Đạo đức Hacking - Đầu độc ARP
Giao thức phân giải địa chỉ (ARP) là một giao thức không trạng thái được sử dụng để phân giải địa chỉ IP thành địa chỉ MAC của máy. Tất cả các thiết bị mạng cần giao tiếp trên mạng đều phát các truy vấn ARP trong hệ thống để tìm ra địa chỉ MAC của các máy khác. Ngộ độc ARP còn được gọi làARP Spoofing.
Đây là cách ARP hoạt động -
Khi một máy cần giao tiếp với máy khác, nó sẽ tra cứu bảng ARP của nó.
Nếu địa chỉ MAC không được tìm thấy trong bảng, ARP_request được phát qua mạng.
Tất cả các máy trong mạng sẽ so sánh địa chỉ IP này với địa chỉ MAC.
Nếu một trong các máy trong mạng xác định địa chỉ này, thì nó sẽ phản hồi ARP_request với địa chỉ IP và MAC của nó.
Máy tính yêu cầu sẽ lưu trữ cặp địa chỉ trong bảng ARP của nó và giao tiếp sẽ diễn ra.
ARP Spoofing là gì?
Các gói ARP có thể được giả mạo để gửi dữ liệu đến máy của kẻ tấn công.
ARP giả mạo xây dựng một số lượng lớn các gói yêu cầu và trả lời ARP giả mạo để làm quá tải công tắc.
Công tắc được đặt trong forwarding mode và sau khi ARP table tràn ngập các phản hồi ARP giả mạo, những kẻ tấn công có thể đánh hơi tất cả các gói mạng.
Những kẻ tấn công làm ngập bộ nhớ cache ARP của máy tính mục tiêu với các mục nhập giả mạo, còn được gọi là poisoning. Đầu độc ARP sử dụng quyền truy cập Man-in-the-Middle để đầu độc mạng.
MITM là gì?
Cuộc tấn công Man-in-the-Middle (viết tắt MITM, MitM, MIM, MiM, MITMA) ngụ ý một cuộc tấn công chủ động trong đó kẻ thù mạo danh người dùng bằng cách tạo kết nối giữa các nạn nhân và gửi tin nhắn giữa họ. Trong trường hợp này, nạn nhân nghĩ rằng họ đang giao tiếp với nhau, nhưng thực tế, tác nhân độc hại điều khiển cuộc giao tiếp.
Một người thứ ba tồn tại để kiểm soát và giám sát lưu lượng liên lạc giữa hai bên. Một số giao thức nhưSSL phục vụ để ngăn chặn kiểu tấn công này.
Ngộ độc ARP - Tập thể dục
Trong bài tập này, chúng tôi đã sử dụng BetterCAP để thực hiện nhiễm độc ARP trong môi trường mạng LAN bằng cách sử dụng máy trạm VMware mà chúng tôi đã cài đặt Kali Linux và Ettercap công cụ để đánh giá lưu lượng cục bộ trong mạng LAN.
Đối với bài tập này, bạn sẽ cần các công cụ sau:
- VMware Workstation
- Hệ điều hành Kali Linux hoặc Linux
- Công cụ Ettercap
- kết nối mạng nội bộ
Note- Cuộc tấn công này có thể xảy ra trong mạng có dây và không dây. Bạn có thể thực hiện cuộc tấn công này trong mạng LAN cục bộ.
Step 1 - Cài đặt máy trạm VMware và cài đặt hệ điều hành Kali Linux.
Step 2 - Đăng nhập vào Kali Linux bằng mật khẩu tên người dùng “root, toor”.
Step 3 - Đảm bảo rằng bạn đã kết nối với mạng LAN cục bộ và kiểm tra địa chỉ IP bằng cách gõ lệnh ifconfig trong thiết bị đầu cuối.
Step 4 - Mở terminal và gõ “Ettercap –G” để bắt đầu phiên bản đồ họa của Ettercap.
Step 5- Bây giờ nhấp vào tab “hít” trên thanh menu và chọn “đánh hơi hợp nhất” và nhấn OK để chọn giao diện. Chúng tôi sẽ sử dụng “eth0” có nghĩa là kết nối Ethernet.
Step 6- Bây giờ nhấp vào tab “máy chủ” trong thanh menu và nhấp vào “quét tìm máy chủ”. Nó sẽ bắt đầu quét toàn bộ mạng để tìm các máy chủ còn sống.
Step 7- Tiếp theo, nhấp vào tab “máy chủ” và chọn “danh sách máy chủ” để xem số lượng máy chủ hiện có trong mạng. Danh sách này cũng bao gồm địa chỉ cổng mặc định. Chúng tôi phải cẩn thận khi chúng tôi chọn mục tiêu.
Step 8- Bây giờ chúng ta phải chọn mục tiêu. Trong MITM, mục tiêu của chúng ta là máy chủ và tuyến đường sẽ là địa chỉ bộ định tuyến để chuyển tiếp lưu lượng. Trong một cuộc tấn công MITM, kẻ tấn công chặn mạng và đánh hơi các gói tin. Vì vậy, chúng tôi sẽ thêm nạn nhân là "mục tiêu 1" và địa chỉ bộ định tuyến là "mục tiêu 2"
Trong môi trường VMware, cổng mặc định sẽ luôn kết thúc bằng “2” vì “1” được gán cho máy vật lý.
Step 9- Trong trường hợp này, mục tiêu của chúng tôi là “192.168.121.129” và bộ định tuyến là “192.168.121.2”. Vì vậy, chúng tôi sẽ thêm mục tiêu 1 làvictim IP và mục tiêu 2 là router IP.
Step 10- Bây giờ nhấp vào “MITM” và nhấp vào “ARP đầu độc”. Sau đó, đánh dấu vào tùy chọn “Sniff remote connection” và nhấp vào OK.
Step 11- Nhấp vào “bắt đầu” và chọn “bắt đầu đánh hơi”. Điều này sẽ bắt đầu nhiễm độc ARP trong mạng, có nghĩa là chúng tôi đã kích hoạt card mạng của mình ở “chế độ lăng nhăng” và bây giờ lưu lượng truy cập cục bộ có thể bị phát hiện.
Note - Chúng tôi chỉ cho phép dò tìm HTTP với Ettercap, vì vậy đừng mong đợi các gói HTTPS sẽ bị phát hiện trong quá trình này.
Step 12- Bây giờ là lúc để xem kết quả; nếu nạn nhân của chúng tôi đăng nhập vào một số trang web. Bạn có thể xem kết quả trên thanh công cụ của Ettercap.
Đây là cách đánh hơi hoạt động. Bạn hẳn đã hiểu việc lấy thông tin xác thực HTTP dễ dàng như thế nào chỉ bằng cách kích hoạt ARP độc hại.
Ngộ độc ARP có khả năng gây ra tổn thất lớn trong môi trường công ty. Đây là nơi mà các tin tặc có đạo đức được chỉ định để bảo mật mạng.
Giống như ngộ độc ARP, có những cuộc tấn công khác như ngập lụt MAC, giả mạo MAC, nhiễm độc DNS, nhiễm độc ICMP, v.v. có thể gây ra tổn thất đáng kể cho mạng.
Trong chương tiếp theo, chúng ta sẽ thảo luận về một kiểu tấn công khác được gọi là DNS poisoning.