Un autre type d’attaque que j’aimerais étudier est l’attaque ICMP Smurf.
Dans ce cas, l’attaquant envoie un grand nombre de requêtes ICMP (Internet Control Message Protocol) à l’adresse de diffusion du réseau et usurpe l’adresse IP de la victime en indiquant que ces requêtes proviennent de l’adresse IP de la victime.
Comme vous le savez, si vous envoyez une requête ping à une adresse de diffusion, tous les dispositifs du réseau recevront la requête ping et y répondront. Dans notre cas, la réponse ping sera envoyée à l’adresse IP usurpée, qui sera, dans notre cas, le routeur MikroTik.

Le pirate a utilisé l’adresse IP de R1 comme IP source du ping et l’a envoyé en tant que destination de diffusion, de sorte que tous les PC le recevront et répondront par un ping à R1, ce qui provoquera un type d’attaque DOS et le routeur ne sera plus fonctionnel.

Maintenant que nous connaissons la théorie, appliquons-la dans un LAB pour réaliser l’attaque et ensuite nous ferons l’atténuation.

 

LAB: Attaque et prévention de Smurf ICMP

J’ai toujours le même scénario que précédemment. Supposons que l’attaquant puisse d’une certaine manière découvrir l’adresse de votre réseau LAN, et qu’il puisse atteindre votre IP publique WAN sur l’internet (en considérant qu’il y a un réseau LAN connecté à R1).

Voyons comment l’attaquant peut lancer l’attaque ICMP Smurf :

La commande sur Kali Linux est la suivante :

La commande signifie que je lance une attaque ICMP par inondation provenant de sources aléatoires, mais la réponse doit aller à la victime qui a l’adresse IP 172.80.80.1 (c’est l’IP usurpée) et l’inondation ICMP va au réseau de diffusion de destination 172.80.80.255.

Ainsi, tous les appareils du réseau local recevront un nombre massif d’ICMP et répondront par un ping à l’appareil victime, à savoir R1.

Voyons ce qui est arrivé au routeur une fois que nous avons lancé l’attaque :

 

Vous pouvez voir ici un grand nombre de demandes d’écho ICMP envoyées au réseau de diffusion 172.80.80.255.

Qu’en est-il des connexions ouvertes sur le routeur au moment de l’attaque ?

Vous pouvez voir qu’un grand nombre de connexions ont été ouvertes sur le routeur et qu’il devrait en garder la trace, et qu’il s’agit toutes de connexions ICMP.