sniffing, spoofing, dan session hijacking serta penanggulangannya

TUJUAN PEMBELAJARAN:
1.Mengenalkan pada mahasiswa tentang konsep sniffing dan session hijacking
2.Mahasiswa mampu menangani masalah sniffing dan session hijacking

DASAR TEORI
Sniffer  adalah program yang membaca dan menganalisa setiap protokol yang melewati mesin di mana program tersebut diinstal. Secara default, sebuah komputer dalam jaringan (workstation) hanya mendengarkan dan merespon paket-paket yang dikirimkan kepada mereka. Namun demikian, kartu jaringan (network card) dapat diset oleh beberapa program tertentu, sehingga dapat memonitor dan menangkap semua lalu lintas jaringan yang lewat tanpa peduli kepada siapa paket tersebut dikirimkan. Aktifitasnya biasa disebut dengan sniffing. Untuk dapat membaca dan menganalisa setiap protokol yang melewati mesin, diperlukan program yang bisa membelokkan paket ke komputer attacker.  Biasa disebut serangan spoofing. Attaker akan bertindak sebagai Man-In-the-Middle (MIM).

  

Koneksi TCP sebelum spoofing

Gambar di atas mengilustrasikan koneksi TCP yang sebenarnya, tanpa ada sebuah host yang bertindak sebagai  MIM.Kemudian host attacker menjalankan program Spoofing, berarti host attacker akan bertindak sebagai host yang dilewati data antara host client dan host server.

Koneksi TCP setelah Spoofing

Setelah host attacker menjadi host yang berada di tengah-tengah dari dua host yang saling berkomunikasi, kemudian attacker melakukan analisa traffic dengan menjalankan program ethereal. Dengan menganalisa traffic TCP yang sudah tercapture, attacker dapat mengetahui apa saja yang dilakukan oleh host client terhadap host server.

follow TCP Stream yang dijalankan oleh attacker

Ada dua macam serangan spoofing yang terjadi :
1.  ARP Spoofing,
ARP sppofing  yang  bekerja dalam satu jaringan  dan berusaha menggantikan MAC address yang sebenarnya dengan MAC address penyerang sehingga ketika si target berkomunikasi dengan orang lain, maka harus melewati penyerang, selanjutnya data bisa disadap.
ARP Spoofing merupakan  awal serangan selanjutnya, biasanya serangan ini diteruskan dengan melakukan pengambilalihan session atau yang biasa disebut session hijacking merupakan serangan yang mengambil alih sebuah session pada satu koneksi jaringan.Secara garis besar dibagi menjadi dua tipe, yaitu  active session hijacking dan passive session hijacking.

Active Session Hijacking
Pada serangan ini, attacker mengambil alih sebuah session yang terjadi dengan cara memutuskan sebuah komunikasi yang terjadi. Attacker  bertindak sebagai man-in-the-middle dan aktif dalam komunikasi antara client dengan server. Serangan ini membutuhkan keahlian untuk menebak nomer sequence  (SEQ) dari server, sebelum client dapat merespon server. Pada saat ini, nomer  sequence yang dibuat oleh setiap sistem operasi berbeda-beda. Cara yang lama adalah dengan menambahkan nilai konstan untuk nomer sequence  selanjutnya. Sedangkan mekanisme yang baru adalah dengan membuat nilai acak untuk membuat nilai awal dari nomer sequence ini.
Ketika sebuah komputer  client melakukan koneksi terhadap komputer  server, attacker menyisipkan komputernya di antara dua koneksi tersebut. Ada empat proses untuk melakukan active session hijacking, antara lain:

• Tracking the connection (mencari koneksi yang sedang terjadi)

Attacker akan mencari target, yaitu client dan server yang akan melakukan komunikasi. Attacker menggunakan  sniffer  untuk mencari target atau dengan mengidentifikasi host yang diinginkan dengan menggunakan scanning tool seperti nmap. Sebelum mengetahui siapa yang akan melakukan komunikasi dan pada port berapa komunikasi tersebut berjalan,  attacker  harus melakukan  ARP Spoofing terhadap dua host yang saling berkomunikasi.
Cara ini dilakukan agar  attacker  dapat melihat komunikasi yang terjadi, kemudian dapat mengetahui nomer sequence (SEQ) dan acknowledgement (ACK) yang diperlukan. Nomer ini digunakan oleh attacker  untuk memasukkan paket diantara dua komunikasi.

• Desynchronizing the connection (Melakukan pembelokan koneksi)

Langkah ini dilakukan ketika sebuah koneksi sudah terjadi  antara client dan server yang tidak sedang mengirimkan data.  Dalam keadaan ini, nomer sequence (SEQ) dari server tidak sama dengan nomer sequence (SEQ) dari client yang melakukan komunikasi.  Begitu juga sebaliknya, nomer nomer  sequence (SEQ) dari client tidak sama dengan nomer sequence (SEQ) dari server.
Untuk melakukan desynchronisasi koneksi antara client dan server, nomer SEQ atau ACK dari server harus dirubah. Hal ini dapat dilakukan, jika dikirimkan data kosong (null data) ke server. Sehingga nomer  SEQ  atau  ACK  dari server akan berubah, sedangkan nomer  SEQ  atau  ACK  dari client yang melakukan komunikasi dengan server tidak berubah atau terjadi penambahan.

• Resetting Connection (Membuat koneksi baru)

Setelah melakukan desynchronisasi,  attacker  mengirimkan  sebuah  reset flag  ke server. Hal ini dilakukan untuk membuat koneksi baru dengan nomer sequence  yang berbeda. Komunikasi antara client dengan server yang terjadi sebelumnya akan terputus.

• Injecting Packet (Memasukkan paket)

Pada langkah ini, attacker dapat melakukan interupsi terhadap komunikasi antara client dan server, sehingga  attacker dapat memasukkan paket lain pada koneksi tersebut.

Passive Session Hijacking
Serangan pembajakan session yang dilakukan secara pasif dapat dilakukan menggunakan sniffer. Alat ini dapat memberikan seorang attacker  informasi berupa id user dan password dari client yang sedang melakukan login ke server. ID user dan password ini dapat digunakan oleh attacker untuk melakukan login pada lain waktu. Sniffing password merupakan contoh serangan yang dapat dilakukan ketika attacker memperoleh akses pada suatu jaringan

Beberapa hal yang bisa dipakai untuk menanggulangi arp spoofing adalah : gunakan arp tabel secara permanen dan gunakan enkripsi

2.  IP Spoofing yang bekerja antar jaringan
IP spoofing  adalah membuat paket IP menggunakan  source IP address  orang lain. Orang yang melakukan serangan DoS (Deniel Of Service) biasanya mengelabuhi target dengan menyamar/IP Headernya diganti dengan IP Header orang lain. Beberapa serangan yang biasa  digunakan  Ping Of Death, Syn Flood, Land Attack, Teradrop.

TUGAS PENDAHULUAN

1. Dalam arp spoofing ada istilah yang disebut dengan arp cache poisoning, jelaskan dengan singkat apa itu arp cache poisoning !
2. Carilah command untuk melakukan bloking terhadap ip  spoofing menggunakan iptables.

PERCOBAAN
1.  Percobaan arp spoofing
a.  Bangun topologi dengan tiga komputer sbb :

b.  Bekerjalah dengan teman sebelah untuk melakukan percobaan ini, setiap kelompok minimal 3 orang. Satu berfungsi sebagai penyerang, 
c.  Install telnet, ftp dan ssh pada PC1, 

• Untuk install telnet lakukan apt-get install telnetd, pilih standalone

Untuk mencoba telnet, buka terminal dan jalankan telnet localhost/no_ip_server_telnet, masukkan user dan password. Untuk keluar ketikkan exit

• Untuk install ftp jalankan apt-get install proftpd 

 Untuk menjalankan ftp jalankan ftp localhost/no_ip_pc1, masukkan user dan password

• Untuk install ssh, jalankan apt-get install ssh

Untuk mencoba ssh, buka terminal dan jalankan ssh localhost/no_ip_server_telnet, masukkan user dan password. Untuk keluar ketikkan exit.

Untuk mencoba secure ftp jalankan sftp localhost/ip_server_tujuan, masukkan user dan password.

d.  Dari komputer attacker, lakukan sbb :

• Install dsniff dari komputer attacker, jalankan apt-get install dsniff.
• Buka terminal baru Jalankan arpspoof –t IP_PC1 IP_PC2
• Buka terminal baru jalankan arpspoof –t IP_PC2 IP_PC_1
• Buka terminal baru jalankan dsniff, amati 

e.  Dari komputer PC2 buka terminal, lakukan telnet ke PC1, amati hasil dnsiff apa output dari dsniff.
f.  Dari komputer PC2 buka terminal, lakukan ftp ke PC1, amati hasil dnsiff apa output dari dsniff
g.  Dari komputer PC2 buka terminal, lakukan ssh ke PC1, amati hasil dnsiff apa output dari dsniff.
h.  Dari komputer PC2 buka terminal, lakukan sftp ke PC1, amati hasil dnsiff apa output dari dsniff.
i.  Buat kesimpulan praktikum Anda.

b.  Percobaan packet Sniffing dengan Ethercap, buat topologi sama dengan percobaan 1
     a. Diasumsikan PC1 sudah terinstall telnet, ftp dan ssh, PC2 sebagai client yang akan koneksi ke PC1
     b. PC3 sebagai attacker lakukan installasi attercap dan konfigurasi :

• Dari terminal jalan perintah apt-get install ettercap
• Konfigurasi vile /etc/etter.conf dan rubah sbb :

 Dan pada configurasi linux aktifkan sbb :

Jalankan ettercap sbb :

ettercap -TqM ARP /IP_TARGET_PC2/ 

T artinya mode Text, q artinya q = quiet mode,  M = man in the middle ARP = tipe protocol man in the middle attack yang digunakan;
Misal sbb :

Amati hasilnya

c. lakukan koneksi ftp dari PC2 ke PC2 dan amati dari attercap, misal di sini dari windows

Hasil pengamatan ethercap

d.  Dari komputer PC2 buka terminal, lakukan telnet ke PC1, amati hasil ettercap apa outputnya
e.  Dari komputer PC2 buka terminal, lakukan ftp ke PC1, amati  hasil ettercap apa outputnya
f.  Dari komputer PC2 buka terminal, lakukan ssh ke PC1, amati hasil ettercap apa outputnya
g.  Dari komputer PC2 buka terminal, lakukan sftp ke PC1, amati hasil dnsiff apa output
h.  Buat kesimpulan praktikum Anda

3.  Percobaan Session Hijacking

• Installasi dan pemakaian hunt 

b.  Percobaan Session Hijacking  Lihat pada  Percobaan session Hijacking pada  file prakt modul 5 sniffing spoofing session hijacking. pdf 
c.  Lakukan percobaan jika PC1 menggunakan ssh apakah hunt masih bisa melakukannya ?
d.  Buat kesimpulan praktikum anda.