任务六：OSPF路由项欺骗攻击与防御策略

最新推荐文章于 2023-11-05 13:58:10 发布
最新推荐文章于 2023-11-05 13:58:10 发布
阅读量695 收藏 5
点赞数
分类专栏： 基于华为eNSP网络攻防与安全实验教程 文章标签： 网络 安全 华为
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_76274559/article/details/134186297
版权

目录

目的

器材

拓扑

步骤

一、基本配置

配置PC1和Server1的IP及网关

1、路由器R1接口IP与OSPF路由配置

2、路由器R2接口IP与OSPF路由配置

3、路由器R3接口IP与OSPF路由配置

尝试是否互通

4、查看路由器R1、R2、R3、路由表

去往192.168.4.0网段的下一跳：192.168.2.2

二、入侵实战

拓扑

1、路由器R4接口IP与OSPF路由配置

2、R4伪造LSA分组后，再次查看路由器R1路由表

3、R4伪造LSA分组后，再次查看路由器R2路由表

三、防范策略

1、在路由器R1接口开启OSPF路由项源端鉴别功能

2、在路由器R2接口开启OSPF路由项源端鉴别功能

3、在路由器R3接口开启OSPF路由项源端鉴别功能

验证

总结

1）配置OSPF路由项源端鉴别

2）SW2交换机

3）OSPF

目的

掌握基于OSPF路由项欺骗攻击过程和OSPF源端鉴别配置方法

器材

三层交换机（S5700）：3台

路由器（AR2220）：4台

主机：1台

服务器：1台

VMware

拓扑

步骤

一、基本配置

配置PC1和Server1的IP及网关

1、路由器R1接口IP与OSPF路由配置

<Huawei>system-view

[Huawei]sysname R2

[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip ad 192.168.1.1 24

    
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip ad 192.168.2.1 24   
[R1-GigabitEthernet0/0/1]quit

[R1]ospf 1  
[R1-ospf-1]area 0  
[R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255       //通告，选择需要进行OSPF传递的网段接口；正掩码 1指代网络位  0指代主机位
                      反掩码 1指代主机位  0指代网络位
[R1-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255

2、路由器R2接口IP与OSPF路由配置

<Huawei>system-view
[Huawei]sysname  R2

[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ip ad 192.168.2.2 24

[R2-GigabitEthernet0/0/0]int g0/0/1
[R2-GigabitEthernet0/0/1]ip ad 192.168.3.1 24
 
[R2]ospf 1  
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 192.168.3.0 0.0.0.255 
[R2-ospf-1-area-0.0.0.0]quit  
[R2-ospf-1]quit
 

3、路由器R3接口IP与OSPF路由配置

 

<Huawei>system-view
[Huawei]sysname R3

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip ad 192.168.3.2 24

[R3-GigabitEthernet0/0/0]int g0/0/1
[R3-GigabitEthernet0/0/1]ip ad 192.168.4.1 24 
[R3-GigabitEthernet0/0/1]quit

[R3]ospf 1 
[R3-ospf-1]area 0
[R3-ospf-1-area-0.0.0.0]network 192.168.3.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 192.168.4.0 0.0.0.255
[R3-ospf-1]quit

尝试是否互通

4、查看路由器R1、R2、R3、路由表

去往192.168.4.0网段的下一跳：192.168.2.2

二、入侵实战

拓扑

1、路由器R4接口IP与OSPF路由配置

 

<Huawei>system-view
[Huawei]sysname R4


[R4]int g0/0/0
[R4-GigabitEthernet0/0/0]ip ad 192.168.2.3 24

[R4-GigabitEthernet0/0/0]int g0/0/1
[R4-GigabitEthernet0/0/1]ip ad 192.168.4.1 24   
[R4-GigabitEthernet0/0/1]quit

[R4]ospf 1
[R4-ospf-1]area 0
[R4-ospf-1-area-0.0.0.0]network 192.168.2.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network 192.168.4.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]quit
[R4-ospf-1]quit
 

2、R4伪造LSA分组后，再次查看路由器R1路由表

R4接入后，与R1建立OSPF邻居关系，在OSPF协议中由于R1途径R4去往4.0网段开销（网段数量）更小，所以去往192.168.4.0网段的下一跳：192.168.2.3

3、R4伪造LSA分组后，再次查看路由器R2路由表

判断网络中已接入未授权路由器并遭到路由项欺骗攻击。

三、防范策略

在路由器R1、R2和R3之间接口开启OSPF路由项源端鉴别功能，黑客路由器R4发送伪造路由项192.168.4.0无法通过R1和R2源端鉴别而被丢弃，从而保证OSPF邻居间路由项信息的安全性。

1、在路由器R1接口开启OSPF路由项源端鉴别功能

[R1]int g0/0/1 


[R1-GigabitEthernet0/0/1]ospf authentication-mode ?
  hmac-md5  Use HMAC-MD5 algorithm
  keychain  Keychain authentication mode
  md5       Use MD5 algorithm
  null      Use null authentication
  simple    Simple authentication mode 
[R1-GigabitEthernet0/0/1]ospf authentication-mode hmac-md5 ?
  INTEGER<1-255>  Key ID
  <cr>            Please press ENTER to execute command


[R1-GigabitEthernet0/0/1]ospf authentication-mode hmac-md5 1 cipher huawei 
[R1-GigabitEthernet0/0/1]quit

//hmac-md5参数：Hmac-md5是HMAC算法的一个特例，用md5作为HMAC的Hash函数，算法不可逆向推导，通过信息摘要方式保证数据完整性（不被篡改）。
//md5参数：md5摘要算法是一种基于密钥的报文完整性验证方法，算法不可逆向推导。
//cipher参数：导出的设备配置信息或display信息中将有关huawei的密钥字符进行加密处理
//plain参数：不加密，配置信息中huawei密钥直接可见，不安全
//1：密钥标识符，范围<1-255>。只有密钥相同，密钥标识符也相同，才能建立邻居关系。密钥标识符解决多个密码不好记，相同密码不安全的问题。

2、在路由器R2接口开启OSPF路由项源端鉴别功能

[R2]int g0/0/0
[R2-GigabitEthernet0/0/0]ospf authentication-mode hmac-md5 1 cipher huawei

[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]ospf authentication-mode hmac-md5 2 cipher aaaa

3、在路由器R3接口开启OSPF路由项源端鉴别功能

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ospf authentication-mode hmac-md5 2 cipher aaaa

邻居路由器之间接口必须配置相同的鉴别方式，鉴别密钥和密钥标识符。

验证

启用接口源端鉴别功能后，查看路由器R1路由表

R1与R2重新建立OSPF邻居关系，去往4.0网段的下一跳地址为192.168.2.2

要ping通192.168.4.10需要等待交换机SW2，有时也快

总结

1）配置OSPF路由项源端鉴别

相邻路由器之间接口必须使用相同摘要算法，相同的共享密钥（密钥的存储方式可以不同，如cipher或者plain）和相同的密钥标识符，否则不能建立邻居关系。

2）SW2交换机

对于SW2来说，去往IP地址为192.168.4.1的目的地时可以通过G0/0/1接口（客户机与Web服务器通信时去和回走不同路径），也可以通过G0/0/3接口（客户机与Web服务器通信时去和回走相同路径），具体由SW2端口映射表更新状态决定，无法人为指定。

3）OSPF

【Open Shortest Path First，开放式最短路径优先】是链路状态协议，通过组播LSA【Link State Advertisement，链路状态通告】信息建立链路状态数据库，生成最短路径树。

假如攻击者伪造链路状态LSA分组报文和最小距离开销，便可诱导其他路由器更新最短通路，将流量引至攻击者，从而劫持用户会话。

为防范OSPF路由项欺骗攻击，可在路由器接口开启OSPF源端鉴别功能，从接口收到的LSA分组只有成功通过源端鉴别后，才能被提交给本地OSPF进程处理，避免未授权路由器发起的OSPF路由项欺骗攻击。

小汐睡着了
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
OSPF路由协议的攻击分析与安全防范
03-21
路由协议安全是网络安全的一个重要组成部分，由于路由协议自身设计的问题，加上路由器IOS的漏洞，使得RIP、BGP、OSPF等协议运行存在会被黑客利用的安全隐患。本文分析了OSPF路由协议当前版本种存在的漏洞和脆弱性，以及可能遭受的攻击，介绍了目前针对这些漏洞的防范策略，对加强OSPF路由协议的安全性提出了一些建议和典型配置。
【网络与系统安全实验】欺骗攻击及防御技术
Goallegoal的博客
05-15 1万+
【网络与系统安全实验】欺骗攻击及防御技术 概述 在Internet上，计算机之间相互进行的交流建立在两个前提之下： 1、认证（Authentication） 认证是网络上的计算机用于相互间进行识别的过程，经过认证的过程，获准相互交流的计算机之间就会建立起相互信任的关系。 2、信任（Trust） 信任和认证具有逆反关系，即如果计算机之间存在高度的信任关系，则交流时就不会要求严格的认证。而反之，如果计算机之间没有很好的信任关系，则会进行严格的认证。 欺骗，实质上就是一种冒充身份通过认证骗取信任的攻击方式。攻击者
OSPF路由协议攻击测试
08-27
OSPF路由协议攻击测试，一个文档~！ OSPF路由协议攻击测试
实验：OSPF路由项欺骗攻击防御实验.docx
04-27
OSPF路由项欺骗攻击防御实验
OSPF欺骗攻击和防御策略
10-11
OSPF欺骗攻击和防御策略
任务六 OSPF路由项欺骗攻击与防御策略
最新发布
GDL1411983801的博客
11-05 134
Win10，华为ENSP，WPS。
网络知识点之-OSPF协议
2302_76241188的博客
07-10 2754
OSPF路由协议是一种典型的链路状态（Link-state）的路由协议，一般用于同一个路由域内。在这里，路由域是指一个自治系统（Autonomous System），即AS，它是指一组通过统一的路由政策或路由协议互相交换路由信息的网络。在这个AS中，所有的OSPF路由器都维护一个相同的描述这个AS结构的数据库，该数据库中存放的是路由域中相应链路的状态信息，OSPF路由器正是通过这个数据库计算出其OSPF路由表的。
路由攻击(ospf attack)及C/C++代码实现
chen1415886044的博客
08-27 954
开放式最短路径优先（OSPF）是应用最广泛的域内路由协议之一。不幸的是，它有许多严重的安全问题。OSPF上的伪造是可能导致路由循环和黑洞的最关键的漏洞之一。 大多数已知的OSPF攻击基于伪造攻击者控制的路由器的链路状态通告（LSA）。如果攻击者控制的路由器地理位置优越。然而，这些攻击只能伪造路由域的拓扑结构；因此它们的效果通常是有的。更多强大的攻击会影响其他未受控制的路由器的LSA攻击者。然而，这些攻击通常会引发“反击”受害者路由器的机制，该机制通告校正LSA攻击的影响是不持久的。
路由器配置单区域（多区域）OSPF
weixin_69884785的博客
09-29 1994
路由器配置单区域（多区域）OSPF（包含实验实例，以及实验现象）
OSPF路由欺骗和防御.pdf
10-11
OSPF路由欺骗和防御.pdf
路由策略配置实战·路由策略配置实战ospf与eigrp的重分布GNS3版
04-09
路由策略配置实战ospf与eigrp的重分布 IP地址规划 拓扑中的IP 地址段采用: 172.8.AB.X/24， 其中AB为两台路由器编号组合，例如:R3-R6之间的AB为36,X为路由器编号例如R3的X=3 所有路由器都有一个Loopback0接口，地址格式为: X.X.X.X/32， 其中X为路由器编号。 实验需求 A---F所有区用Loopback 模拟，地址格式为: XX.XX.XX.XX/32, 其中X为路由器编号。根据拓扑宣告进对应协议。A1和A2区为特例，A1: 55.55.55.0/24， A2:55.55.66.0/24。 按照拓扑图配置EIGRP/OSPF 路由协议，关闭所有自动汇总。OSPF手动指明RID为Loopback 0地址。 R4做双向重分布，R6把OSPF重分布到EIGRP， 要求全网ping 通。如无明确说明，禁止使用静态路由，禁止直接使用ACL过滤数据。 A1区网段为55.55.55.0/24. 配置R6使其禁止从R7学到此网段(要求:使用前缀列表) 在R4上配置，要求EIGRP重分布到OSPF时，B区Metric 值为100，类型为E1;
网络安全，别报！！！
wangluo12138的博客
04-20 118
网络安全究竟要不要报？7年网工如是说
OSPF学习小结与实验
m0_63853512的博客
01-10 2772
OSPF:开放式最短路径优先协议 更新方式—触发更新 、周期更新30min---正常路由协议进行周期更新是为ACK和保活； 但OSPF协议存在hello（保活）、LSack（确认），故理论上不需要周期更新；但该协议更新量较大，为了纠错才设计每30min一次周期更新； 组播更新：224.0.0.5 （通用） 224.0.0.6 （DR/BDR专用） 一OSPF数据包 Hello包 邻居发现，建立，周期保活 DBD 数据库描述包 LSR链路状态请求 LSU链路状态更新 LSACK链路状态确认
网络安全笔记1——Internet协议的安全性
polarday的博客
07-22 1972
一、网络层协议二、传输层协议三、应用层协议一、网络层协议。
OSPF插入恶意路由攻击测试
weixin_33801856的博客
11-09 1951
前言：对于动态路由协议的攻击，向来是黑客关注的目标，OSPF协议作为园区网络中较为常见的路由协议，其配置的安全性和重要性自然不言而喻。如何有效防御OSPF的安全隐患，更多的网管往往将目标投向了路由器自身安全，习惯性的认为只要路由器保护得够安全，网络就够安全。其实，安全一直一来都是意识的竞争而技术仅仅是其中的表象。今天，我们就来看看一个简单的ospf插入...
OSPF路由协议的概念及应用简述
m0_53497201的博客
01-07 1147
OSPF路由协议OSPF路由协议概述自治系统(AS)OSPF是链路状态路由协议OSPF的工作过程OSPF的基本概念DR和BDR指定路由器(DR)DR和BDR的选举方法OSPF的度量值为COSTOSPF的数据包类型OSPF数据包OSPF的包类型OSPF邻接关系的建立OSPF的网络类型OSPF的应用环境OSPF的特点OSPF与RIP的比较实际操作 OSPF路由协议概述 内部网关协议和外部网关协议 自治系统(AS) 内部网关协议(IGP) 外部网关协议(EGP) 自治系统(AS) AS是指由同一个技术管理机构管理
OSPF总结报告
m0_52607200的博客
01-18 4288
目录 OSPF介绍 OSPF路由器区域类型 OSPF区域划分 OSPF维护表 路由类型 网络运行状态 MGRE构建不同拓扑类型 邻居建立必要条件 选举DR/BDR 特殊区域 五种数据包 八种状态机 七类LSA 负载均衡 认证 沉默接口 加快收敛 缺省路由 重发布 OSPF介绍 OSPF：开发式最短路径优先协议 无类别链路状态型IGP（内部网关协议，主机和路由器间交换信息的协议）协议 协议号89，管理距离110，通过LSA（链路状态通告）进行交互 默认
常见网络攻击手段及原理分析
热门推荐
honeyJ
07-04 3万+
TCP SYN拒绝服务攻击 我们知道，一般情况下，一个TCP连接的建立需要经过三次握手的过程，即： 1、 建立发起者向目标计算机发送一个TCP SYN报文； 2、目标计算机收到这个SYN报文后，在内存中创建TCP连接控制块（TCB），然后向发起者回送一个TCP ACK报文，等待发起者的回应 3、发起者收到TCP ACK报文后，再回应一个ACK报文，这样TCP连接就建立成功了 利用这个过程...
实验四 OSPF路由实验
rmcgo
12-29 5857
实验四 OSPF路由实验OSPF路由实验一、 实验目的二、实验要求三、实验环境四、实验步骤与内容4.3本次实验的思路：五、 实验总结 OSPF路由实验 一、 实验目的 1） 了解ospf协议的基本配置 2） 利用ensp实验平台完成路由器和交换机的基本配置 二、实验要求 在AR1和AR2之间运行OSPF路由协议，在AR2和AR3之间运行RIPv2协议，在AR2上的RIP和OSPF进程间交换路由信息...
ensp ospf 策略路由
09-21
ensp ospf 策略路由是指在eNSP网络模拟平台上，通过配置OSPF策略来实现路由控制和优化的功能。具体配置步骤如下： 1. 配置IP地址：根据拓扑图中设备的连线情况，为每个设备配置相应的IP地址。 2. 配置OSPF区域：在每个设备上启用OSPF并配置区域，以便设备之间可以进行路由信息交换。 3. 配置策略：根据需求，在设备上配置具体的OSPF策略，例如调整路由优先级、指定特定网络的路径等。 4. 测试：使用AR1通过ping命令测试与12.12.12.0网段、45.45.45.0网段和13.13.13.0网段的IP进行通信。 请注意，以上步骤仅为示例，实际操作可能因拓扑图和网络需求而有所不同。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

小汐睡着了

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值