Instruktor: Tak, porozmawiajmy
więc o tym, jak możemy wykryć ataki zatrucia ARP.
Przede wszystkim pokażę tabele ARP.
Tak więc na
naszym urządzeniu z systemem Windows,
które jest urządzeniem, które zawsze atakujemy, uruchomię polecenie
arp-a, aby wyświetlić wszystkie wpisy w tabeli ARP.
Tak więc każdy komputer
ma tabelę ARP, która kojarzy adresy IP z adresami Mac.
Możemy więc zobaczyć adres IP routera, który wynosi
10. 20. 14.
1 jest powiązany z adresem
Mac 52-54 i kończy się na 35-00.
To jest adres Mac dla IP routera.
Tak więc sposób, w jaki zatruwanie ARP
działa, jak omówiliśmy wcześniej, działa, ponieważ każde żądanie jest zaufane,
a klienci akceptują odpowiedzi,
nawet jeśli nie wysłali żądania.
Haker wysyła więc odpowiedź do
klienta, że jest routerem.
Więc klient to zaakceptuje, ufał.
I zaakceptuje odpowiedź,
mimo że nie wysłał prośby.
Następnie wyślemy kolejną odpowiedź
do routera, informując, że jesteśmy klientem.
Więc co to zrobi, zmodyfikuje
wpisy w tabelach ARP zarówno
w routerze, jak
i w kliencie, a dla klienta
będzie zawierał adres Mac hakera i
skojarzy go z adresem routera Adres IP.
Więc to, co w
zasadzie się wydarzy, to zmodyfikowanie adresu Mac
tutaj i zmieni to na adres Mac atakującego.
I zamiast prawdziwego adresu Mac routera.
Więc kiedy to się stanie, haker będzie
w środku połączenia i będzie
mógł czytać, analizować i modyfikować pakiety, ponieważ
będą przepływać przez
urządzenie hakera.
Przeprowadźmy więc zatrucie ARP.
Normalny atak zatrucia ARP, jak zawsze to robimy.
A kiedy tu
wrócę, wykonam to samo polecenie.
Więc znowu zrobię arp-a.
I zauważ, jak adres Mac będzie inny.
Więc adres Mac routera, to był ten.
A kiedy uruchomiliśmy
polecenie, adres Mac zmienił się na ten.
A ten
adres Mac tutaj jest adresem Mac karty
sieciowej, której używa atakujący.
Więc jeśli przyjdę tutaj i po prostu
zrobię ifconfig, zobaczysz, że jest
to adres Maca, ten sam adres Maca, który jest tutaj wyświetlany.
Jest to więc najłatwiejszy i
najprostszy sposób na wykrycie ataków zatruwania ARP.
Nie jest to
jednak najłatwiejszy sposób, ponieważ będziesz musiał nadal wykonywać to
polecenie i porównywać wpisy,
jeśli naprawdę chcesz sprawdzić, czy nie jesteś zatruty ARP.
Jest więc narzędzie
o nazwie XRP, które robi to automatycznie
i jest dostępne dla systemów Linux i Windows.
Więc już pobrałem.
Możesz po prostu Google XRP i możesz go pobrać.
Bardzo łatwy do pobrania i zainstalowania, a
ja po prostu go uruchomię.
Właściwie najpierw zatrzymam atak, a
potem uruchomię narzędzie.
Teraz zauważ, że kiedy
zatrzymasz atak, adres IP powróci do tego, czym był.
Widać więc, że adres Mac routera
jest z powrotem do domyślnej właściwej wartości routera.
Więc zamierzam teraz uruchomić
XRP i widać, że wszystko jest w porządku.
Widać, że wpisy są bardzo podobne
do tego, co robiliśmy, gdy robiliśmy arp-a.
Mamy więc powiązane z
nim adresy IP i adresy Mac.
To, co w zasadzie
robi narzędzie, to po prostu automatycznie to monitoruje.
A za każdym razem, gdy coś się
zmieni, będzie wiedział, że dzieje
się coś nie tak, ponieważ każdy adres IP powinien mieć unikalny adres Mac.
W sieci nie powinno być duplikatów.
Więc zamierzam przeprowadzić kolejny atak zatrucia ARP dokładnie tak,
jak robiliśmy to wcześniej.
A kiedy tu przyjdziemy,
zobaczysz, że XRP wysyła nam powiadomienie i
informuje nas, że coś się dzieje.
Mówi nam, że adres Mac routera, czyli
10. 20. 14. 1. IP
zmienił się z tego na tamten.
A jeśli spojrzymy tutaj, kliknę OK, a jeśli
spojrzymy tutaj, zobaczymy, że maszyny, na
które się toczyło, to router, moja własna maszyna w tej chwili i atakujący.
Przepraszam, to ja i to napastnik.
Więc w zasadzie wiemy, że maszyna o 10. 20. 14. 203
próbuje wykonać atak zatrucia ARP.
Ponieważ jest to
ten, na który zmienił się adres Mac routera.
Dlatego wiemy, że jest to maszyna atakująca.
Więc to
narzędzie jest naprawdę przydatne, ponieważ automatycznie monitoruje za
nas i powie nam,
kiedy ktoś próbuje zatruć sieć przez ARP.