Männlicher Ausbilder: Richtig,
also lassen Sie uns darüber sprechen, wie wir ARP-Vergiftungsangriffe erkennen können.
Lassen Sie mich Ihnen zunächst die ARP-Tabellen zeigen.
Auf unserem Windows-Gerät,
das wir immer angreifen,
werde ich also den Befehl arp-a ausführen,
um alle Einträge in der ARP-Tabelle aufzulisten.
Jeder Computer hat also
eine ARP-Tabelle und diese Tabelle ordnet IP-Adressen Mac-Adressen zu.
So können wir die IP-Adresse des Routers sehen, die
10 ist. 20. 14.
1, ist mit der Mac-Adresse
52-54 verknüpft und endet in 35-00.
Dies ist also die Mac-Adresse für die IP, für den Router.
Das ARP-Poisoning funktioniert also so, wie wir es
zuvor besprochen haben, weil jede Anfrage vertrauenswürdig ist und Clients Antworten
akzeptieren, auch wenn sie
die Anfrage nicht gesendet haben.
Der Hacker sendet also eine Antwort an den Client, in der
er ihm mitteilt, dass er der Router ist.
Der Kunde wird das akzeptieren, ihm wurde vertraut.
Und es wird die
Antwort akzeptieren, obwohl es die Anfrage nicht gesendet hat.
Dann senden wir eine weitere Antwort an den
Router, die ihm mitteilt, dass wir der Client sind.
Was wird das also tun, es wird
die Einträge in den ARP-Tabellen sowohl
im Router als auch
im Client ändern, und für den Client
wird es die Mac-Adresse des Hackers enthalten und
diese mit der des Routers verknüpfen IP Adresse.
Im Grunde wird
also die Mac-Adresse hier geändert,
und zwar in die Mac-Adresse des Angreifers.
Und anstelle der echten Mac-Adresse des Routers.
Sobald dies passiert ist, befindet sich der
Hacker mitten in der Verbindung
und kann die Pakete lesen, analysieren und ändern,
da sie durch das
Hacker-Gerät fließen.
Lassen Sie uns die ARP-Vergiftung durchführen.
Ein normaler ARP-Vergiftungsangriff, wie wir ihn immer tun.
Und wenn ich hierher
zurückkehre, werde ich denselben Befehl ausführen.
Also werde ich wieder ein Arp-a machen.
Und beachten Sie, wie unterschiedlich die Mac-Adresse sein wird.
Also die Mac-Adresse für den Router, früher war es diese.
Und als wir den
Befehl ausgeführt haben, änderte sich die Mac-Adresse in diese.
Und diese
Mac-Adresse hier ist die Mac-Adresse der Netzwerkkarte,
die der Angreifer verwendet.
Wenn ich also hierher komme und nur
eine ifconfig mache, sehen Sie,
dass dies die Mac-Adresse ist, dieselbe Mac-Adresse, die hier angezeigt wird.
Dies ist also der einfachste
und einfachste Weg, um ARP-Vergiftungsangriffe zu entdecken.
Dies ist jedoch
nicht der einfachste Weg, da Sie diesen Befehl weiterhin
ausführen und die Einträge vergleichen
müssen, wenn Sie wirklich überprüfen möchten, ob Sie ARP-vergiftet sind.
Es gibt also ein
Tool namens XRP, das automatisch für Sie
erledigt und für Linux und Windows verfügbar ist.
Also habe ich schon heruntergeladen.
Sie können einfach XRP googeln und herunterladen.
Sehr einfach herunterzuladen und zu installieren, und
ich werde es einfach ausführen.
Ich werde den Angriff zuerst stoppen und
dann das Tool ausführen.
Beachten Sie nun, dass die IP-Adresse
wieder zu dem wird, was sie war, wenn Sie den Angriff stoppen.
Sie können also sehen, dass die Mac-Adresse
des Routers wieder den richtigen Standardwert des Routers hat.
Also werde ich jetzt einfach
XRP laufen lassen und du kannst sehen, dass alles gut ist.
Und Sie können sehen, dass die Einträge denen sehr
ähnlich sind, die wir gemacht haben, als wir arp-a gemacht haben.
Wir haben also die
IP-Adressen und die damit verbundenen Mac-Adressen.
Was das Tool im
Grunde tut, es wird dies nur automatisch überwachen.
Und wenn sich etwas ändert, wird
es wissen, dass etwas
nicht stimmt, da jede IP-Adresse eine eindeutige Mac-Adresse haben sollte.
Es sollten keine Duplikate im Netzwerk vorhanden sein.
Also werde ich einen weiteren ARP-Vergiftungsangriff durchführen, genau wie wir
es zuvor getan haben.
Und wenn wir hierher
kommen, werden Sie sehen, dass XRP uns eine Benachrichtigung
gibt und uns mitteilt, dass etwas passiert.
Es sagt uns, dass die Mac-Adresse für den Router, also die
10. 20. 14. 1. IP
hat sich von diesem zu diesem geändert.
Und wenn wir hier nachsehen, klicke ich auf OK,
und wenn wir hier nachsehen, können wir
sehen, dass die betroffenen Maschinen der Router, meine eigene Maschine und der Angreifer sind.
Entschuldigung, das bin ich und das ist der Angreifer.
Im Grunde wissen wir also, dass die Maschine bei 10. 20. 14. 203
versucht, einen ARP-Vergiftungsangriff durchzuführen.
Weil sich
die Mac-Adresse des Routers geändert hat.
Daher wissen wir, dass dies die Angreifermaschine ist.
Dieses Tool ist
also wirklich praktisch, da es die Überwachung automatisch für uns
übernimmt und uns mitteilt, wenn
jemand versucht, das Netzwerk mit ARP zu vergiften.