什么样的网络攻击将交换机变成集线器？

我今天读过一篇文章，描述渗透测试人员如何证明创建一个余额为1400万美元的假银行帐户。但是，描述攻击的一段引人注目：

然后，他“淹没”了交换机-引导数据流量的小盒子-用数据淹没了银行的内部网络。这种攻击将交换机变成一个“集线器”，可以不加选择地广播数据。

我不熟悉所描述的效果。真的有可能通过发送大量流量来强制交换机向其所有端口广播流量吗？在这种情况下到底发生了什么？

switch security

— 卢卡斯
source

此文章/ answer：serverfault.com/questions/345670/…上的其他一些详细信息。

— jfg956

Answers:

这称为MAC泛洪。“ MAC地址”是以太网硬件地址。交换机维护一个CAM表，该表将MAC地址映射到端口。

如果交换机必须将数据包发送到不在其CAM表中的MAC地址，它将像集线器一样将其泛洪到所有端口。因此，如果使用大量MAC地址填充交换机，则将强制将合法MAC地址的条目从CAM表中排除，并且其流量将泛洪到所有端口。

— 大卫·施瓦兹
source

交换机是否有采取任何措施来防止或限制这种情况？

— TheLQ

通常不，但这不是它的工作。交换机的工作是促进LAN中节点之间的通信，而不是实施安全策略或过滤信息。开关是由于使事情变得更快而无意中做到的，而人们愚蠢地将其视为安全。（NAT也发生同样的事情。）由于执行其他操作而“意外地”提供的安全性不应被视为真正的安全性。有一些安全的，受管的交换机可以提供安全性，就像有些NAT实现还包括实际的防火墙一样。

— 大卫·史瓦兹

这称为MAC泛洪，它利用了交换机的CAM表长度有限的事实。如果它们溢出，则交换机将变成集线器，并将每个数据包发送到每个端口，从而迅速使网络瘫痪。

编辑以纠正错误的术语。

— 斯文
source

SvW可能意味着MAC地址表，该表将MAC地址映射到物理端口。大多数交换机为此分配了有限的内存，攻击者可以从随机欺骗的MAC地址发送帧，从而很容易耗尽它。这将导致交换机将帧泛洪到表中尚未存在的任何目标MAC地址的所有端口。幸运的是，可以通过限制可能出现在给定端口上的MAC数量来缓解这种情况。

— James Sneeringer

正确的概念，错误的术语...距离我+1足够近。

— 克里斯S

@ChrisS：那已经是问题了。答案添加的所有内容都不正确。

— David Schwartz

@DavidSchwartz：好吧，我编辑了两个单词，在其中我显然混淆了术语，现在答案是完全正确的。坦率地说，那将是您自己使用该网站的编辑功能的绝佳机会。取而代之的是，人们（不一定是您）使用它在2年的帖子中将“ teh”替换为“ the” ...

— Sven

@SvW：我不认为您使用了错误的术语是显而易见的，因为交换机与ARP有关实际上是一种非常普遍的功能误解。我认为使用“编辑”来完全改变别人的答案是不合适的，即使是从错误到正确。（也许这对我来说是个坏政策。我将在meta上四处搜索，看看我是否超出主流。）

— David Schwartz

如上所述，交换机的MAC表被伪造的MAC地址“中毒了”。使用工具套件中的macof程序很容易做到这一点dsniff。警告：仅在您自己的网络中出于教育目的尝试此操作，否则您将陷入法律麻烦！

http://www.monkey.org/~dugsong/dsniff/

— 弗洛伊德
source