Instructor masculino: Bien,
hablemos de cómo podemos detectar los ataques de envenenamiento por ARP.
Primero que nada, déjame mostrarte las tablas ARP.
Entonces, en nuestro dispositivo
Windows, que es el dispositivo
que siempre atacamos, ejecutaré un comando, arp-a, para
enumerar todas las entradas en la tabla ARP.
Entonces, cada computadora tiene una
tabla ARP y esa tabla asocia direcciones IP con direcciones Mac.
Entonces podemos ver la dirección IP del enrutador, que
es 10. 20. 14.
1, está asociado con la
dirección Mac, 52-54, y termina en 35-00.
Entonces esta es la dirección Mac para la IP, para el enrutador.
Entonces, la forma en que funciona el envenenamiento ARP
como lo discutimos antes es porque funciona porque cada solicitud es confiable
y los clientes aceptan respuestas
incluso si no enviaron la solicitud.
Entonces, lo que hace el hacker es enviar una respuesta
al cliente diciéndole que él es el enrutador.
Entonces el cliente aceptará eso, fue de confianza.
Y aceptará la
respuesta, aunque no envió la solicitud.
Luego enviaremos otra respuesta al
enrutador diciéndoles que somos el cliente.
Entonces, ¿qué va a hacer esto? Va
a modificar las entradas en las
tablas ARP tanto en el
enrutador como en el cliente, y para
el cliente contendrá la dirección Mac del hacker
y la asociará con la del enrutador. Dirección IP.
Entonces, lo que básicamente va a
suceder es que va a modificar la dirección Mac
aquí, y la va a cambiar a la dirección Mac del atacante.
Y en lugar de la dirección Mac real del enrutador.
Entonces, una vez que eso sucedió, el pirata informático
estará en el medio de la
conexión y podrá leer, analizar y modificar los paquetes porque
fluirán a través del dispositivo
del pirata informático.
Así que ejecutemos el envenenamiento por ARP.
Un ataque normal de envenenamiento por ARP como siempre lo hacemos.
Y cuando vuelva
aquí, ejecutaré el mismo comando.
Así que voy a hacer un arp-a de nuevo.
Y observe cómo la dirección Mac va a ser diferente.
Entonces, la dirección Mac del enrutador solía ser esta.
Y cuando ejecutamos
el comando, la dirección Mac cambió a esta.
Y esta dirección Mac
de aquí es la dirección Mac de la tarjeta de
red que está usando el atacante.
Entonces, si vengo aquí y hago un
ifconfig, verán que esta es
la dirección Mac, la misma dirección Mac que se muestra aquí.
Así que esta es la forma más
fácil y sencilla de descubrir ataques de envenenamiento por ARP.
Sin embargo, no
es la forma más práctica, porque tendrás que seguir haciendo
este comando y seguir comparando
las entradas si realmente quieres comprobar si estás envenenado con ARP.
Entonces, hay una herramienta
llamada XRP que lo hace automáticamente por
usted y está disponible para Linux y Windows.
Así que ya descargué.
Puede simplemente Google XRP y puede descargarlo.
Muy fácil de descargar e instalar, y
solo lo voy a ejecutar.
De hecho, primero voy a detener el ataque y
luego voy a ejecutar la herramienta.
Ahora observe que cuando detenga
el ataque, la dirección IP volverá a ser la que era.
De modo que puede ver que la dirección
Mac del enrutador vuelve a su valor correcto predeterminado del enrutador.
Así que voy a ejecutar
XRP ahora y puedes ver que todo está bien.
Y puede ver que las entradas son
muy similares a lo que hicimos cuando hicimos arp-a.
Así que tenemos las
direcciones IP y las direcciones Mac asociadas.
Lo que hace
básicamente la herramienta, lo va a monitorear automáticamente.
Y siempre que algo cambie, sabrá
que algo anda mal
porque cada dirección IP debe tener una dirección Mac única.
No debe haber duplicados en la red.
Así que voy a hacer otro ataque de envenenamiento por ARP
exactamente como lo hicimos antes.
Y cuando lleguemos aquí,
verá que XRP nos está notificando y
nos dice que algo está sucediendo.
Nos dice que la dirección Mac del enrutador, que es la
10. 20. 14. 1. IP
ha cambiado de esto a aquello.
Y si miramos aquí, voy a hacer clic en
Aceptar, y si miramos aquí, podemos ver que
las máquinas afectadas son el enrutador, mi propia máquina en este momento y el atacante.
Lo siento, ese soy yo y ese es el atacante.
Básicamente, sabemos que la máquina a las 10. 20. 14. 203 está
intentando realizar un ataque de envenenamiento por ARP.
Porque es a
la que ha cambiado la dirección Mac del enrutador.
Por lo tanto, sabemos que esta es la máquina atacante.
Entonces, esta herramienta
es realmente útil porque realiza el monitoreo automáticamente por nosotros y
nos informará cada vez que
alguien esté tratando de envenenar la red con ARP.