Istruttore maschio: Giusto, quindi
parliamo di come possiamo rilevare gli attacchi di avvelenamento da ARP.
Prima di tutto, lascia che ti mostri le tabelle ARP.
Quindi, nel nostro
dispositivo Windows, che è il
dispositivo che attacchiamo sempre, eseguirò un comando, arp-a,
per elencare tutte le voci nella tabella ARP.
Quindi ogni computer ha una tabella
ARP e quella tabella associa gli indirizzi IP agli indirizzi Mac.
Quindi possiamo vedere l'indirizzo IP del router, che è
10. 20. 14.
1, è associato all'indirizzo
Mac, 52-54, e finisce in 35-00.
Quindi questo è l'indirizzo Mac per l'IP, per il router.
Quindi il modo in cui l'avvelenamento da ARP funziona come
abbiamo discusso prima è che funziona perché ogni richiesta è attendibile e
i client accettano risposte anche
se non hanno inviato la richiesta.
Quindi quello che fa l'hacker è inviare una risposta al
client dicendo loro che sono il router.
Quindi il cliente lo accetterà, era fidato.
E accetterà la risposta,
anche se non ha inviato la richiesta.
Quindi invieremo un'altra risposta al
router dicendo loro che siamo il client.
Quindi cosa farà, modificherà le
voci nelle tabelle ARP in
entrambi, nel router
e nel client, e per il
client conterrà l'indirizzo Mac dell'hacker e
lo assocerà all'indirizzo del router Indirizzo IP.
Quindi ciò che fondamentalmente
accadrà è che modificherà l'indirizzo Mac
qui e lo cambierà con l'indirizzo Mac dell'attaccante.
E invece del vero indirizzo Mac del router.
Quindi, una volta che è successo, l'hacker sarà
nel mezzo della connessione e sarà
in grado di leggere, analizzare e modificare i pacchetti
perché passeranno attraverso il
dispositivo dell'hacker.
Quindi eseguiamo l'avvelenamento da ARP.
Un normale attacco di avvelenamento da ARP come lo facciamo sempre.
E quando tornerò
qui, eseguirò lo stesso comando.
Quindi farò di nuovo un arp-a.
E nota come l'indirizzo Mac sarà diverso.
Quindi l'indirizzo Mac del router era questo.
E quando abbiamo eseguito
il comando, l'indirizzo Mac è cambiato in questo.
E questo indirizzo
Mac proprio qui è l'indirizzo Mac della scheda
di rete utilizzata dall'attaccante.
Quindi, se vengo qui e faccio solo
un ifconfig, vedrai che questo
è l'indirizzo Mac, lo stesso indirizzo Mac che viene visualizzato qui.
Quindi questo è il modo più semplice
e più semplice per scoprire attacchi di avvelenamento da ARP.
Tuttavia, non è il
modo più pratico, perché dovrai continuare a eseguire questo comando
e continuare a confrontare le
voci se vuoi davvero verificare se sei stato avvelenato da ARP.
Quindi c'è uno strumento
chiamato XRP e lo fa automaticamente per
te ed è disponibile per Linux e Windows.
Quindi ho già scaricato.
Puoi semplicemente Google XRP e puoi scaricarlo.
Molto facile da scaricare e
installare, e lo eseguirò.
In realtà prima fermerò l'attacco e
poi eseguirò lo strumento.
Ora nota che quando
interrompi l'attacco, l'indirizzo IP tornerà a quello che era.
Quindi puoi vedere che l'indirizzo Mac del
router è tornato al suo valore corretto predefinito del router.
Quindi ora eseguirò XRP
e puoi vedere che tutto va bene.
E puoi vedere che le voci sono molto
simili a quelle che abbiamo fatto quando abbiamo fatto arp-a.
Quindi abbiamo gli indirizzi IP
e gli indirizzi Mac ad esso associati.
Ciò che lo
strumento fa fondamentalmente, lo monitorerà automaticamente.
E ogni volta che qualcosa cambia, saprà
che sta succedendo qualcosa
di sbagliato perché ogni indirizzo IP dovrebbe avere un indirizzo Mac univoco.
Non dovrebbero esserci duplicati nella rete.
Quindi farò un altro attacco di avvelenamento da ARP esattamente
come abbiamo fatto prima.
E quando arriveremo qui
vedrai che XRP ci sta dando una notifica
e ci dice che sta succedendo qualcosa.
Ci sta dicendo che l'indirizzo Mac del router, che è il
10. 20. 14. 1. IP
è cambiato da questo a quello.
E se guardiamo qui, faccio clic su OK,
e se guardiamo qui, possiamo vedere che
le macchine interessate sono il router, la mia macchina in questo momento e l'attaccante.
Mi dispiace, sono io e questo è l'attaccante.
Quindi in pratica sappiamo che la macchina alle 10. 20. 14. 203 sta
cercando di fare un attacco di avvelenamento da ARP.
Perché è quello
in cui è cambiato l'indirizzo Mac del router.
Pertanto, sappiamo che questa è la macchina dell'aggressore.
Quindi questo strumento
è davvero utile perché esegue il monitoraggio automaticamente per noi
e ci dirà ogni volta
che qualcuno sta cercando di ARP avvelenato la rete.