.3: Packets: Sent = 4, Received = 0, Lost = (100% loss), Bước 4: Thiết lập kết nối VPN đăng nhập a Chọn kết nối VPN-R3 tạo nhấn biểu tượng Connect Giao diện kết nối VPN-R3 b Nhập tên người dùng VPNuser1 tạo trước hộp thoại VPN Client User Authentication nhập mật VPNuser1pass Nhấn OK để tiếp tục Hộp thoại User Authentication for “VPN-R3” Kiểm tra đường hầm VPN client, server mạng nội Bước 1: Kiểm tra số liệu thống kê đường hầm a Chọn Status  Statistics Chọn tab Tunnel Details Hộp thoại Statistics Bước 4: Kiểm tra truy cập PC-A client sử dụng kết nối VPN a Với kết nối VPN từ PC-A đến router R3 kích hoạt, PC-A ping thành cơng PC-C địa IP 192.168.3.3 PC-A có địa IP (192.168.3.100 trường hợp này) mà gán VPN server PC-A truy cập PC-C nội mạng 192.168.3.0/24 hai host subnet C:\Documents and Settings\Administrator>ping 192.168.3.3 Pinging 192.168.3.3 with 32 bytes of data: Reply from 192.168.3.3: bytes=32 time=175ms TTL=127 Reply from 192.168.3.3: bytes=32 time=87ms TTL=127 Reply from 192.168.3.3: bytes=32 time=99ms TTL=127 Reply from 192.168.3.3: bytes=32 time=90ms TTL=127 Ping statistics for 192.168.3.3: Packets: Sent = 4, Received = 4, Lost = (0% loss), Approximate round trip times in milli-seconds: Minimum = 87ms, Maximum = 175ms, Average = 112ms Bước 5: Kiểm tra thông điệp Cisco IOS R3 đường hầm tạo Mở console R3 vị trí thơng điệp hiển thị cổng ảo VirtualAccess2 đưa VPN Client kết nối thực R3# *Feb 20 12:09:08.907: %LINEPROTO-5-UPDOWN: Line protocol on Interface Virtual-Access2, changed state to up Bước 6: Kiểm tra thông tin kết nối VPN cho PC-A Từ dấu nhắc lệnh PC-A, sử dụng lệnh ipconfig/all để xem kết nối mạng C:\Documents and Settings\Administrator>ipconfig/all Windows IP Configuration Ethernet adapter Local Area Connection: Connection-specific DNS Suffix : Description : VMware Accelerated AMD PCNet Adapter Physical Address : 00-0C-29-93-29-F5 Dhcp Enabled : No IP Address : 192.168.1.3 Subnet Mask : 255.255.255.0 Default Gateway : Ethernet adapter Local Area Connection 3: Connection-specific DNS Suffix : Description : Cisco Systems VPN Adapter Physical Address : 00-05-9A-3C-78-00 Dhcp Enabled : No IP Address : 192.168.3.100 Subnet Mask : 255.255.255.0 Default Gateway : 192.168.3.1 Bài thực hành số 8: TỔNG HỢP Sơ đồ mạng Bảng địa IP Yêu cầu: - Đặt địa IP mơ hình - Trên switch SW: Tạo vlan 10,20; gán interface vào vlan; cấu hình trunking Trên router R3: Định tuyến interVLAN routing đảm bảo PC (C3 C4) thuộc vlan thấy - Cấu hình định tuyến RIP version router - Cấu hình dịch vụ HTTP, DNS máy C3 - Cấu hình ACL router R3, cho: + Cấm máy C1 thực lệnh ping cho phép truy cập web vào máy C3 địa IP (cấm truy cập web tên miền) + Cho phép mạng 30.0.0.0/8 truy cập web máy C3 tên miền + Cho phép gói tin ICMP xuất phát từ VLAN10 phép truy cập bên (router R1, R2, máy C1 C2) Tất loại liệu từ bên vào VLAN10 bị cấm, ngoại trừ gói tin trả cho gói tin ICMP trước - Cấu hình Radius: + Cấu hình Radius Server máy C4 (sử dụng phần mềm Cisco-ACS phiên 4.2 để cài đặt cấu hình) + Cấu hình router R2 làm Radius Client + Tạo username: Radius, password: 123 Radius Server + Mở phiên kết nối telnet từ máy C1 vào router R2 sử dụng tài khoản tạo Radius Server để xác thực truy cập HƯỚNG DẪN CẤU HÌNH - Đặt địa IP: R1 R1#conf t R1(config)#int f0/0 R1(config-if)#ip add 10.0.0.36 255.0.0.0 R1(config-if)#no shut R1(config)#int f0/1 R1(config-if)#ip add 30.0.0.36 255.0.0.0 R1(config-if)#no shut R1(config-if)#exit R1(config)#int s1/0 R1(config-if)#ip add 192.168.1.30 255.255.255.0 R1(config-if)#no shut R2 R2#conf t R2(config)#int s1/0 R2(config-if)#ip add 192.168.1.36 255.255.255.0 R2(config-if)#no shut R2(config-if)#exit R2(config)#int s1/1 R2(config-if)#ip add 192.168.2.30 255.255.255.0 R2(config-if)#no shut R3 R3#conf t R3(config)#int s1/0 R3(config-if)#ip add 192.168.2.36 255.255.255.0 R3(config)#no shut C1: C2: C3: C4: - Tạo Vlan, gán vlan vào interface, cấu hình trunking switch sw định tuyến interVLAN routing router R3: + Tạo Vlan 10,20 switch sw: sw#vlan database sw(vlan)#vlan 10 sw(vlan)#vlan 20 + Gán vlan 10 vào interface f0/1, vlan 20 vào interface f0/2 switch sw: Sw#config t Sw(config)#interface f0/1 Sw(config-if)#switchport mode access Sw(config-if)#switchport access vlan 10 Sw(config)#interface f0/2 Sw(config-if)#switchport mode access Sw(config-if)#switchport access vlan 20 + Cấu hình trunking cổng f0/0 switch sw: sw#config t sw(config)# interface f0/0 sw(config-if)# switchport mode trunk + Cấu hình định tuyến interVLAN routing router R3, đảm bảo máy tính thuộc vlan 10 20 kết nối thành công R3#conf t R3(config)#interface f0/0.10 R3(config-if)# encapsulation dot1Q 10 R3(config-if)#ip add 20.10.0.30 255.255.0.0 R3(config)#interface f0/0.20 R3(config-if)# encapsulation dot1Q 20 R3(config-if)#ip add 20.20.0.30 255.255.0.0 - Cấu hình định tuyến RIP version R1, R2, R3: R1 R1#conf t R1(config)#router rip R1(config)#version R1(config-router)#network 192.168.1.0 R1(config-router)#network 10.0.0.0 R1(config-router)#network 30.0.0.0 R1(config-router)#no auto-summary R2 R2#conf t R2(config)#router rip R2(config)#version R2(config-router)#network 192.168.1.0 R2(config-router)#network 192.168.2.0 R2(config-router)#no auto-summary R3 R3#conf t R3(config)#router rip R3(config)#version R3(config-router)#network 192.168.2.0 R3(config-router)#network 20.10.0.0 R3(config-router)#network 20.20.0.0 R3(config-router)#no auto-summary + Kiểm tra định tuyến: Thực lệnh Ping từ máy C1 đến máy C2, C3 C4 - Cấu hình HTTP, DNS máy C3: Giao diện cấu hình HTTP Giao diện cấu hình DNS + Kết truy cập vào dịch vụ web tên miền từ máy C1,C2,C4 vào máy C3: Truy cập HTTP - Cấu hình ACL, RADIUS: sinh viên tự thực (tham khảo thực hành trước) ... địa IP 19 2 .16 9 .10 .1 cấp cho router R1 (sử dụng lệnh ip dhcp excluded-address 19 2 .16 9 .10 .1) R1(config)#ip dhcp pool VLAN1 R1(dhcp-config)#network 19 2 .16 9 .10 .1 /24 R1(dhcp-config)#exit R1(config)#ip... hình địa IP 19 2 .16 9 .10 .1/ 24 interface f0/0 R1(config)#interface f0/0 R1(config-if)#no shutdown R1(config-if)#ip address 19 2 .16 9 .10 .1 255.255.255.0 - Cấu hình DHCP Server cấp mạng 19 2 .16 9 .10 .0/24... f0/0 R1(config-if)# no shutdown R1(config-if)# ip address 19 2 .16 8 .1. 1 255.255.255.0 R1(config)# exit R1(config)# interface s0/0 R1(config-if)# no shutdown R1(config-if)# ip address 10 .1. 1 .1 255.255.255.252