Ataques de Hombre en el Medio: Interceptación con ARP y Ettercap

Para prevenir este Ataque, existen configuraciones en Switches Industriales, en marcas como Cisco. Los comandos tienen por nombre DAI (Dynamic ARP Inspection): Este comando permite monitorear las respuestas ARP de los puertos no confiables y comparalos con la tabla del DHCP Snooping. Esto previene ataques basados en ARP. Este Feature tiene que activarse en conjunto con: DHCP Snooping y IP Source Guard. (Tomando como referencia documentos de estudio de CCNP SWITCH) es posible que otras marca tengan otro nombre pero al final el mecanismo de protección es el mismo. Espero sirva de ayuda. Saludos.

Diego Fernando Ramos Aguirre

Gracias por el aporte.

Oscar Jaramillo

Oscar Jaramillo

ARP Poisoning: La suplantación de ARP es enviar mensajes ARP falsos a la Ethernet. Normalmente la finalidad es asociar la dirección MAC del atacante con la dirección IP de otro nodo, como por ejemplo la puerta de enlace predeterminada.

Diego Fernando Ramos Aguirre

Gracias por el resumen.

Ruben Ariel Villalobos

Hace 7 años

Que importante es poder contar con una mitigación a este ataque. Las redes LAN como en este caso, pueden sufrir de esto y es algo increibleeeeee.

Oscar Jaramillo

ARP: El protocolo de resolución de direcciones es un protocolo de comunicaciones de la capa de enlace de datos, responsable de encontrar la dirección de hardware que corresponde a una determinada dirección IP.

Diego Fernando Ramos Aguirre

Gracias por el resumen.

David Orlando Toloza Gómez

Es necesario editar el archivo /etc/resolv.conf y agregar nameserver 1.1.1.1 namerserver 8.8.8.8 Para tener navegación en las maquinas de kali y lubuntu.

Diego Fernando Ramos Aguirre

Gracias eso me ayudo.

Nicolás Oscar Llorente

Cuál sería el mecanismo para evitar este ataque?

Jose Luis Quintero Sanchez

Oscar Correas Del Gesso

Algunos aplicaciones a nivel de los host (fabricantes de antimalware para windows) ya también detectan este tipo de ataques y generan alertas

David Zhou Yang

El envenenamiento por ARP consiste en interceptar tráfico entre 2 máquinas realizando lo que se conoce como un “Man In The Middle”. Con esto no tan solo consigue interceptar las comunicaciones, si no que además podría modificar la información intercambiada entre las 2 máquinas

Los ARP Gratuitos son respuestas ARP que no han sido solicitadas. Sirve para modificar la tabla ARP de la víctima y que envíe los paquetes al atacante

Ejemplo:

El atacante le dice a la máquina “A” que él es la máquina “B” El atacante le dice a la máquina “B” que él es la máquina “A”

A partir de ahora, todos lo paquetes dirigidos a entre ambas máquinas serán enviados al atacante, que este redirigirá los paquetes a la máquina verdadera para no levantar sospechas. Consiguiendo acceso al tráfico enviado entre las 2 máquinas

El atacante envía un ARP gratuito cada +-30 segundos para que no expire

No siempre nos es posible tener una interfaz gráfica, una herramienta de línea de comandos muy sencilla para realizar este ataque es arpspoof

Uso: arpspoof -i <interface> -t <target> -r <host>

Target y Host son las direcciones IP de las victimas

Primero debemos activar enrutamiento de paquetes para poder reenviar los datos que recibimos

echo 1 > /proc/sys/net/ipv4/ip_forward

arpspoof -i eth0 -t 192.168.10.102 -r  192.168.10.254

A partir de ahora todas las comunicaciones que vayan de lubuntu (192.168.10.102) al router 1 (192.168.10.254) serán interceptadas por el atacante

Podemos ejecutar wireshark y capturar el tráfico para su análisis posterior

Por último, cuando finalizamos el ataque pulsamos Ctrl + C para enviar ARP con las MAC reales para no cortar el servicio a la máquina víctima

Javier Ramos

Hace 3 años

Excelente explicación

Jefferson Pacheco Suárez

Hace 3 años

ARP Spoofing

Mediante esta técnica podemos alterar el protocolo ARP para engañar tanto al router como al equipo víctima y situarnos en medio del tráfico para así poder conocerlo. Para ello es importante ya estar dentro de la red que se desea atacar.

Una vez dentro, usamos Wireshark para ver todo el tráfico de red y Ethercap para hacer un ataque de ARP Spoofing. Para ello debemos seguir los siguientes pasos:

Escanear la red con Ethercap para buscar la ip de los dispositivos conectados.
Seleccionar como target 1 el dispositivo que se desea analizar, y como target 2 el router.
Finalmente vamos a la sección de MIMT (Man-in-the-Middle Attack) que tiene el logo del planetica y seleccionamos la primera opción: ARP Poisoning.
Ahora, solo queda ir a validar los paquetes enviados a través de Wireshark. Recuerda validar por medio de ifconfig que la interfaz de red usada sea la correcta.

Diego Fernando Ramos Aguirre

Gracias por el resumen.

Alex De la Cruz

y como bajo esa maquina de lubuntu?

luis

Puedes descargarla desde aquí https://lubuntu.me/downloads/ O entras en ubuntu.com y en la categoria de 'sabores de Ubuntu' lo encontraras. Un saludo!

Alex De la Cruz

Listo. Ya lo monte y puedo seguir con esto. Agradezco tu apoyo Luis. Saludos!

Edwin Absalón Martinez Moreno

Hace 3 años

Deje de tomar apuntes y comence a cuestionar, me a ayudado a interiorizar mejor que solo tomar notas.

Aporten dudas please.

¿Qué es el protocolo ARP? ¿Cómo se puede prevenir el ARP Poisoning? ¿Qué es un ataque man in the middle? ¿En qué protocolos se puede realizar un ataque man in the middle? ¿Cuándo utilizo cada tipo de sniffing?

Jose Luis Quintero Sanchez

Para mayor información de DAI (Dynamic ARP Inspection):

Valentin Francisco Blanco

En mi caso tuve que activar el reenvío de paquetes (ip forwading) por parte de mi maquina hacia la maquina victima para que funcionara el ataque MIT (Man in the Middle). Esto lo hice con:

echo 1 > /proc/sys/net/ipv4/ip_forward

Julián Mejia

ARP es un protocolo que permite traducir direcciones IP a direcciones MAC.

Marvin Javier Santos Fernández

Hace 7 meses

Gracias Por La Información.

CORILLA CANCHARI JOSE LUIS

tengo problemas con el ettercap, ya que no me lista ninguna de las direcciones IP. hice la prueba y si hago ping de internet y del switch! alguna pista para solucionar?

Miguel Salgado

¿Escaneaste las direcciones IP? ¿Tienes LUbuntu o TinyCore instalado?

Julio Cesar Olarte Bernal

De donde obtuvieron Lububtu

Giancarlo De Bello

Hola, en mi caso lo descargue de la web oficial Lubuntu y procedi a montar el VirtualBox, el proceso no es complicado, en el Curso de Introduccion al pentesting del mismo profesor se realizan estos procesos. (Recomiendo asignar 1GB de RAM)

Saludos!

Tyler Valencia

En cuál clase instalo Lubuntu?

Héctor Eduardo López Carballo

¡Hola!

En el Curso de Prework: Configuración de Entorno de Desarrollo en Linux te muestran cómo instalar Ubuntu, pero los pasos son muy similares para instalar las distros más populares, puedes tomarlo de referencia para instalar Lubuntu.

David Orlando Toloza Gómez

¿ Qué herramientas me recomendarían en este ataque ?

José Cárdenas

Esta usando el Ethercap, lo menciona en la clase.

Saúl Diaz

No sé qué hacer aquí, ya que en el curso se ve que la aplicacion grafica de Ettercap tiene muchas funcionas en dicha interfaz grafica, pero el problema que tengo es que no me sale nada parecido a las opciones que sale en el curso (Ettercap version del 2019) No me sale nada parecido, no se como seguir con el curso desde el min: 5:32 si no hay nada que se parezca que hace el profesor. No sé qué hacer :(

Saúl Diaz