Che cos'è l'amplificazione
L'amplificazione è una tecnica che trasforma una piccola richiesta in una risposta molto più grande. L'attaccante invia una richiesta a un server pubblico, ma falsifica l'indirizzo IP di origine con quello della vittima. Il server, pensando che la richiesta provenga dalla vittima, invia una risposta enorme direttamente a lei. Questo moltiplica la quantità di dati, sovraccaricando la vittima con traffico che non ha mai richiesto.Un esempio comune è il DNS Amplification. Un attaccante invia una piccola richiesta DNS (che richiede solo pochi byte) a un server DNS aperto, ma falsifica l'indirizzo IP di origine con quello della vittima. Il server DNS risponde inviando una risposta molto più grande (anche centinaia di volte più grande) all'indirizzo IP della vittima. Questo è come chiedere un'informazione in una stanza, e farla urlare da un'altra persona a un'altra stanza.
Che cos'è la riflessione
La riflessione è la tecnica di falsificare l'indirizzo IP di origine per far sembrare che l'attacco provenga dalla vittima. Questo nasconde la vera identità dell'attaccante e fa sembrare che il traffico provenga da una fonte legittima (il server a cui è stata inviata la richiesta). In altre parole, l'attacco viene "riflesso" dal server verso la vittima.Molti attacchi DoS usano una combinazione di entrambe le tecniche. In questo modo, il traffico di un attacco non è solo moltiplicato, ma sembra anche provenire da una fonte legittima.
LABORATORIO
Attacco di Amplificazione e Riflessione con la Virtualizzazione
In questo laboratorio imparerai come gli attaccanti sfruttano server innocenti per sferrare attacchi di Denial of Service (DoS). Creerai un ambiente di rete isolato usando la virtualizzazione per capire in modo sicuro il meccanismo di amplificazione e riflessione.
Strumenti: un PC con software di virtualizzazione (es. VirtualBox), tre macchine virtuali con un sistema operativo Linux o Windows installato.
1 Impostazione dell'Ambiente Virtuale
Prima di iniziare, configura il tuo ambiente. Questo passaggio è cruciale per la sicurezza.
- Crea tre macchine virtuali e installa su ciascuna un sistema operativo.
- Configura le VM su una **rete interna isolata** o su una rete host-only per evitare qualsiasi connessione con l'esterno.
- Assegna i ruoli: una VM sarà l'Attaccante, una il Server Innocente e l'ultima la Vittima.
2 Ruoli e Comandi
Ogni macchina eseguirà un ruolo specifico per simulare l'attacco.
-
L'Attaccante: Il tuo obiettivo è inviare una richiesta falsificata al Server Innocente.
hping3 -c 1000 -2 --spoof [IP_Vittima] [IP_Server_Innocente]hping3: lo strumento per creare pacchetti personalizzati.-c 1000: invia 1000 pacchetti ICMP.--spoof [IP_Vittima]: falsifica l'indirizzo IP di origine con quello della vittima.[IP_Server_Innocente]: l'indirizzo del server che verrà usato per l'amplificazione.
- Il Server Innocente: Il tuo ruolo è passivo. Il server risponderà automaticamente alla richiesta ICMP, inviando la risposta all'indirizzo IP falsificato (quello della vittima).
-
La Vittima: Il tuo compito è monitorare il traffico in arrivo.
- Apri Wireshark e avvia la cattura.
- Nella barra dei filtri, scrivi
icmp and ip.src == [IP_Server_Innocente]e osserva la quantità di pacchetti in arrivo.
3 Analisi e Conclusione
L'osservazione dei risultati ti permetterà di comprendere il meccanismo dell'attacco.
- Vedrai che la macchina Vittima è inondata di pacchetti provenienti dal Server Innocente, non dall'Attaccante.
- Questo dimostra come un attaccante possa usare un server innocente per nascondere la sua identità (riflessione) e moltiplicare la forza dell'attacco (amplificazione).
- La difesa principale è l'adozione di misure di filtering per bloccare o limitare il traffico ICMP in eccesso.