DoS & DDoS — TCP Intercept

TCP est un protocole orienté connexion. Avant tout échange de données, une session est établie en 3 étapes pour garantir que les deux parties sont prêtes à communiquer.

Le routeur doit être configuré pour router entre les deux réseaux 192.168.1.0/24 (serveur) et 192.168.2.0/24 (clients/attaquant).

conf t

! Interface côté serveur HTTP (192.168.1.0/24)
interface fastEthernet0/0
  ip address 192.168.1.254 255.255.255.0
  no shutdown
exit

! Interface côté clients / attaquant (192.168.2.0/24)
interface fastEthernet0/1
  ip address 192.168.2.254 255.255.255.0
  no shutdown
exit

! Centralisation des logs vers le serveur Syslog
logging 192.168.1.1

end
write memory

• fa0/0 — 192.168.1.254Interface connectée au réseau serveur — c'est cette interface qui recevra le trafic filtré par TCP Intercept.
• fa0/1 — 192.168.2.254Interface connectée au réseau clients/attaquant — c'est ici que le SYN Flood sera reçu et intercepté.
• logging 192.168.1.1Envoie tous les événements IOS (dont les alertes TCP Intercept) vers le serveur Syslog pour traçabilité.

Le port mirroring (SPAN) permet de copier tout le trafic d'un port vers un autre port d'analyse — c'est ainsi que les PC Wireshark capturent le trafic sans être dans le flux.

conf t
hostname SW1

! Adresse IP de gestion
interface vlan 1
  ip address 192.168.2.100 255.255.255.0
  no shutdown
exit

! Centraliser les logs vers le serveur Syslog
logging 192.168.1.1

! ── Port Mirroring (SPAN) ─────────────────────────────
! Source : port fa0/24 (lien vers le routeur)
monitor session 1 source interface fa0/24
! Destination : port fa0/23 (PC Wireshark)
monitor session 1 destination interface fa0/23

end
write memory

• monitor session 1 sourceDéfinit le port à surveiller — ici fa0/24, le port relié au routeur. Tout le trafic transitant sur ce port sera copié.
• monitor session 1 destinationDéfinit le port où envoyer la copie du trafic — ici fa0/23, branché au PC Wireshark. Le PC Wireshark voit tout sans être dans le chemin de données.

Avant de lancer l'attaque, vérifier que la topologie fonctionne correctement et que Wireshark capture bien le trafic sur les deux points d'observation.

! Test de connectivité vers le serveur HTTP
ping 192.168.1.1

! Résultat attendu :
Reply from 192.168.1.1: bytes=32 time<1ms TTL=127
Reply from 192.168.1.1: bytes=32 time<1ms TTL=127

! Test d'accès HTTP (navigateur ou curl) :
curl http://192.168.1.1

Filtres Wireshark à appliquer sur les deux captures :

-- Filtrer uniquement le trafic TCP vers/depuis le serveur
tcp && ip.addr == 192.168.1.1

-- Filtrer le trafic TCP depuis/vers le client
tcp && ip.addr == 192.168.2.1

-- Observer uniquement les paquets SYN (durant l'attaque)
tcp.flags.syn == 1 && tcp.flags.ack == 0

• tcp.flags.syn == 1Filtre uniquement les paquets SYN — pendant une attaque SYN Flood, ce filtre montre des milliers de paquets depuis des IPs variées.
• tcp.flags.ack == 0Combiné avec le filtre SYN, exclut les SYN/ACK légitimes — ne garde que les SYN d'ouverture de connexion.

hping3 est un outil de génération de paquets TCP/IP permettant de simuler des attaques DoS. Il permet de contrôler précisément les flags TCP, le port cible et le débit d'envoi.

# Installation de hping3
apt-get install hping3

# Vérifier l'installation
hping3 --version

L'attaque SYN Flood envoie massivement des paquets TCP avec le flag SYN activé sans jamais finaliser le handshake. Le serveur conserve en mémoire toutes les connexions "à moitié ouvertes" jusqu'à épuisement.

# Attaque SYN Flood sur le serveur HTTP
sudo hping3 -I eth0 -i u1 -S -p 80 -c 10 192.168.1.1

# Pour une attaque continue (sans limite de paquets) :
sudo hping3 -I eth0 -i u1 -S -p 80 192.168.1.1

# Résultat attendu :
HPING 192.168.1.1 (eth0 192.168.1.1): S set, 40 headers + 0 data bytes
192.168.1.1 hping statistic ---
10 packets transmitted, 0 packets received, 100% packet loss

• -I eth0Interface réseau de sortie sur Kali.
• -i u1Délai d'1 microseconde entre chaque paquet — génère un trafic extrêmement dense (~1 million de paquets/s).
• -SActive le flag SYN — simule des demandes d'ouverture de connexion sans jamais les finaliser.
• -p 80Cible le port 80 (HTTP) du serveur.
• -c 10Limite à 10 paquets envoyés (retirer pour une attaque continue).

TCP Intercept nécessite une ACL étendue pour définir quel trafic surveiller. Seul le trafic HTTP vers le serveur cible est concerné.

conf t

! Créer l'ACL étendue qui définit le trafic à surveiller
ip access-list extended TCP_INTER

! Surveiller tout le trafic TCP vers le serveur HTTP sur le port 80
10 permit tcp any host 192.168.1.1 eq www

exit

• ip access-list extendedCrée une ACL nommée étendue — nécessaire pour filtrer sur le protocole et le port destination.
• permit tcp any host .1.1 eq wwwIdentifie tout le trafic TCP depuis n'importe quelle source vers 192.168.1.1 sur le port 80 (HTTP). C'est ce trafic que TCP Intercept va surveiller.

Ces quatre commandes activent la protection et définissent les seuils d'intervention automatique.

conf t

! 1. Activer TCP Intercept en mode intercept (valide le handshake)
ip tcp intercept mode intercept

! 2. Associer l'ACL de surveillance
ip tcp intercept list TCP_INTER

! 3. Seuil bas : en dessous de 50 connexions incomplètes/min → laisser expirer
ip tcp intercept one-minute low 50

! 4. Seuil haut : au-delà de 100 connexions incomplètes/min → purger agressivement
ip tcp intercept one-minute high 100

end
write memory

• mode interceptLe routeur intercepte chaque SYN, effectue lui-même le three-way handshake avec le client, puis établit une connexion séparée avec le serveur si le client est légitime. Le serveur n'est jamais exposé aux connexions incomplètes.
• list TCP_INTERRéférence l'ACL qui définit le trafic à surveiller.
• one-minute low 50Si le nombre de connexions incomplètes tombe sous 50/min → retour à la normale, TCP Intercept laisse les connexions expirer naturellement.
• one-minute high 100Si le nombre de connexions incomplètes dépasse 100/min → mode agressif : TCP Intercept commence à purger activement les connexions les plus anciennes.

Afficher la liste des connexions TCP interceptées par le routeur — permet de distinguer les connexions complètes (légitimes) des connexions incomplètes (attaque).

! Afficher l'état des connexions TCP surveillées
show tcp intercept connections

! Résultat AVANT attaque (connexion légitime) :
Established:
Client                Server              State   Create    Timeout  Mode
192.168.2.1:44435     192.168.1.1:80      ESTAB   00:00:05  23:59:55 I

! Résultat PENDANT attaque SYN Flood :
Incomplete:
Client                Server              State    Create   Timeout  Mode
192.168.2.2:2448      192.168.1.1:80      SYNRCVD  00:00:14 00:00:00 I
192.168.2.2:2449      192.168.1.1:80      SYNRCVD  00:00:13 00:00:01 I
192.168.2.2:2450      192.168.1.1:80      SYNRCVD  00:00:12 00:00:02 I
192.168.2.2:2451      192.168.1.1:80      SYNRCVD  00:00:11 00:00:03 I

• ESTABConnexion établie — handshake complet, trafic légitime autorisé vers le serveur.
• SYNRCVDSYN reçu mais handshake non finalisé — typique d'une attaque SYN Flood. TCP Intercept attend un ACK du client.
• Timeout → 00:00:00La connexion incomplète va expirer et être supprimée par TCP Intercept — le serveur ne la verra jamais.

! Afficher les statistiques globales TCP Intercept
show tcp intercept stat

! Résultat attendu pendant l'attaque :
Intercepting new connections using access-list TCP_INTER
99 incomplete, 1 established connections (total 100)
399 connection requests per minute

! Message console quand le seuil haut (100) est atteint :
%TCP-6-INTERCEPT: getting aggressive, count (100/100) 1 min

! Message console quand l'attaque s'arrête (retour sous 50) :
%TCP-6-INTERCEPT: calming down, count (0/50) 1 min

• getting aggressiveLe seuil haut (100) est atteint — TCP Intercept passe en mode agressif et purge les connexions incomplètes les plus anciennes.
• calming downLe nombre de connexions incomplètes est redescendu sous le seuil bas (50) — retour au comportement normal.
• 399 connexions/minTaux de connexions interceptées — utile pour évaluer l'intensité de l'attaque et ajuster les seuils.

Comparer les deux captures Wireshark avant et après le routeur pendant l'attaque avec TCP Intercept actif.

Les événements liés à l'attaque et aux connexions bloquées sont enregistrés sur le serveur Syslog (192.168.1.1).