Этический взлом - отравление ARP

Протокол разрешения адресов (ARP) - это протокол без сохранения состояния, используемый для преобразования IP-адресов в MAC-адреса компьютеров. Все сетевые устройства, которым необходимо обмениваться данными в сети, транслируют ARP-запросы в систему, чтобы узнать MAC-адреса других машин. Отравление ARP также известно какARP Spoofing.

Вот как работает ARP -

Когда одной машине необходимо связаться с другой, она просматривает свою таблицу ARP.
Если MAC-адрес не найден в таблице, ARP_request транслируется по сети.
Все машины в сети будут сравнивать этот IP-адрес с MAC-адресом.
Если одна из машин в сети идентифицирует этот адрес, то она ответит на ARP_request с его IP и MAC-адресом.
Запрашивающий компьютер сохранит адресную пару в своей таблице ARP, и произойдет обмен данными.

Что такое спуфинг ARP?

Пакеты ARP могут быть подделаны для отправки данных на машину злоумышленника.

При подмене ARP создается большое количество поддельных пакетов запроса и ответа ARP для перегрузки коммутатора.
Переключатель установлен в forwarding mode и после ARP table переполнен поддельными ответами ARP, злоумышленники могут прослушивать все сетевые пакеты.

Злоумышленники наводняют ARP-кеш целевого компьютера поддельными записями, что также известно как poisoning. Отравление ARP использует доступ «человек посередине» для заражения сети.

Что такое MITM?

Атака Man-in-the-Middle (сокращенно MITM, MitM, MIM, MiM, MITMA) подразумевает активную атаку, при которой злоумышленник выдает себя за пользователя, создавая соединение между жертвами и отправляя сообщения между ними. В этом случае жертвы думают, что общаются друг с другом, но на самом деле злоумышленник контролирует общение.

Третье лицо существует для управления и мониторинга трафика связи между двумя сторонами. Некоторые протоколы, такие какSSL служат для предотвращения атак этого типа.

Отравление ARP - Упражнение

В этом упражнении мы использовали BetterCAP для выполнения отравления ARP в среде LAN с помощью рабочей станции VMware, на которой мы установили Kali Linux и Ettercap инструмент для прослушивания локального трафика в локальной сети.

Для этого упражнения вам понадобятся следующие инструменты -

Рабочая станция VMware
Kali Linux или операционная система Linux
Инструмент Ettercap
подключение по локальной сети

Note- Эта атака возможна в проводных и беспроводных сетях. Вы можете выполнить эту атаку в локальной сети.

Step 1 - Установите рабочую станцию VMware и установите операционную систему Kali Linux.

Step 2 - Войдите в Kali Linux, используя пароль пользователя root, toor.

Step 3 - Убедитесь, что вы подключены к локальной сети, и проверьте IP-адрес, набрав команду ifconfig в терминале.

Step 4 - Откройте терминал и введите «Ettercap –G», чтобы запустить графическую версию Ettercap.

Step 5- Теперь щелкните вкладку «sniff» в строке меню, выберите «unified sniffing» и нажмите OK, чтобы выбрать интерфейс. Мы собираемся использовать «eth0», что означает соединение Ethernet.

Step 6- Теперь щелкните вкладку «хосты» в строке меню и нажмите «сканировать хосты». Он начнет сканирование всей сети на предмет активных хостов.

Step 7- Затем щелкните вкладку «Хосты» и выберите «Список хостов», чтобы увидеть количество хостов, доступных в сети. Этот список также включает адрес шлюза по умолчанию. Мы должны быть осторожны при выборе целей.

Step 8- Теперь нужно выбрать цели. В MITM нашей целью является хост-машина, а маршрутом будет адрес маршрутизатора для пересылки трафика. При атаке MITM злоумышленник перехватывает сеть и перехватывает пакеты. Итак, мы добавим жертву как «цель 1», а адрес маршрутизатора как «цель 2».

В среде VMware шлюз по умолчанию всегда будет заканчиваться цифрой «2», поскольку «1» назначена физической машине.

Step 9- В этом сценарии наша цель - 192.168.121.129, а маршрутизатор - 192.168.121.2. Итак, мы добавим цель 1 какvictim IP и цель 2 как router IP.

Step 10- Теперь нажмите «MITM» и нажмите «Отравление ARP». После этого отметьте опцию «Отслеживание удаленных подключений» и нажмите «ОК».

Step 11- Нажмите «Пуск» и выберите «Начать поиск». Это запустит отравление ARP в сети, что означает, что мы включили нашу сетевую карту в «беспорядочном режиме», и теперь локальный трафик можно прослушивать.

Note - Мы разрешили только HTTP-сниффинг с Ettercap, поэтому не ожидайте, что HTTPS-пакеты будут прослушиваться этим процессом.

Step 12- Теперь пора увидеть результаты; если наша жертва авторизовалась на некоторых сайтах. Вы можете увидеть результаты на панели инструментов Ettercap.

Вот как работает обнюхивание. Вы должны понимать, насколько легко получить учетные данные HTTP, просто включив отравление ARP.

Отравление ARP может привести к огромным потерям в корпоративной среде. Это место, куда назначаются этические хакеры для защиты сетей.

Как и отравление ARP, существуют и другие атаки, такие как наводнение MAC, подмена MAC, отравление DNS, отравление ICMP и т. Д., Которые могут нанести значительный ущерб сети.

В следующей главе мы обсудим другой тип атаки, известный как DNS poisoning.