Black Hat Windows 2002 - Taranis

乙太網交換機被設計來改善網路性能與可用性，採用星型拓撲替代共享背板架構。然而這些設備從未考慮安全因素。交換機內部維護CAM表（內容可尋址記憶體表），儲存連接埠到MAC地址的對應關係，用於高效轉發數據包。交換機通過觀察進入各連接埠的源地址來動態更新CAM表，通常在接收到新源地址後立即更新。這個自動機制存在根本的安全漏洞。

攻擊者可以發送看起來來自受害主機（例如在連接埠5）的MAC地址的數據包，但實際從攻擊者的連接埠（例如連接埠3）發出。交換機會更新CAM表，錯誤地將該MAC地址關聯到攻擊者的連接埠。當真正的受害主機發送流量時，交換機再次更新表項。攻擊者無需持續發送大量數據包，只需每30秒左右發送一次虛假數據包，即可維持對CAM表的控制，因為大多數交換機都有數分鐘的超時機制。

Tyrannis工具的運作方式精妙而有效。第一個執行緒循環發送偽造源MAC地址的數據包，不斷污染CAM表，使交換機持續將目標流量轉向攻擊者的連接埠。第二個執行緒冒充POP3或IMAP伺服器，等待客戶端連接。整個交互過程中，受害機器認為自己正在與真實郵件伺服器通訊。Tyrannis完整記錄所有交互內容，包括用戶名和密碼，然後允許連接繼續或中斷。演示中，攻擊者成功截取Windows XP上Outlook用戶的完整登入憑證，整個過程毫無異常提示。

此攻擊相比ARP快取污染具有決定性優勢。ARP污染在網路層和資料鏈結層交界運作，極容易被偵測（多個MAC地址應答同一IP地址即可發現）。而CAM表投毒完全在二層運作，由於乙太網框架本身不包含連接埠信息，任何監控設備都無法確定數據包來自哪個連接埠。攻擊者可模仿網路中已存在的正常流量模式進行攻擊，無需發送任何異常數據包，使其幾乎完全隱形。即使對交換機進行監控，由於沒有通用的偵測簽名，IDS也難以防禦。

防禦方面，業界常見的方案都存在缺陷。連接埠安全與連接埠鎖定在某些設備上根本不起作用（特別是思科2900系列），且對於頻繁移動設備的環境（筆記型電腦、行動裝置）完全不可行。定期拉取CAM表監控要麼產生過度流量、干擾交換機正常運作，要麼因更新延遲無法及時捕捉動態變化。唯一真正有效的防禦是加密和強身份驗證。所有明文登入協議（POP3、IMAP、Telnet、FTP、CVS等）都可以用相同方式攻擊。解決方案是將密碼登入遷移至SSH，並配置SSH隧道或S/Tunnel（一種無需shell訪問權限的SSH隧道工具），可完全阻止此類攻擊。設定加密隧道並不複雜，幾乎所有作業系統都有相應實作，從維護角度也更為簡便。