Usando o protocolo ARP para ataque na rede

Boa !! esse post tem por finalidade entender o funcionamento do protocolo ARP na LAN e entender como é possível um ataque na rede através deste protocolo de camada 2…..

 

O protocolo ARP é um padrão TCP/IP necessário definido na RFC 826 e tem um papel fundamental entre os protocolos da camada Internet da sequência TCP/IP, porque permite conhecer o endereço físico de uma placa de rede que corresponde a um endereço IP; é para isto que se chama Protocolo de resolução de endereço (em inglês ARP significa Address Resolution Protocol). 

 

Assim, para fazer a correspondência entre os endereços físicos e os endereços lógicos, o protocolo ARP interroga as máquinas da rede para conhecer o seu endereço físico, seguidamente cria uma tabela de correspondência entre os endereços lógicos e os endereços físicos numa parte memória. Essa tabela ARP vai conter todos os endereços IP com quem a maquina tem uma troca de informações e é nela que vamos trabalhar para ver o funcionamento desta prática.

Vamos ao ataque !!!!

Instale na sua maquina o pacote de programas DSNIFF esse vem com diversos programas incluindo o arpspoof que é o que vamos usar.

vamos entender a topologia do teste.

sendo o ip do gateway 176.16.0.9/24, seu ip 176.16.0.10/24 e 90:e6:ba:7a:a:3a o MAC você vai executar o programa deste modo

root@fullmetal# sudo arpspoof 176.16.0.9

90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a
90:e6:ba:7a:a:3a ff:ff:ff:ff:ff:ff 0806 42: arp reply 176.16.0.9 is-at 90:e6:ba:7a:a:3a

Este mac que aparece ele é da sua placa de rede, não entendeu??? calma……. você está enviando para a rede toda que este novo MAC responde pelo ip 176.16.0.9 (gateway da rede), resumindo tudo todas as requisições de rede vão passar por sua maquina neste instante abilite a passagem de pacotes pelo kernel e abra um sniffer para verificar isso de preferência o WIRESHARK.

Vale lembrar que este procedimento não é indicado para realizar uma auditoria na rede já que irá causar uma baixa na performance da LAN, na visão de um firewall para identificar isso na rede seria simples se tiver um monitoramento constante porque seria fácil identificar um grande numero de pacotes vindos do mesmo lugar. Com o WIRESHARK aberto você poderá ver nas entrelinhas dos pacotes TCP coisas como senhas em texto puro, conversas em texto puro e coisas assim…..

veja um exemplo da autenticação do proxy squid……..

na linha “proxy-authorization: ……… ” e em baixo “Credenciais: usuario:senha”

 

Não me responsabilizo por quais danos causados a rede por conta deste post.

 

Obrigado !!!!!!!!!!!!!