Instructeur masculin : D'accord,
parlons donc de la façon dont nous pouvons détecter les attaques d'empoisonnement ARP.
Tout d'abord, laissez-moi vous montrer les tables ARP.
Donc, dans notre appareil
Windows, qui est l'appareil que nous
attaquons toujours, je vais exécuter une commande, arp-a,
pour répertorier toutes les entrées de la table ARP.
Ainsi, chaque ordinateur a une table
ARP et cette table associe les adresses IP aux adresses Mac.
Nous pouvons donc voir l'adresse IP du routeur, qui
est 10. 20. 14.
1, est associé à l'adresse
Mac, 52-54, et se termine par 35-00.
C'est donc l'adresse Mac pour l'IP, pour le routeur.
Ainsi, la façon dont l'empoisonnement ARP fonctionne comme nous l'avons
vu précédemment est qu'elle fonctionne parce que chaque demande est fiable et que
les clients acceptent les réponses
même s'ils n'ont pas envoyé la demande.
Donc, ce que fait le pirate informatique, c'est qu'il envoie une réponse
au client en lui disant qu'il est le routeur.
Donc le client va accepter ça, on lui fait confiance.
Et il va accepter
la réponse, même s'il n'a pas envoyé la demande.
Ensuite, nous enverrons une autre réponse au
routeur pour lui dire que nous sommes le client.
Alors qu'est-ce que ça va faire, ça va
modifier les entrées dans les tables ARP
à la fois, dans le
routeur et dans le client, et pour le
client ça va contenir l'adresse Mac du hacker et
ça va l'associer à celle du routeur Adresse IP.
Donc, ce qui va essentiellement se
passer, c'est que cela va modifier l'adresse Mac
ici, et cela va changer cela en l'adresse Mac de l'attaquant.
Et au lieu de la véritable adresse Mac du routeur.
Ainsi, une fois que cela s'est produit, le pirate informatique
sera au milieu de la connexion
et pourra lire, analyser et modifier les paquets car ils
vont transiter par le périphérique
du pirate informatique.
Exécutons donc l'empoisonnement ARP.
Une attaque d'empoisonnement ARP normale comme nous le faisons toujours.
Et quand je reviens
ici, je vais exécuter la même commande.
Je vais donc refaire un arp-a.
Et notez à quel point l'adresse Mac va être différente.
Donc l'adresse Mac du routeur, c'était celle-ci.
Et lorsque nous avons
exécuté la commande, l'adresse Mac a changé pour celle-ci.
Et cette adresse
Mac ici est l'adresse Mac de la carte
réseau que l'attaquant utilise.
Donc, si je viens ici et que je
fais juste une ifconfig, vous verrez
qu'il s'agit de l'adresse Mac, la même adresse Mac qui est affichée ici.
C'est donc le moyen le plus simple
et le plus simple de découvrir les attaques d'empoisonnement ARP.
Ce n'est cependant pas
le moyen le plus pratique, car vous devrez continuer à exécuter
cette commande et à comparer les
entrées si vous voulez vraiment vérifier si vous êtes empoisonné par ARP.
Il existe donc un
outil appelé XRP et il le fait automatiquement pour
vous et il est disponible pour Linux et Windows.
J'ai donc déjà téléchargé.
Vous pouvez simplement Google XRP et vous pouvez le télécharger.
Très facile à télécharger et à installer,
et je vais juste l'exécuter.
En fait, je vais d'abord arrêter l'attaque,
puis je vais exécuter l'outil.
Remarquez maintenant que lorsque vous
arrêtez l'attaque, l'adresse IP va revenir à ce qu'elle était.
Vous pouvez donc voir que l'adresse Mac du
routeur est revenue à sa valeur par défaut correcte du routeur.
Je vais donc exécuter XRP
maintenant et vous pouvez voir que tout va bien.
Et vous pouvez voir que les entrées sont très
similaires à ce que nous avons fait lorsque nous avons fait arp-a.
Nous avons donc les adresses IP
et les adresses Mac qui y sont associées.
Ce que l'outil
fait essentiellement, il va simplement surveiller cela automatiquement.
Et chaque fois que quelque chose change,
il saura que quelque chose
ne va pas car chaque adresse IP doit avoir une adresse Mac unique.
Il ne devrait pas y avoir de doublons dans le réseau.
Je vais donc faire une autre attaque d'empoisonnement ARP exactement
comme nous l'avons fait avant.
Et quand nous viendrons
ici, vous verrez que XRP nous envoie une notification
et nous dit que quelque chose se passe.
Cela nous indique que l'adresse Mac du routeur, qui est le
10. 20. 14. 1. IP
a changé de ceci à cela.
Et si nous regardons ici, je vais cliquer sur
OK, et si nous regardons ici, nous pouvons
voir que les machines affectées sont le routeur, ma propre machine en ce moment et l'attaquant.
Désolé, c'est moi et c'est l'agresseur.
Donc en gros on sait que la machine à 10. 20. 14. 203 essaie
de faire une attaque d'empoisonnement ARP.
Parce que c'est
celui que l'adresse Mac du routeur a changé.
Par conséquent, nous savons que c'est la machine de l'attaquant.
Donc, cet outil
est vraiment pratique car il effectue la surveillance automatiquement pour nous
et il nous dira chaque
fois que quelqu'un essaie d'empoisonner le réseau par ARP.