<h3>Here we will discussed how the attacker exploits the switch to perform MAC flooding attack:</h3>

<h2> 
First of all. What is the mac?</h2>

MAC (Media Access Control) address is a unique identifier assigned to a network&nbsp; for communications on a physical network segment.

<h2> 
Why do we have MAC?</h2>

It is used for identify and&nbsp; secure communication between devices. 
&nbsp;

<h2>What is Mac Flooding attack?</h2>

A MAC flooding attack overwhelms a switch&rsquo;s MAC address table with fake MAC addresses, forcing it to broadcast all traffic to all ports, making it vulnerable to data&nbsp;interception.

&nbsp;

<h2>What is the switch and how it works?</h2>

A network switch is a hardware device that connects multiple devices within a local area network (LAN) and enables communication between them. using MAC addresses to forward data packets only to the specific device for which the data is intended.

A switch forwards data only to the specific port associated with the destination MAC address. This makes it much harder for an attacker to intercept traffic not intended for their device.

&nbsp;

<h2>Disadvantage of the switch</h2>

As we discussed above , the switch is forwards data only to the specific port associated with the destination MAC address and save it in CAM table. But when the CAM table is full. The switch forces to act as a hub and broadcast each traffic comes.

&nbsp;

<h2>What is the CAM table?</h2>

data structure used by the switch to store and map MAC addresses to specific switch ports. Which is allows the switch to efficiently forward data frames to the correct destination port based on the MAC address, improving network performance and security.

<img alt="" src="/media/blog/2024/10/09/scrnn1.jpeg" style="height:457px; width:854px" />

&nbsp;

How the switch broadcasting

<img alt="" src="/media/blog/2024/10/09/scrnn2.png" style="height:714px; width:1600px" />

<h2>How can the attacker exploits the switch to perform mac flooding attack?</h2>

An attacker initiates a large number of network requests, flooding the switch&rsquo;s CAM table with numerous fake MAC addresses. This overwhelms the switch, causing it to exceed its capacity and revert to broadcast mode, where it sends all incoming Ethernet frames to every device on the network, similar to the behavior of a hub. In this state, the attacker can exploit the situation by spoofing the MAC address of a legitimate user, effective intercepting or redirecting the victim&#39;s network traffic.

<img alt="" src="/media/blog/2024/10/09/scrnn3.jpeg" style="height:368px; width:514px" />

&nbsp;

After sending large numbers of fake frames the cam table will be full and then it have to broadcast each frame.

<img alt="" src="/media/blog/2024/10/09/scrnn4.jpeg" style="height:552px; width:898px" />

<h2>How to detect mac flooding?</h2>

Can be detected by Monitor MAC Address Table: Regularly monitor the switch&rsquo;s&nbsp; table for an unusually high number of MAC addresses being associated with a single switch port or multiple ports, significant increase in the number of MAC addresses is an indicator of a MAC flooding attack.

&nbsp;

<h2>how to response if mac flooding attack happened?</h2>

1. Isolate the Malicious Device:

<ul>
	<li>try to Quickly identify the port or device generating the excessive number of MAC addresses.</li>
</ul>

2. Clear the MAC Address Table (CAM Table):

<ul>
	<li>Clear the CAM table on the switch to remove the flooded MAC addresses. This will help restore normal traffic flow and allow legitimate MAC addresses to be relearned.</li>
</ul>

&nbsp;

<h2>How can prevent MAC flooding attacks from occurring?</h2>

1. Implement Port Security on Switches:

<ul>
	<li>Configure port security to limit the number of MAC addresses that can be learned on each switch port. For example, set a maximum of 1 or 2 MAC addresses per port for regular user devices.</li>
</ul>

2. Enable Dynamic ARP Inspection (DAI):

<ul>
	<li>Configure DAI to monitor and validate ARP packets on the network. This helps prevent ARP spoofing, which is often used alongside MAC flooding.</li>
</ul>

&nbsp;

<h2>References :</h2>

<a href="https://www.geeksforgeeks.org/difference-between-hub-and-switch/">**</a><a href="https://www.geeksforgeeks.org/difference-between-hub-and-switch/**">https://www.geeksforgeeks.org/difference-between-hub-and-switch/**</a>

<a href="https://www.infosectrain.com/blog/mac-flooding-attack/">**</a><a href="https://www.infosectrain.com/blog/mac-flooding-attack/**">https://www.infosectrain.com/blog/mac-flooding-attack/**</a>

eLearnSecurity (ejpt slides) .

هنا سنتحدث عن كيفية استغلال المهاجم للمحول لتنفيذ هجوم إغراق عناوين MAC:

<h2>أولاً، ما هو عنوان MAC؟</h2>

عنوان MAC (التحكم في الوصول إلى الوسائط) هو معرف فريد يُعين لشبكة للاتصالات في جزء الشبكة المادي.

&nbsp;

<h2>لماذا نستخدم عنوان MAC؟</h2>

يُستخدم لتحديد وتأمين الاتصال بين الأجهزة.

&nbsp;

<h2>ما هو هجوم إغراق MAC؟</h2>

هجوم إغراق MAC يستغل جدول عناوين MAC الخاص بالمحول من خلال إغراقه بعناوين MAC مزيفة، مما يجبر المحول على إرسال جميع حركة البيانات إلى جميع المنافذ، مما يجعله عرضة لاعتراض البيانات.

&nbsp;

<h2>ما هو المحول وكيف يعمل؟</h2>

المحول هو جهاز مادي يربط بين عدة أجهزة داخل شبكة محلية (LAN) ويُمكِّنها من التواصل فيما بينها. باستخدام عناوين MAC، يقوم المحول بتوجيه حزم البيانات إلى الجهاز المحدد الذي يُراد إرسال البيانات إليه فقط.

المحول يوجه البيانات فقط إلى المنفذ المرتبط بعنوان MAC الوجهة. هذا يجعل من الصعب على المهاجم اعتراض البيانات التي لا تستهدف جهازه.

&nbsp;

<h2>عيوب المحول</h2>

كما ناقشنا أعلاه، يقوم المحول بتوجيه البيانات فقط إلى المنفذ المرتبط بعنوان MAC الوجهة وحفظه في جدول CAM. ولكن عندما يمتلئ جدول CAM، يجبر المحول على التصرف كـ&quot;موزع&quot; ويبث كل حركة المرور التي يستقبلها.

&nbsp;

<h2>ما هو جدول CAM؟</h2>

هو بنية بيانات يستخدمها المحول لتخزين وتعيين عناوين MAC لمنافذ المحول المحددة. يسمح هذا الجدول للمحول بتوجيه حزم البيانات بكفاءة إلى منفذ الوجهة الصحيح استنادًا إلى عنوان MAC، مما يحسن من أداء الشبكة وأمنها.

<img alt="" src="/media/blog/2024/10/09/scrnn1_VRXIxEl.jpeg" style="height:457px; width:854px" />

&nbsp;

كيفية قيام المحول بالبث

<img alt="" src="/media/blog/2024/10/09/scrnn2_oE47X6d.png" style="height:714px; width:1600px" />

<h2>كيف يمكن للمهاجم استغلال المحول لتنفيذ هجوم إغراق MAC؟</h2>

يقوم المهاجم بإطلاق عدد كبير من الطلبات على الشبكة، مما يؤدي إلى إغراق جدول CAM الخاص بالمحول بعدد هائل من عناوين MAC المزيفة. هذا يربك المحول ويتسبب في تجاوز سعة الجدول، مما يجبره على التحول إلى وضع البث، حيث يرسل جميع إطارات الإيثرنت الواردة إلى كل جهاز على الشبكة، تمامًا كما يعمل الموزع. في هذه الحالة، يمكن للمهاجم استغلال الوضع عن طريق تزوير عنوان MAC الخاص بمستخدم شرعي واعتراض حركة المرور أو إعادة توجيهها بنجاح.

<img alt="" src="/media/blog/2024/10/09/scrnn3_rCeeayJ.jpeg" style="height:368px; width:514px" />

&nbsp;

بعد إرسال عدد كبير من الإطارات المزيفة، سيمتلئ جدول CAM، مما يجبر المحول على بث كل إطار.

<img alt="" src="/media/blog/2024/10/09/scrnn4_atq65rT.jpeg" style="height:552px; width:898px" />

<h2>كيف يمكن اكتشاف هجوم إغراق MAC؟</h2>

يمكن اكتشافه من خلال مراقبة جدول عناوين MAC: راقب جدول عناوين MAC الخاص بالمحول بانتظام لاكتشاف أي عدد غير طبيعي من العناوين المرتبطة بمنفذ واحد أو عدة منافذ. يعتبر الزيادة الكبيرة في عدد عناوين MAC مؤشرًا على هجوم إغراق MAC.

&nbsp;

<h2>كيف يمكن الرد في حال حدوث هجوم إغراق MAC؟</h2>

1. عزل الجهاز الضار:

<ul>
	<li>حاول تحديد المنفذ أو الجهاز الذي يولد العدد المفرط من عناوين MAC بسرعة.</li>
</ul>

2. مسح جدول عناوين MAC (جدول CAM):

<ul>
	<li>قم بمسح جدول CAM في المحول لإزالة عناوين MAC المغمورة. سيساعد ذلك في استعادة تدفق الحركة الطبيعي وتمكين المحول من إعادة تعلم عناوين MAC الشرعية.</li>
</ul>

&nbsp;

<h2>كيف يمكن منع حدوث هجمات إغراق MAC؟</h2>

1. تطبيق أمان المنافذ على المحولات:

<ul>
	<li>قم بتكوين أمان المنافذ لتحديد عدد عناوين MAC التي يمكن تعلمها على كل منفذ. على سبيل المثال، قم بتحديد حد أقصى 1 أو 2 عنوان MAC لكل منفذ للأجهزة المستخدم العادية.</li>
</ul>

2. تفعيل فحص ARP الديناميكي (DAI):

<ul>
	<li>قم بتكوين DAI لمراقبة وتحقق حزم ARP على الشبكة. يساعد هذا في منع تزوير ARP الذي غالبًا ما يُستخدم جنبًا إلى جنب مع هجمات إغراق MAC.</li>
</ul>

&nbsp;

<h2>المراجع:</h2>

<ul>
	<li>
	<a href="https://www.geeksforgeeks.org/difference-between-hub-and-switch/">*</a><a href="https://www.geeksforgeeks.org/difference-between-hub-and-switch/**">https://www.geeksforgeeks.org/difference-between-hub-and-switch/**</a>
	</li>
	<li><a href="https://www.infosectrain.com/blog/mac-flooding-attack/">*</a><a href="https://www.infosectrain.com/blog/mac-flooding-attack/**">https://www.infosectrain.com/blog/mac-flooding-attack/**</a></li>
</ul>

eLearnSecurity (ejpt slides).

Netcat-Reverse-Shells

A Reverse Shell is essentially a session that initiates from a remote machine i.e. target machine towards the attacker machine. The attacker machine is listening on a specified port for communication, on which it receives connection from the target machine.

الاتصال العكسي هو في الأساس جلسة يتم بدء تشغيلها من جهاز بعيد، أي الجهاز المستهدف، نحو الجهاز المهاجم. يستمع الجهاز المهاجم على منفذ محدد للاتصال، حيث يتلقى اتصالاً من الجهاز المستهدف

Netcat Reverse Shells

تكنيك ال Netcat Reverse Shells

MAC-Flooding-attack

A network switch is a hardware device that connects multiple devices within a local area network (LAN) and enables communication between them. using MAC addresses to forward data packets only to the specific device for which the data is intended.

المحول هو جهاز مادي يربط بين عدة أجهزة داخل شبكة محلية (LAN) ويُمكِّنها من التواصل فيما بينها. باستخدام عناوين MAC، يقوم المحول بتوجيه حزم البيانات إلى الجهاز المحدد الذي يُراد إرسال البيانات إليه فقط.

هجمة ال MAC Flooding

Feras aljunaid

اقرأ التالي

تكنيك ال Netcat Reverse Shells