Juist, dus laten we het hebben
over hoe we ARP poisoning aanvallen kunnen detecteren.
Laat me je eerst de ARP-tabellen tonen.
Dus op ons Windows apparaat,
het apparaat dat we altijd aanvallen,
voer ik het commando arp-a uit, om alle entries
in de ARP-tabel op te sommen.
Elke computer heeft dus een ARP-tabel
en die tabel koppelt IP-adressen aan Mac-adressen.
We zien dus het IP-adres van de router, en dat
is 10. 20. 14. 1, is
geassocieerd met het Mac adres,
52-54, en het eindigt in 35-00.
Dus dit is het Mac adres voor het IP, voor de router.
Dus de manier waarop ARP-poisoning werkt, zoals we eerder
hebben besproken, is omdat elk verzoek wordt vertrouwd en clients antwoorden
accepteren, zelfs als ze het verzoek
niet hebben verzonden.
Dus wat de hacker doet is een antwoord sturen naar de client
met de mededeling dat hij de router is.
Dus de klant zal dat accepteren, het was vertrouwd.
En hij accepteert het antwoord,
ook al heeft hij het verzoek niet verstuurd.
Dan sturen we nog een antwoord naar de router
om te zeggen dat wij de klant zijn.
Dus wat gaat dit doen, het gaat de entries
in de ARP tabellen wijzigen in zowel
de router als de client, en voor de
client gaat het het Mac adres van de hacker
bevatten en het gaat dat associëren met
het IP adres van de router.
Dus wat er in feite gaat gebeuren
is dat het Mac adres hier wordt aangepast,
en wordt veranderd in het Mac adres van de aanvaller.
En in plaats van het echte Mac adres van de router.
Dus zodra dat gebeurd is, zit de hacker in het midden
van de verbinding en kan hij de pakketten
lezen, analyseren en wijzigen omdat ze door het apparaat
van de hacker stromen.
Dus laten we de ARP vergiftiging uitvoeren.
Een normale ARP poisoning aanval zoals we altijd doen.
En als ik hier terugkom, ga
ik hetzelfde commando uitvoeren.
Dus ik ga weer een arp-a doen.
En merk op dat het Mac adres anders wordt.
Dus het Mac adres van de router, was vroeger deze.
En toen we het commando uitvoerden,
veranderde het Mac adres in dit.
En dit Mac adres hier
is het Mac adres van de netwerkkaart die de
aanvaller gebruikt.
Dus als ik hier kom en een ifconfig doe,
zul je zien dat dit het Mac adres
is, hetzelfde Mac adres dat hier wordt weergegeven.
Dit is dus de gemakkelijkste en eenvoudigste
manier om ARP-poisoning aanvallen te ontdekken.
Het is echter niet de handigste
manier, want je moet dit commando blijven uitvoeren en de entries
blijven vergelijken als je echt
wilt controleren of je ARP vergiftigd wordt.
Er is dus een tool genaamd
XRP en die doet dat automatisch voor je en
is beschikbaar voor Linux en Windows.
Dus ik heb het al gedownload.
Je kunt gewoon Google XRP en je kunt het downloaden.
Heel gemakkelijk te downloaden en te installeren,
en ik ga het gewoon uitvoeren.
Ik ga eigenlijk eerst de aanval stoppen, en dan
ga ik het programma uitvoeren.
Als je de aanval stopt,
wordt het IP-adres weer zoals het was.
U ziet dus dat het Mac-adres van de router
weer de juiste standaardwaarde heeft.
Dus ik ga nu gewoon XRP draaien
en je kunt zien dat alles goed is.
En je ziet dat de invoer erg lijkt
op wat we deden toen we arp-a deden.
Dus we hebben de IP adressen en de
Mac adressen die ermee verbonden zijn.
Wat het gereedschap in feite
doet, is dit automatisch in de gaten houden.
En telkens als er iets verandert,
zal het weten dat er iets mis
is, want elk IP-adres moet een uniek Mac-adres hebben.
Het netwerk mag geen duplicaten bevatten.
Dus ik ga nog een ARP poisoning aanval doen, precies
zoals we eerder deden.
En als we hier komen zie
je dat XRP ons een melding geeft en ons
vertelt dat er iets gebeurt.
Het vertelt ons dat het Mac adres van de router, wat
de 10 is. 20. 14. 1. IP is veranderd
van dit naar dat.
En als we hier kijken, klik ik op OK, en als
we hier kijken, zien we dat de beïnvloede
machines de router, mijn eigen machine en de aanvaller zijn.
Sorry, dat ben ik en dat is de aanvaller.
Dus eigenlijk weten we dat de machine op 10. 20. 14. 203 probeert een
ARP poisoning aanval uit te voeren.
Omdat het Mac adres
van de router daarin is veranderd.
Daarom weten we dat dit de aanvalsmachine is.
Dit hulpmiddel is dus erg
handig omdat het de monitoring automatisch voor ons doet
en ons vertelt wanneer iemand
het netwerk probeert te ARP vergiftigen.