Prezentacja przedstawia cztery pomocnicze narzędzia sieciowe: Yersinia do ataków warstwy 2 (STP, CDP, DHCP, HSRP), Iptraf do monitorowania ruchu w czasie rzeczywistym, Netcat do transmisji danych przez TCP/UDP oraz Packeth do generowania ramek Ethernet. Każde z narzędzi zostało omówione pod kątem instalacji, składni i praktycznych zastosowań w diagnostyce sieci. Prezentacja zawiera również laboratoria krok po kroku oraz porównanie omawianych narzędzi.
Yersinia to framework do testów penetracyjnych warstwy 2 (łącza danych) w sieciach LAN. Umożliwia przeprowadzanie ataków na protokoły STP, CDP, DHCP, HSRP, DTP i inne.
Nazwa pochodzi od bakterii Yersinia pestis – nawiązanie do "zarażania" sieci fałszywymi ramkami.
Instalacja na Debian/Ubuntu:
sudo apt update sudo apt install yersinia
Instalacja ze źródeł (najnowsza wersja):
git clone https://github.com/tomac/yersinia.git cd yersinia ./autogen.sh ./configure --enable-plugins make sudo make install
Yersinia nie jest dostępna natywnie na Windows. W środowisku Windows można uruchomić yersinia w maszynie wirtualnej z Linuxem (np. Kali Linux) lub przez WSL2 z dostępem do surowego gniazda.
Yersinia oferuje dwa tryby pracy:
yersinia -I
– interfejs tekstowy z menu kursorowym, lekki, działa w sesji SSH
yersinia -G
– interfejs graficzny, wygodniejszy, wymaga serwera X
-I
). Tryb GUI (
-G
) wymaga przekierowania X11 (ssh -X).
# Tryb interfejsu tekstowego sudo yersinia -I # Tryb graficzny (GTK+) sudo yersinia -G # Wyświetlenie dostępnych interfejsów sudo yersinia -I -i # Uruchomienie z konkretnym interfejsem sudo yersinia -I -i eth0
Po uruchomieniu pojawia się lista dostępnych ataków. Wyboru dokonuje się strzałkami i klawiszem Enter.
STP zapobiega pętlom w sieci Ethernet. Yersinia może:
# W GUI: wybierz STP -> BPDU flood # W CLI: strzałkami wybierz STP, potem BPDU
Efekt: przerwy w komunikacji, przekierowanie ruchu, możliwość sniffowania.
CDP to protokół warstwy 2 używany przez urządzenia Cisco do wymiany informacji o sąsiedztwie. Yersinia może:
# W yersinia: CDP -> CDP flood # Można ustawić własny TLV (Type-Length-Value)
Skutek: dezorientacja administratora, fałszywe wpisy w
show cdp neighbors
, możliwość socjotechniki.
Yersinia implementuje dwa główne ataki na DHCP:
Oba ataki mogą być użyte razem: najpierw starvation, potem rogue server przejmuje ruch.
Polega na wysłaniu dużej liczby żądań DHCP Discover z różnymi (fałszywymi) adresami MAC. Serwer DHCP przydziela adresy IP każdemu żądaniu, aż do wyczerpania puli.
# W yersinia: DHCP -> DHCP starvation # Ustawienia: # - Source MAC: randomizowany # - Ilość żądań: 1000+ # - Opóźnienie: 0 ms (maksymalne obciążenie)
Efekt: nowe (legalne) urządzenia nie otrzymują adresu IP (DoS na adresację). Atak nie wymaga odpowiedzi – są to jednokierunkowe transmisje.
Po wyczerpaniu puli (lub równolegle) atakujący uruchamia fałszywy serwer DHCP, który odpowiada na zapytania DHCP Discover z własną konfiguracją.
# W yersinia: DHCP -> Rogue DHCP server # Konfiguracja fałszywego serwera: # - IP pool: 192.168.1.100-200 # - Gateway (router): 192.168.1.254 (atakujący) # - DNS: 8.8.8.8 # - Lease time: 60s
Skutek: ofiary otrzymują adres IP z bramą wskazującą na atakującego (Man-in-the-Middle). Cały ruch ofiar przechodzi przez maszynę atakującego.
HSRP (Hot Standby Router Protocol) zapewnia redundantną bramę domyślną w urządzeniach Cisco. Yersinia może:
# W yersinia: HSRP -> HSRP attack # Ustawienia: # - Virtual IP: 192.168.1.1 # - Priority: 255 (maksymalny) # - Group: 0
Efekt: cały ruch ofiar kierowany na maszynę atakującego zamiast na legalny router.
DTP to protokół Cisco do negocjacji trunking (tagowanie VLAN 802.1Q). Yersinia umożliwia:
# W yersinia: DTP -> DTP enable # Ustawienia: # - Interfejs: eth0 # - MAC źródłowy: własny lub fałszywy
Skutek: port przełącznika zmienia się w trunk, a atakujący widzi ruch ze wszystkich VLAN-ów (VLAN hopping).
Zabezpieczenia przed atakami yersinia:
# Konfiguracja na przełączniku Cisco # Port Security switchport port-security switchport port-security maximum 1 switchport port-security violation shutdown # BPDU Guard (zapobiega atakom STP) spanning-tree bpduguard enable # DHCP Snooping (zapobiega rogue DHCP) ip dhcp snooping ip dhcp snooping vlan 1-100 # Dynamic ARP Inspection ip arp inspection vlan 1-100
Yersinia jest używana w testach penetracyjnych sieci LAN do:
# Typowe scenariusze testowe: # 1. Czy port security jest włączony? # -> DHCP starvation na danym porcie # 2. Czy DHCP snooping działa? # -> Próba rogue DHCP server # 3. Czy BPDU guard jest aktywny? # -> BPDU flood na port
Scenariusz laboratoryjny:
sudo yersinia -I
# Monitorowanie efektu na serwerze DHCP # Sprawdzenie puli adresów (Linux DHCP server): cat /var/lib/dhcp/dhcpd.leases | wc -l
Obserwacja: pula adresów zostaje wyczerpana w ciągu kilku sekund. Nowe urządzenia nie otrzymują adresu IP.
clear ip dhcp binding *
lub odczekać czas dzierżawy.
iptraf (IP Traffic Monitor) to narzędzie do monitorowania ruchu sieciowego w czasie rzeczywistym dla Linux. Działa w trybie TUI (Text User Interface). Umożliwia:
# Instalacja na Debian/Ubuntu sudo apt update sudo apt install iptraf iptraf-ng # Instalacja na CentOS/RHEL sudo yum install iptraf-ng # Instalacja na Fedora sudo dnf install iptraf-ng # Sprawdzenie wersji iptraf-ng --version
iptraf nie wymaga dodatkowych bibliotek. Działa w terminalu – nie potrzebuje serwera X.
# Uruchomienie iptraf-ng sudo iptraf-ng # Uruchomienie z konkretnym interfejsem sudo iptraf-ng -i eth0 # Uruchomienie z zapisem logów sudo iptraf-ng -B -L /var/log/iptraf.log # Parametry: # -B tryb background (demon) # -L plik logu # -i monitorowanie interfejsu # -g statystyki ogólne interfejsów
Po uruchomieniu bez parametrów pojawia się menu wyboru trybu.
IP Traffic Monitor wyświetla pakiety IP w czasie rzeczywistym dla wybranego interfejsu. Pokazuje:
# Uruchomienie IP Traffic Monitor (z menu) # Wybierz: IP Traffic Monitor -> eth0 # # Widok: # Src IP:Port Dst IP:Port Size Flags # 10.0.0.1:443 192.168.1.5:54321 120 ....
Przydatne do szybkiego sprawdzenia, jakie połączenia są aktualnie nawiązywane przez dany interfejs.
General Interface Statistics pokazuje zagregowane statystyki dla wszystkich interfejsów sieciowych:
# Z menu: General Interface Statistics # # Przykładowe dane: # Interface Pkt In/s Pkt Out/s Bytes In/s Bytes Out/s # eth0 1250 830 1.2 MB/s 0.8 MB/s # eth1 0 0 0 B/s 0 B/s
Dane aktualizują się co sekundę. Można wybrać interwał uśredniania (2, 5, 10, 30 s).
Detailed Interface Statistics zawiera szczegółowe dane o błędach interfejsów:
# Z menu: Detailed Interface Statistics -> eth0 # # CRC errors: 12 # Collisions: 3 # Runts: 0 # Giants: 1 # Frame errors: 5
TCP Connection Monitor wyświetla wszystkie aktywne połączenia TCP przechodzące przez interfejs:
# Z menu: TCP Connection Monitor # # Source Destination State Bytes # 192.168.1.5:54321 10.0.0.1:443 ESTABLISHED 1.2K # 192.168.1.5:54322 10.0.0.1:443 TIME_WAIT 0.4K # 192.168.1.5:54323 8.8.8.8:53 ESTABLISHED 0.1K
Pomocne przy wykrywaniu nieautoryzowanych połączeń lub podejrzanej aktywności sieciowej.
LAN Station Statistics zbiera dane o hostach w sieci lokalnej (na podstawie adresów MAC):
# Z menu: LAN Station Statistics -> eth0 # # MAC IP Pkt In Pkt Out # AA:BB:CC:DD:EE 192.168.1.10 15000 12000 # 11:22:33:44:55 192.168.1.20 8000 5000
Pozwala szybko zidentyfikować hosta generującego najwięcej ruchu w sieci LAN.
iptraf może zapisywać statystyki do pliku w trybie background (demon):
# Uruchomienie z logowaniem sudo iptraf-ng -B -L /var/log/iptraf/iptraf.log \ -i eth0 -t 300 # Parametry: # -B tryb background # -L plik zapis logu do pliku # -i intf monitorowany interfejs # -t sek czas działania (tu: 300s = 5 min) # Zatrzymanie: sudo pkill iptraf-ng
Plik logu zawiera wpisy w formacie CSV. Można go analizować w arkuszach kalkulacyjnych lub skryptach.
iptraf może być używany w skryptach do automatycznego zbierania statystyk:
#!/bin/bash # Skrypt zbierający statystyki iptraf LOG_FILE="/tmp/iptraf_report_$(date +%Y%m%d_%H%M).log" # Uruchom iptraf na 60 sekund sudo iptraf-ng -B -L $LOG_FILE -i eth0 -t 60 # Odczekaj na zakończenie sleep 65 # Wygeneruj raport z logu echo "=== IPTRAF Report ===" echo "Total bytes in:" grep "Total" $LOG_FILE | awk '{sum+=$5} END {print sum}' echo "Total bytes out:" grep "Total" $LOG_FILE | awk '{sum+=$8} END {print sum}'
| Narzędzie | GUI/TUI | TCP per connection | LAN per host | Logowanie |
|---|---|---|---|---|
| iptraf-ng | TUI | Tak | Tak | Tak (CSV) |
| nload | TUI | Nie | Nie | Nie |
| bmon | TUI | Nie | Nie | Nie |
| iftop | TUI | Tak (tylko IP:port) | Nie | Nie |
| nethogs | TUI | Nie (per proces) | Nie | Nie |
Scenariusz: Sieć działa wolno. Należy zidentyfikować hosta generującego największy ruch.
# 1. Uruchom iptraf-ng sudo iptraf-ng # 2. Wybierz: LAN Station Statistics -> eth0 # 3. Obserwuj kolumnę Pkt Out i Bytes Out # 4. Host z największymi wartościami to "winowajca" # Alternatywnie w skrypcie: sudo iptraf-ng -B -L /tmp/iptraf.log -i eth0 -t 30 grep "LAN" /tmp/iptraf.log | sort -k5 -rn | head -5
Po zidentyfikowaniu hosta można sprawdzić, jakie procesy generują ruch (np. za pomocą nethogs lub netstat).
iptraf jest doskonałym narzędziem do szybkiej diagnostyki:
# Szybki test przeciążenia: # Jeśli General Interface Statistics pokazuje # Bytes In/s = 0 i wiele błędów -> # prawdopodobnie uszkodzony kabel lub switch
Netcat (nc) to uniwersalne narzędzie sieciowe, nazywane "scyzorykiem szwajcarskim" sieci komputerowych. Umożliwia:
# Podstawowa składnia nc [opcje] [host] [port]
# Linux (Debian/Ubuntu) – tradycyjny netcat sudo apt update sudo apt install netcat-traditional sudo update-alternatives --set nc /usr/bin/nc.traditional # Linux – wersja OpenBSD sudo apt install netcat-openbsd # Linux – ncat z Nmap sudo apt install ncat # Windows – z Npcap # Pobierz i zainstaluj Npcap z https://npcap.com # ncat.exe jest dołączony do Npcap
# Ogólna składnia (OpenBSD netcat): nc [opcje] [host] [port] # Główne opcje: -l tryb nasłuchu (listen) -p numer portu -v verbose (szczegółowe informacje) -u tryb UDP (domyślnie TCP) -z zero I/O (tylko skanowanie) -w N timeout po N sekundach -n bez rozwiązywania DNS -4 użyj IPv4 -6 użyj IPv6
-p
musi wystąpić przed
-l
. W tradycyjnym nc i ncat kolejność jest bardziej elastyczna.
Netcat jako klient TCP łączy się z wybranym hostem i portem:
# Połączenie z serwerem WWW nc -v 192.168.1.1 80 # Połączenie z serwerem SSH nc -v 10.0.0.1 22 # Połączenie z serwerem SMTP nc -v mail.example.com 25 # Z timeoutem 5 sekund nc -v -w 5 192.168.1.1 80
Po nawiązaniu połączenia można wysyłać dane (np. żądanie HTTP) i odbierać odpowiedzi. Połączenie trwa do zamknięcia przez jedną ze stron.
Netcat może działać jako serwer TCP – nasłuchiwać na wybranym porcie:
# Nasłuch na porcie 4444 nc -lvp 4444 # Nasłuch na porcie 4444, odpowiedź po połączeniu echo "Hello, client!" | nc -lvp 4444 # Nasłuch na porcie 80 – prosty serwer WWW while true; do echo -e "HTTP/1.1 200 OK\r\n\r\nTest
" | nc -lvp 80 done
Netcat umożliwia przesyłanie plików między hostami:
# Strona odbierająca (serwer) nc -lvp 4444 > odebrany_plik.zip # Strona wysyłająca (klient) nc 192.168.1.100 4444 < plik_do_wyslania.zip # Z paskiem postępu (pv) # Wysyłający: pv plik_do_wyslania.zip | nc 192.168.1.100 4444 # Odbierający: nc -lvp 4444 | pv > odebrany_plik.zip
--ssl
).
Netcat może skanować porty TCP na wybranym hoście:
# Skanowanie pojedynczego portu nc -zv 192.168.1.1 80 # Skanowanie zakresu portów nc -zv 192.168.1.1 20-100 # Skanowanie wielu portów z verbose nc -zv 192.168.1.1 22 80 443 8080 # Skanowanie z timeoutem (szybsze odrzucenie) nc -zv -w 2 192.168.1.1 1-1000
-z
(zero I/O) sprawia, że nc nie wysyła danych po nawiązaniu połączenia – tylko sprawdza, czy port jest otwarty.
-v
wyświetla wynik.
Skanowanie UDP jest trudniejsze niż TCP, ponieważ UDP nie ma mechanizmu potwierdzenia połączenia:
# Skanowanie UDP na porcie DNS nc -zuv 192.168.1.1 53 # Skanowanie zakresu portów UDP nc -zuv 192.168.1.1 1-1024 # Skanowanie UDP z timeoutem nc -zuv -w 2 192.168.1.1 53 123 161 # Z verbose nc -zuv -v 192.168.1.1 53
Netcat jako klient UDP:
# Zapytanie DNS (port 53) nc -u 192.168.1.1 53 # Wysłanie syslog (port 514) echo "<14>test message" | nc -u 192.168.1.1 514 # Komunikacja z serwerem NTP nc -u -w 2 192.168.1.1 123
-w
(timeout) dla uniknięcia zawieszenia.
Bannergrabbing to technika zbierania informacji o usługach sieciowych poprzez odczytanie ich powitalnego komunikatu (banner):
# HTTP echo -e "GET / HTTP/1.0\r\n" | nc -w 2 192.168.1.1 80 # SSH nc -w 2 192.168.1.1 22 # SMTP nc -w 2 mail.example.com 25 # FTP nc -w 2 192.168.1.1 21 # POP3 nc -w 2 192.168.1.1 110
Wynik: wersja serwera WWW (np. Apache/2.4.41), wersja SSH (OpenSSH_8.9p1) itp. – przydatne w testach penetracyjnych.
Netcat jako serwer UDP:
# Nasłuch UDP na porcie 4444 nc -ulvp 4444 # Nasłuch UDP z zapisem odebranych danych do pliku nc -ulvp 4444 > odebrane_udp.txt # Echo server (odbiera i wysyła z powrotem) while true; do nc -ulvp 4444 -c 'read line; echo "$line"' done
Serwer UDP nasłuchuje na datagramy. Każdy odebrany datagram wywołuje odpowiedź (jeśli skonfigurowana). Możliwe jest również tworzenie własnych protokołów komunikacyjnych.
Opcja
-w
określa maksymalny czas oczekiwania na połączenie lub dane:
# Timeout 5 sekund na połączenie nc -w 5 192.168.1.1 22 # Timeout 2 sekundy – skanowanie nc -zv -w 2 192.168.1.1 20-100 # Timeout dla nasłuchu – zakończ po 10s bez danych nc -lvp 4444 -w 10 # Timeout w trybie UDP nc -u -w 3 192.168.1.1 53
-w
zapobiega zawieszaniu się skryptów.
Opcja
-z
(zero I/O) powoduje, że netcat nie wysyła żadnych danych po nawiązaniu połączenia – tylko sprawdza, czy port jest otwarty:
# Skanowanie – tylko sprawdzenie otwartych portów nc -zv 192.168.1.1 22 80 443 # Skanowanie zakresu nc -zv 192.168.1.1 1-1000 # Skanowanie z verbose nc -zv -w 2 192.168.1.1 20-100 # Bez -z: nc wysyła dane (np. w konsoli) # Z -z: nc zamyka połączenie natychmiast po nawiązaniu
Wynik: lista otwartych/zamkniętych portów. Szybsze niż pełne połączenie.
Opcja
-v
(verbose) włącza szczegółowe komunikaty:
# Bez -v (ciche działanie) nc 192.168.1.1 22 # Z -v (wyświetla informacje o połączeniu) nc -v 192.168.1.1 22 # Z -vv (jeszcze więcej szczegółów – wersja OpenBSD) nc -vv 192.168.1.1 22 # Z -v przy skanowaniu nc -zv 192.168.1.1 22 80 443
Opcja
-n
wyłącza rozwiązywanie nazw DNS. Netcat nie wykonuje zapytań DNS dla adresów IP:
# Z DNS (domyślnie) – może być wolne nc -v 192.168.1.1 22 # Output: Connection to 192.168.1.1 (hostname.example.com) port 22 [tcp/ssh] succeeded! # Bez DNS – szybsze nc -vn 192.168.1.1 22 # Output: Connection to 192.168.1.1 port 22 [tcp/ssh] succeeded! # Skanowanie bez DNS (znacznie szybsze) nc -zvn 192.168.1.1 1-1000
-n
zawsze przy skanowaniu portów i gdy nie potrzebujesz nazw hostów – przyspiesza to działanie o 10-50x przy skanowaniu wielu portów.
Netcat doskonale współpracuje ze skryptami bash:
#!/bin/bash # Skaner portów z użyciem nc HOST=$1 PORTS=$2 for PORT in $(seq $PORTS); do nc -zv -w 1 $HOST $PORT 2>&1 | grep -q "succeeded" && echo "Port $PORT is OPEN" done # Szybki serwer HTTP while true; do { echo -ne "HTTP/1.1 200 OK\r\n" echo -ne "Content-Length: 5\r\n\r\n" echo "Hello"; } | nc -lvp 8080 done # Monitorowanie usługi while true; do nc -zw 3 example.com 80 && echo "UP" || echo "DOWN" sleep 10 done
| Funkcja | nc (tradycyjny) | ncat (Nmap) | socat |
|---|---|---|---|
| TCP/UDP | Tak | Tak | Tak |
| SSL/TLS | Nie | Tak (--ssl) | Tak |
| IPv6 | Częściowo | Tak | Tak |
| SCTP | Nie | Tak | Nie |
| Przekierowanie portów | Nie | Tak | Tak |
| Proxy (SOCKS/HTTP) | Nie | Tak | Tak |
| Separacja stdin/stdout | Nie | Nie | Tak |
| Skryptowanie Lua | Nie | Tak | Nie |
Packeth to graficzny generator pakietów Ethernet dla Linux. Umożliwia:
# Packeth działa w trybie GUI (GTK+) # Wymaga uprawnień root do tworzenia surowych gniazd
# Instalacja na Debian/Ubuntu sudo apt update sudo apt install packeth # Instalacja ze źródeł (GitHub) git clone https://github.com/jemcek/packeth.git cd packeth sudo apt install libgtk-3-dev libglib2.0-dev make sudo make install # Uruchomienie (wymaga root) sudo packeth # Wersja z TUI (jeśli dostępna) sudo packeth -t
Główne elementy interfejsu packeth:
# Przykład: ramka ARP request # Dst MAC: FF:FF:FF:FF:FF:FF # Src MAC: AA:BB:CC:DD:EE:FF # EtherType: 0x0806
Ramka Ethernet w packeth składa się z:
# Minimalna ramka: 64B (wliczając preambułę: 72B) # Maksymalna standardowa: 1518B (jumbo frame: do 9000B) # Payload minimalny: 46B (wypełniany zerami jeśli krótszy)
Packeth pozwala testować reguły firewall i ACL na przełącznikach:
# Scenariusz 1: Test reguły MAC # Wyślij ramkę z określonym Src MAC # Sprawdź, czy przełącznik/blokuje przepuszcza # Scenariusz 2: Test EtherType filter # Wyślij ramkę z niestandardowym EtherType # (np. 0x88B8 dla Private VLAN) # Sprawdź, czy firewall blokuje # Scenariusz 3: Test VLAN filter # Ustaw VLAN ID 100 # Wyślij ramkę na port w VLAN 200 # Sprawdź, czy ramka jest odrzucana
Niestandardowe EtherType są używane w protokołach przemysłowych (EtherCAT, PROFINET) i zastrzeżonych:
# Przykład: EtherType 0x88A4 (EtherCAT) # Dst MAC: 01:02:03:04:05:06 # Src MAC: AA:BB:CC:DD:EE:FF # EtherType: 0x88A4 # Payload: (dane EtherCAT) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F 10 11 12 13 14 15 16 17 18 19 1A 1B 1C 1D 1E 1F # (wypełnij do minimum 46B payload) # Wysłanie: kliknij "Send" # lub "Send Burst" z interwałem 100ms
Packeth może być używany do testów zgodności urządzeń sieciowych:
# Test MTU: wyślij ramkę o rozmiarze 9000B # Jeśli przełącznik obsługuje jumbo frame -> ramka dotrze # Jeśli nie -> ramka zostanie odrzucona lub fragmentowana # Test obsługi VLAN: ramka z EtherType 0x8100 # VLAN ID: 10, Priority: 5 # Sprawdź, czy przełącznik poprawnie taguje
| Funkcja | packeth | hping3 | Scapy |
|---|---|---|---|
| GUI | Tak (GTK) | Nie (CLI) | Nie (Python) |
| Warstwa 2 | Tak | Ograniczone | Tak |
| Warstwa 3-4 | Nie | Tak | Tak |
| Szybkość konfiguracji | Bardzo szybka | Średnia | Wolna (programowanie) |
| Skryptowanie | Nie | Bash | Python |
| Modyfikacja pól TCP/IP | Nie | Tak | Tak |
| Obsługa IPv6 | Nie | Tak | Tak |
| Narzędzie | Zastosowanie | Warstwa | Tryb |
|---|---|---|---|
| Yersinia | Ataki warstwy 2, testy penetracyjne | L2 | CLI/GUI |
| Iptraf | Monitorowanie ruchu, diagnostyka | L2-L4 | TUI |
| Netcat | Połączenia TCP/UDP, skanowanie, transfer | L4 | CLI |
| Packeth | Generowanie pakietów Ethernet | L2 | GUI |
Cel: Zidentyfikuj hosta generującego najwięcej ruchu w sieci laboratoryjnej.
Kroki:
sudo iptraf-ng
nc -zv
aby sprawdzić otwarte porty
Wymagane narzędzia: iptraf-ng, netcat, packeth
Koniec części 08
# Podsumowanie w jednej linii echo "Kolejna część: PiDSK_LOGICZNE_09.html"
Pytania? Zapraszam do dyskusji.
