Computerbeveiliging - Hoe je bad guys buiten de deur houdt

MAC adres

11-01-2013, 14:37 door M_iky, 5 reacties
Allen, een interessant probleem tegengekomen bij een collega. Die wou een laptop toegang geven tot zijn netwerk door middel van het mac adres toe te voegen in zijn router config (even terzijde of dit nu wel of niet best-practice is). Bij nazicht dmv ipconfig/all zag hij bij zijn lan instellingen in cmd volgend mac adres verschijnen : FF:7F:FF:FF:FF:FF. Als ik het goed begrijp is dit toch een multicast adres. Hoe komt dit op zijn ethernet kaart en hoe vinden we het origineel mac adres terug?
Reacties (5)
11-01-2013, 14:50 door Anoniem
Dat is multicast en locally administered, dus als dat vanuit de fabriek erinzit, dan heeft die fabriek de boel toch mooi bedonderd. Je ziet wel vaker dat er onzin in zulke kaartjes staat --een hele batch met allemaal 00:00:00:00:00:00 bijvoorbeeld ("even vergeten" ieder kaartje een adres te geven), of een ding dat gewoon een willekeurig MAC adres verzint als'ie opstart-- maar meestal is dat supergoedkope chinese meuk die je eigenlijk ook om andere redenen toch niet op je netwerk hebben wil. In dit geval lijkt het erop dat er iets stuk is, want alle bitjess aan behalve precies eentje is wel een beetje raar ook.

Je kan natuurlijk nog even vanuit die machine een ping ergens anders heen doen en dan daar elders de arp tabel uitlezen, kijken of er dan iets zinnigers te zien is. Kijk ook even na of er geen virtuele machines in het spel zijn.
11-01-2013, 15:57 door SirDice
Dat is een multicast MAC adres inderdaad. En via de eigenschappen van de interface, tabblad Advanced kun je meestal het MAC adres aanpassen. Meestal is daar niets ingevuld (dan wordt het werkelijke adres van de kaart gebruikt).
11-01-2013, 16:12 door Erik van Straten
Door M@iky: FF:7F:FF:FF:FF:FF. Als ik het goed begrijp is dit toch een multicast adres.
Zoals SirDice zegt, dat is inderdaad multicast (het lage bit van de eerste byte is gezet, hex FF = binair 1111 1111).
Hoe komt dit op zijn ethernet kaart
Ik denk niet dat het ethernetadres op de netwerkkaart zelf gewijzigd is, ik denk eerder aan corruptie van het Windows register.

De makkelijkste manier is de tip van SirDice volgen. Kun je zo geen adres vinden en wijzigen, dan helpt het volgende wellicht. Als je niet weet hoe je met regedit om moet gaan, lees dan verder (na de volgende quote met jouw tekst). Als je dit wel snapt (alles op eigen risico natuurlijk), open dan HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\ (bron: http://www.windowsreference.com/networking/how-to-change-mac-address-in-windows-registry/).

Daaronder zie je subkeys 0001, 0002 etc. Open die 1 voor 1 totdat je de naam van de netwerkkaart herkent. Op mijn PC zie ik bijv. onder HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0009\ de valuename "DriverDesc" met waarde "Broadcom NetXtreme 57xx Gigabit Controller". Ietsje daaronder staat bij mij de valuename "NetworkAddress" waarvan de waarde leeg is (deze valuename hoeft overigens niet voor te komen). Doordat deze leeg is wordt het MAC-adres "van de netwerkkaart" gebruikt (de netwerkkaart voegt dit niet zelf toe aan uitgaande pakketjes, Windows/de driver vraagt die op uit een stukje flash-geheugen of read-only memory op de netwerkkaart en gebruikt dat, mits niet overruled door een registerwaarde).

Het zou mij niet verbazen als bij jouw collega "NetworkAddress" een string is met als waarde "FF7FFFFFFFFF" (of iets langers met die reeks aan het begin of op het einde). Je kunt die waarde dan gewoon leegmaken en de computer opnieuw opstarten.

en hoe vinden we het origineel mac adres terug?
Start vanaf een Linux live CD/DVD en draai ifconfig.

Is dat nu te lastig en wil je niet zelf in het register rondhacken, dan kun je tijdelijk een willekeurig MAC-adres genereren en met een tooltje "invoeren" in Windows. Belangrijk is dat je een uniek MAC-adres gebruikt in de lokale netwerken waar je contact mee maakt. Je kunt op de gok iets randoms genereren (VMware doet dat ook) of je kunt bijv. 02-60-8C-70-57-06 erop zetten (dat is van een hele oude 3Com 3c503 10Mbps coax netwerkkaart die ik ooit heb weggegooid).

Vanaf http://www.neset.com/ kun je k-mac downloaden (een zipfile), daarmee kun je het MAC-adres van je PC wijzigen. Dat wil zeggen, in het Windows register, zoals hierboven beschreven.

De actuele versie van K-MAC is 2.0.0.0 Beta (van 19.04.2010). In https://www.virustotal.com/file/21f0ab6cbf8f04747cad337f58c7971803dfbe81550bf57e9376f3f83e8a3ef8/analysis/ zie je dat TrendMicro-HouseCall meent dat er een "Generic" trojan in zit. Ik heb deze net zelf gedraaid, zonder problemen, maar garanties kan ik natuurlijk niet geven (dit is een scan van k-mac.exe, dus na uitpakken van de zipfile). Draaien op eigen risico dus!

Nb. het wijzigen van het MAC-adres zou tot licentieproblemen met Windows en Office kunnen leiden. Ik vond het netwerkadres (in de notatie met streepjes, dus xx-xx-xx-xx-xx-xx) van m'n vaste netwerkkaart terug onder HKLM\SOFTWARE\Microsoft\Office Genuine Advantage\ en HKLM\SOFTWARE\Microsoft\Windows Genuine Advantage\ ...

Succes!
11-01-2013, 16:31 door Anoniem
Misschien kun je gewoon via ControlPanel en dan via de driver van de
netwerkkaart het MAC-adres wijzigen, da's wel zo makkelijk. Veel
drivers staan dit namelijk al toe.
13-01-2013, 13:56 door M_iky
Bedankt voor de verhelderende uitleg, zal het doorspelen aan de betrokkene. Wat ik echter nog niet snap is waarom er voor een verbinding een multicast adres uitgegeven (gebruikt) wordt? En inderdaad Erik, na het wijzigen van het MAC adres kreeg de persoon last van licentieproblemen met zijn geldige installatie... :-(
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.