Mulval自定义规则-网络层劫持

Augmenting Attack Graphs to Represent Data Link and Network Layer Vulnerabilities

---

一、摘要

Mulval 是一款常用的网络安全分析工具，使用漏洞扫描程序来扫描网络漏洞，之后再生成攻击图进行安全分析。传统的Mulval没有将考虑网络层错误配置带来的影响，本文将针对这一部分展开，介绍针对网络错误配置的自定义规则相关内容。

二、ARP（地址解析协议）

ARP协议是根据IP地址获取物理地址的一个TCP/IP协议，主机发送消息时将包含目标ip地址的ARP请求广播到局域网络的所有主机，并接受返回消息，以此确定目标的物理地址。
举例说明：两台主机AB之间通信，当A要和B通信，第一步需要根据主机A上的路由表内容，确定B的ip地址，然后A在自己的本地ARP缓存中检查主机B的匹配MAC地址；第二步，如果主机A在ARP中没有找到映射，他将发送ARP请求帧广播到本地网络上的所有主机。源主机A的ip地址和MAC地址都在ARP请求中。本地网络中的每台主机都接到ARP请求并检查是否和自己的IP匹配，如果发现不匹配，它将会丢弃该请求；第三步，主机B确定ARP请求中的ip地址和自己的ip地址匹配，则将主机A的ip地址和mac地址映射添加到本地ARP缓存中；第四步，主机B将包含其MAC地址的ARP消息回复给主机A；第五步，主机A收到ARP回复消息的时候，会更新ARP缓存表。

结合上述过程，不难理解ARP欺骗，也就是说当主机A发送ARP广播帧的时候，攻击者C代替B回复，假称他就是B，而A不会取验证回复消息的真伪，在接下来的通信中，它就会将攻击者C误以为成B。从而实现了ARP欺骗的目的。

三、Mulval结合ARP进行自定义规则

下面给出一个ARP欺骗的场景：

在这个场景中，位于子网A的ftp的客户端准备和位于子网B的服务器端通信，攻击者也位于子网A， 子网A中的所有结点都使用ARP协议获取MAC地址，攻击者可以利用ARP中漏洞欺骗位于子网A中的网关。同时，攻击者可以利用FTP漏洞捕获用户登录的明文信息，进而登录到FTP服务器执行任意代码。

结合上述内容，可以针对ARP欺骗生成如下自定义规则：

/** primitives **/ 
gateway(_host). 
flowExists(_src, _dst, _protocol, _port, _user). 
/** interaction rules **/ 
netAccess(H2, _protocol, _port) :
	gateway(H1), 
	advances(H1, H2), 
	netAccess(H1, _protocol, _port), 
	hacl(H1, H2, _protocol, _port). 
principalCompromised(Victim) :
	hasAccount(Victim, RemoteHost, User), 
	/* Arp spoof works only if the victim and attacker are in the same subnet*/ 
	attackerLocated(Subnet), 
	hacl(Subnet, H, _anyProtocol, _anyPort), 
	/* Victim is using standard arp for address resolution*/ 
	networkServiceInfo(H, arpd, _protocol, _port, _), 
	/* The standard arpd protocol is vulnerable to spoofing */ 
	vulExists(H, arpSpoofVuln, arpd, remoteExploit, arpSpoof), 
	/* The User has an account on a login service on the remote host */ 
	logInService(RemoteHost, Protocol, Port), 
	/* There is an active connection from the host to the remote machine */ 
	flowExists(H, RemoteHost, Protocol, Port, User).
 logInService(H, Protocol, Port) :
 	networkServiceInfo(H, ftpd, Protocol, Port, _).

结合自定义规则，可以生成输入文件：

/* attacker specification */ 
attackerLocated(subnetA). 
attackGoal(execCode(ftpServerHost,victimAccount)). 
/* topology */
hacl(subnetA, ftpClientHost,_,_). 
hacl(subnetA, router1,_,_).
hacl(router1, router2,_, _). 
hacl(router2, ftpServerHost, tcp , 21). 
/* cross-subnet comms through routers */ 
gateway(router1).
gateway(router2). 
/* client */ 
networkServiceInfo(ftpClientHost, arpd,_,_,_). 
vulExists(ftpClientHost, arpSpoofVuln, arpd). 
vulProperty(arpSpoofVuln, remoteExploit, arpSpoof). 
 /* ftp server */ 
networkServiceInfo(ftpServerHost, ftpd, tcp, 21, userLevel). 
hasAccount(victim, ftpServerHost, victimAccount). 
networkServiceInfo(ftpServerHost, arpd, _,_,_). 
/* comms */ 
flowExists(ftpClientHost, ftpServerHost, tcp, 21, victimAccount).

得到攻击图如下：

另外攻击者可以不在目标网络中就完成劫持，需要在上述自定义规则中补充：

principalCompromised(Victim) :
	/* The victim has a user account on the remote host */ 
	hasAccount(Victim, RemoteHost, User), 
	/* nrlolsr is being used */ 
	networkServiceInfo(H, nrlolsr, olsr, _no_port, _user), 
	/* nrlolsr is misconfigured allowing traffic hijacking */ 
	vulExists(H, nrlolsrVul, nrlolsr, remoteExploit, nrlolsrHijack), 
	/* The User has an account on a login service on the remote host */ 
	logInService(RemoteHost, Protocol, Port), 
	/* There is an active connection from the host to the remote machine */ 
	flowExists(H, RemoteHost, Protocol, Port, User).