Instrutor Masculino: Certo,
então vamos falar sobre como podemos detectar ataques de envenenamento ARP.
Em primeiro lugar, deixe-me mostrar as tabelas ARP.
Então, em nosso dispositivo
Windows, que é o dispositivo
que sempre atacamos, irei executar um comando, arp-a,
para listar todas as entradas na tabela ARP.
Portanto, cada computador tem uma tabela
ARP e essa tabela associa os endereços IP aos endereços Mac.
Portanto, podemos ver o endereço IP do roteador, que
é 10. 20 14
1, está associado ao endereço
Mac, 52-54, e termina em 35-00.
Portanto, este é o endereço Mac para o IP, para o roteador.
Portanto, a maneira como o envenenamento de ARP funciona,
como discutimos antes, é porque cada solicitação é confiável e os
clientes aceitam respostas, mesmo
que não tenham enviado a solicitação.
Então, o que o hacker faz é enviar uma resposta
ao cliente dizendo que ele é o roteador.
Então o cliente vai aceitar isso, era confiável.
E ele vai aceitar
a resposta, embora não tenha enviado a solicitação.
Em seguida, enviaremos outra resposta
ao roteador informando que somos o cliente.
Então o que isso vai fazer, vai
modificar as entradas nas tabelas ARP
em ambos, no roteador
e no cliente, e para o cliente
vai conter o endereço Mac do hacker e
vai associá-lo ao do roteador Endereço de IP.
Então, o que basicamente vai
acontecer é que vai modificar o endereço Mac
aqui, e vai mudar isso para o endereço Mac do invasor.
E em vez do endereço Mac real do roteador.
Assim que isso acontecer, o hacker estará no
meio da conexão e poderá ler,
analisar e modificar os pacotes porque eles estarão
fluindo através do dispositivo
do hacker.
Então, vamos executar o envenenamento ARP.
Um ataque de envenenamento ARP normal, como sempre fazemos.
E quando eu voltar
aqui, vou executar o mesmo comando.
Então, vou fazer um arp-a novamente.
E observe como o endereço do Mac será diferente.
O endereço Mac do roteador costumava ser este.
E quando executamos
o comando, o endereço Mac mudou para este.
E este endereço Mac
bem aqui é o endereço Mac da placa de rede
que o invasor está usando.
Então, se eu vier aqui e apenas fizer
um ifconfig, você verá que
este é o endereço Mac, o mesmo endereço Mac que é exibido aqui.
Portanto, esta é a maneira mais
fácil e simples de descobrir ataques de envenenamento ARP.
No entanto, não é
a maneira mais prática, porque você terá que continuar fazendo
esse comando e comparando as
entradas se realmente quiser verificar se está sendo envenenado por ARP.
Portanto, existe uma ferramenta
chamada XRP que faz isso automaticamente para
você e está disponível para Linux e Windows.
Então eu já baixei.
Você pode apenas Google XRP e você pode baixá-lo.
Muito fácil de baixar e instalar,
e vou apenas executá-lo.
Na verdade, vou interromper o ataque primeiro e,
em seguida, executar a ferramenta.
Agora observe que quando você
interromper o ataque, o endereço IP voltará ao que era.
Portanto, você pode ver que o endereço Mac do
roteador está de volta ao seu valor padrão correto do roteador.
Vou apenas executar o XRP
agora e você pode ver que está tudo bem.
E você pode ver que as entradas
são muito semelhantes ao que fizemos quando fizemos o arp-a.
Portanto, temos os endereços IP
e os endereços Mac associados a ele.
O que a
ferramenta basicamente faz, ela apenas monitorará isso automaticamente.
E sempre que algo mudar, ele saberá
que algo está acontecendo
de errado porque cada endereço IP deve ter um endereço Mac exclusivo.
Não deve haver duplicatas na rede.
Vou fazer outro ataque de envenenamento ARP exatamente
como fizemos antes.
E quando chegarmos aqui,
você verá que o XRP está nos notificando
e dizendo que algo está acontecendo.
Ele está nos dizendo que o endereço Mac do roteador, que é
10. 20 14 1 O
IP mudou disso para aquilo.
E se olharmos aqui, clicarei em ok e,
se olharmos aqui, podemos ver que
as máquinas afetadas são o roteador, minha própria máquina agora e o invasor.
Desculpe, sou eu e esse é o atacante.
Basicamente, sabemos que a máquina está às 10. 20 14 203 está
tentando fazer um ataque de envenenamento ARP.
Porque é aquele
para o qual o endereço Mac do roteador foi alterado.
Portanto, sabemos que esta é a máquina do invasor.
Portanto, essa ferramenta
é muito útil porque faz o monitoramento automaticamente para nós
e nos avisa sempre que
alguém está tentando envenenar a rede por ARP.