ARP Poisoning

Para prevenir este Ataque, existen configuraciones en Switches Industriales, en marcas como Cisco. Los comandos tienen por nombre DAI (Dynamic ARP Inspection): Este comando permite monitorear las respuestas ARP de los puertos no confiables y comparalos con la tabla del DHCP Snooping. Esto previene ataques basados en ARP. Este Feature tiene que activarse en conjunto con: DHCP Snooping y IP Source Guard. (Tomando como referencia documentos de estudio de CCNP SWITCH) es posible que otras marca tengan otro nombre pero al final el mecanismo de protección es el mismo. Espero sirva de ayuda. Saludos.

Que importante es poder contar con una mitigación a este ataque. Las redes LAN como en este caso, pueden sufrir de esto y es algo increibleeeeee.

ARP Poisoning: La suplantación de ARP es enviar mensajes ARP falsos a la Ethernet. Normalmente la finalidad es asociar la dirección MAC del atacante con la dirección IP de otro nodo, como por ejemplo la puerta de enlace predeterminada.

ARP: El protocolo de resolución de direcciones es un protocolo de comunicaciones de la capa de enlace de datos, ​ responsable de encontrar la dirección de hardware que corresponde a una determinada dirección IP.

Cuál sería el mecanismo para evitar este ataque?

Para mayor información de DAI (Dynamic ARP Inspection): https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SY/configuration/guide/sy_swcg/dynamic_arp_inspection.html

El envenenamiento por ARP consiste en interceptar tráfico entre 2 máquinas realizando lo que se conoce como un “Man In The Middle”. Con esto no tan solo consigue interceptar las comunicaciones, si no que además podría modificar la información intercambiada entre las 2 máquinas

Los ARP Gratuitos son respuestas ARP que no han sido solicitadas. Sirve para modificar la tabla ARP de la víctima y que envíe los paquetes al atacante

Ejemplo:

El atacante le dice a la máquina “A” que él es la máquina “B”
El atacante le dice a la máquina “B” que él es la máquina “A”

A partir de ahora, todos lo paquetes dirigidos a entre ambas máquinas serán enviados al atacante, que este redirigirá los paquetes a la máquina verdadera para no levantar sospechas. Consiguiendo acceso al tráfico enviado entre las 2 máquinas

El atacante envía un ARP gratuito cada ±30 segundos para que no expire

No siempre nos es posible tener una interfaz gráfica, una herramienta de línea de comandos muy sencilla para realizar este ataque es arpspoof

Uso: arpspoof -i <interface> -t <target> -r <host>

Target y Host son las direcciones IP de las victimas

Primero debemos activar enrutamiento de paquetes para poder reenviar los datos que recibimos

echo 1 > /proc/sys/net/ipv4/ip_forward

arpspoof -i eth0 -t 192.168.10.102 -r  192.168.10.254

A partir de ahora todas las comunicaciones que vayan de lubuntu (192.168.10.102) al router 1 (192.168.10.254) serán interceptadas por el atacante

Podemos ejecutar wireshark y capturar el tráfico para su análisis posterior

Por último, cuando finalizamos el ataque pulsamos Ctrl + C para enviar ARP con las MAC reales para no cortar el servicio a la máquina víctima

En mi caso tuve que activar el reenvío de paquetes (ip forwading) por parte de mi maquina hacia la maquina victima para que funcionara el ataque MIT (Man in the Middle).
Esto lo hice con:

echo 1 > /proc/sys/net/ipv4/ip_forward

Es necesario editar el archivo /etc/resolv.conf y agregar
nameserver 1.1.1.1
namerserver 8.8.8.8
Para tener navegación en las maquinas de kali y lubuntu.

ARP es un protocolo que permite traducir direcciones IP a direcciones MAC.

y como bajo esa maquina de lubuntu?

ARP Spoofing

Mediante esta técnica podemos alterar el protocolo ARP para engañar tanto al router como al equipo víctima y situarnos en medio del tráfico para así poder conocerlo. Para ello es importante ya estar dentro de la red que se desea atacar.

Una vez dentro, usamos Wireshark para ver todo el tráfico de red y Ethercap para hacer un ataque de ARP Spoofing. Para ello debemos seguir los siguientes pasos:

• Escanear la red con Ethercap para buscar la ip de los dispositivos conectados.
• Seleccionar como target 1 el dispositivo que se desea analizar, y como target 2 el router.
• Finalmente vamos a la sección de MIMT (Man-in-the-Middle Attack) que tiene el logo del planetica y seleccionamos la primera opción: ARP Poisoning.
• Ahora, solo queda ir a validar los paquetes enviados a través de Wireshark. Recuerda validar por medio de ifconfig que la interfaz de red usada sea la correcta.

Lubuntu no hace ping con Kali, se debe hacer alguna configuración en específico en Lubuntu? Ya que las instrucciones no han Sido claras en todo el proceso de instalación del laboratorio

Buen dia:

DNS poisoning plugin no esta funcionando, ya he googleado y al parecer esta relacionado a SSL, quee puedo hacer? please

Hice todo lo del video. Lo que no me permitio fue navegar por internet desde la maquina de Lubuntu, una vez empeze a enviar el ARP Poisoning desde Ettercap.

Muy buena clase.

Que Interesante este Ataque!