Hacking ético - envenenamento ARP

O protocolo de resolução de endereço (ARP) é um protocolo sem estado usado para resolver endereços IP para endereços MAC de máquina. Todos os dispositivos de rede que precisam se comunicar na rede transmitem consultas ARP no sistema para descobrir os endereços MAC de outras máquinas. O envenenamento por ARP também é conhecido comoARP Spoofing.

Aqui está como ARP funciona -

• Quando uma máquina precisa se comunicar com outra, ela consulta sua tabela ARP.

• Se o endereço MAC não for encontrado na tabela, o ARP_request é transmitido pela rede.

• Todas as máquinas na rede irão comparar este endereço IP com o endereço MAC.

• Se uma das máquinas da rede identificar este endereço, ela responderá ao ARP_request com seu endereço IP e MAC.

• O computador solicitante armazenará o par de endereços em sua tabela ARP e a comunicação ocorrerá.

O que é ARP Spoofing?

Os pacotes ARP podem ser forjados para enviar dados à máquina do invasor.

• ARP spoofing constrói um grande número de requisições ARP forjadas e pacotes de resposta para sobrecarregar o switch.

• O interruptor está definido em forwarding mode e depois do ARP table é inundado com respostas ARP falsificadas, os invasores podem farejar todos os pacotes de rede.

Os invasores inundam o cache ARP de um computador de destino com entradas forjadas, também conhecido como poisoning. O envenenamento por ARP usa o acesso Man-in-the-Middle para envenenar a rede.

O que é MITM?

O ataque Man-in-the-Middle (abreviado MITM, MitM, MIM, MiM, MITMA) implica um ataque ativo em que o adversário se faz passar pelo usuário criando uma conexão entre as vítimas e envia mensagens entre eles. Nesse caso, as vítimas pensam que estão se comunicando, mas, na realidade, o agente malicioso controla a comunicação.

Existe uma terceira pessoa para controlar e monitorar o tráfego de comunicação entre duas partes. Alguns protocolos comoSSL servem para prevenir este tipo de ataque.

Envenenamento ARP - Exercício

Neste exercício, usamos BetterCAP para realizar envenenamento de ARP em ambiente LAN usando a estação de trabalho VMware na qual instalamos Kali Linux e Ettercap ferramenta para farejar o tráfego local na LAN.

Para este exercício, você precisaria das seguintes ferramentas -

• Estação de trabalho VMware
• Kali Linux ou sistema operacional Linux
• Ferramenta Ettercap
• conexão LAN

Note- Este ataque é possível em redes com e sem fio. Você pode executar este ataque na LAN local.

Step 1 - Instale a estação de trabalho VMware e instale o sistema operacional Kali Linux.

Step 2 - Faça login no Kali Linux usando a senha do nome de usuário “root, toor”.

Step 3 - Certifique-se de que está conectado à LAN local e verifique o endereço IP digitando o comando ifconfig no terminal.

Step 4 - Abra o terminal e digite “Ettercap –G” para iniciar a versão gráfica do Ettercap.

Step 5- Agora clique na guia “sniff” na barra de menu e selecione “unified sniffing” e clique em OK para selecionar a interface. Vamos usar “eth0” que significa conexão Ethernet.

Step 6- Agora clique na guia “hosts” na barra de menu e clique em “scan for hosts”. Ele começará a escanear toda a rede para os hosts ativos.

Step 7- Em seguida, clique na guia “hosts” e selecione “lista de hosts” para ver a quantidade de hosts disponíveis na rede. Esta lista também inclui o endereço do gateway padrão. Temos que ter cuidado ao selecionar os alvos.

Step 8- Agora temos que escolher os alvos. No MITM, nosso alvo é a máquina host, e a rota será o endereço do roteador para encaminhar o tráfego. Em um ataque MITM, o invasor intercepta a rede e fareja os pacotes. Então, vamos adicionar a vítima como “alvo 1” e o endereço do roteador como “alvo 2”.

No ambiente VMware, o gateway padrão sempre terminará com “2” porque “1” é atribuído à máquina física.

Step 9- Neste cenário, nosso destino é “192.168.121.129” e o roteador é “192.168.121.2”. Então, vamos adicionar o alvo 1 comovictim IP e alvo 2 como router IP.

Step 10- Agora clique em “MITM” e clique em “envenenamento ARP”. Depois disso, marque a opção “Sniff remote connections” e clique em OK.

Step 11- Clique em “iniciar” e selecione “começar a cheirar”. Isso iniciará o envenenamento de ARP na rede, o que significa que habilitamos nossa placa de rede no “modo promíscuo” e agora o tráfego local pode ser detectado.

Note - Permitimos apenas detecção de HTTP com Ettercap, então não espere que pacotes HTTPS sejam detectados com este processo.

Step 12- Agora é hora de ver os resultados; se nossa vítima logou em alguns sites. Você pode ver os resultados na barra de ferramentas do Ettercap.

É assim que funciona a fungada. Você deve ter entendido como é fácil obter as credenciais HTTP apenas habilitando o envenenamento ARP.

O envenenamento por ARP tem o potencial de causar enormes perdas nos ambientes da empresa. Este é o lugar onde hackers éticos são nomeados para proteger as redes.

Como o envenenamento de ARP, existem outros ataques, como inundação de MAC, falsificação de MAC, envenenamento de DNS, envenenamento de ICMP, etc. que podem causar perda significativa para uma rede.

No próximo capítulo, discutiremos outro tipo de ataque conhecido como DNS poisoning.