Nam hướng dẫn: Đúng vậy, hãy nói
về cách chúng ta có thể phát hiện ra các cuộc tấn công bằng chất độc ARP.
Trước hết, hãy để tôi cho bạn xem các bảng ARP.
Vì vậy, trong thiết bị Windows
của chúng tôi, thiết bị mà chúng
tôi luôn tấn công, tôi sẽ chạy một lệnh, arp-a,
để liệt kê tất cả các mục trong bảng ARP.
Vì vậy, mỗi máy tính có một bảng
ARP và bảng đó liên kết địa chỉ IP với địa chỉ Mac.
Vì vậy, chúng ta có thể thấy địa chỉ IP của bộ định tuyến,
là 10. 20. 14. 1, được
liên kết với địa chỉ Mac, 52-54,
và nó kết thúc bằng 35-00.
Vì vậy, đây là địa chỉ Mac cho IP, cho bộ định tuyến.
Vì vậy, cách mà ARP nhiễm độc hoạt động như chúng ta đã
thảo luận trước đây là nó hoạt động vì mỗi yêu cầu đều được tin cậy và
khách hàng chấp nhận phản hồi ngay
cả khi họ không gửi yêu cầu.
Vì vậy, những gì hacker làm là anh ta gửi một phản hồi cho khách
hàng nói với họ rằng họ là bộ định tuyến.
Vì vậy, khách hàng sẽ chấp nhận điều đó, nó đã được tin cậy.
Và nó sẽ chấp nhận phản
hồi, mặc dù nó không gửi yêu cầu.
Sau đó, chúng tôi sẽ gửi một phản hồi khác tới bộ định
tuyến để nói với họ rằng chúng tôi là khách hàng.
Vì vậy, điều này sẽ làm, nó sẽ sửa đổi các
mục nhập trong bảng ARP ở cả hai, trong
bộ định tuyến và trong máy khách,
và đối với máy khách, nó sẽ chứa địa chỉ Mac
của kẻ tấn công và nó sẽ liên kết nó với địa
chỉ của bộ định tuyến Địa chỉ IP.
Vì vậy, điều cơ bản sẽ xảy ra là
nó sẽ sửa đổi địa chỉ Mac ở đây và nó sẽ thay
đổi địa chỉ đó thành địa chỉ Mac của kẻ tấn công.
Và thay vì địa chỉ Mac thực của bộ định tuyến.
Vì vậy, một khi điều đó xảy ra, thì hacker sẽ
ở giữa kết nối và họ sẽ có thể đọc,
phân tích và sửa đổi các gói vì chúng sẽ được
truyền qua thiết bị của
hacker.
Vì vậy, chúng ta hãy chạy ARP đầu độc.
Một cuộc tấn công nhiễm độc ARP bình thường như chúng ta vẫn làm.
Và khi tôi quay lại đây,
tôi sẽ thực hiện lệnh tương tự.
Vì vậy, tôi sẽ làm một arp-a một lần nữa.
Và lưu ý rằng địa chỉ Mac sẽ khác như thế nào.
Vì vậy, địa chỉ Mac cho bộ định tuyến, nó từng là địa chỉ này.
Và khi chúng tôi chạy lệnh,
địa chỉ Mac đã thay đổi thành địa chỉ này.
Và địa chỉ Mac ngay đây
chính là địa chỉ Mac của card mạng mà kẻ tấn
công đang sử dụng.
Vì vậy, nếu tôi đến đây và chỉ thực hiện
ifconfig, bạn sẽ thấy rằng đây
là địa chỉ Mac, cùng một địa chỉ Mac được hiển thị ở đây.
Vì vậy, đây là cách dễ nhất và đơn giản nhất
để phát hiện ra các cuộc tấn công nhiễm độc ARP.
Tuy nhiên, đây không phải
là cách tốt nhất vì bạn sẽ phải tiếp tục thực hiện lệnh này và
tiếp tục so sánh các mục nhập nếu
bạn thực sự muốn kiểm tra xem bạn có bị nhiễm độc ARP hay không.
Vì vậy, có một công cụ được
gọi là XRP và nó tự động làm điều đó cho bạn
và nó có sẵn cho Linux và Windows.
Vì vậy, tôi đã tải xuống.
Bạn chỉ có thể Google XRP và bạn có thể tải xuống.
Rất dễ dàng để tải xuống và cài
đặt, và tôi sẽ chạy nó.
Tôi thực sự sẽ dừng cuộc tấn công trước,
và sau đó tôi sẽ chạy công cụ.
Bây giờ, hãy chú ý khi bạn dừng
cuộc tấn công, địa chỉ IP sẽ trở lại như cũ.
Vì vậy, bạn có thể thấy rằng địa chỉ Mac của bộ định tuyến
đã trở lại giá trị bên phải mặc định của bộ định tuyến.
Vì vậy, tôi sẽ chạy XRP ngay
bây giờ và bạn có thể thấy rằng mọi thứ đều tốt.
Và bạn có thể thấy rằng các mục nhập rất giống với những
gì chúng tôi đã làm khi chúng tôi thực hiện arp-a.
Vì vậy, chúng tôi có các địa chỉ
IP và địa chỉ Mac được liên kết với nó.
Về cơ bản, công cụ này
làm gì, nó sẽ tự động theo dõi điều này.
Và bất cứ khi nào có điều gì đó thay đổi, nó
sẽ biết rằng có điều gì đó không
ổn đang xảy ra vì mỗi địa chỉ IP phải có một địa chỉ Mac duy nhất.
Không được có bản sao trong mạng.
Vì vậy, tôi sẽ thực hiện một cuộc tấn công nhiễm độc ARP khác giống hệt
như chúng tôi đã làm trước đây.
Và khi chúng tôi đến đây, bạn sẽ
thấy rằng XRP đang gửi thông báo cho chúng tôi và cho
chúng tôi biết rằng điều gì đó đang xảy ra.
Nó cho chúng tôi biết rằng địa chỉ Mac cho bộ định tuyến, là địa
chỉ 10. 20. 14. 1. IP đã thay
đổi từ cái này sang cái kia.
Và nếu chúng ta nhìn vào đây, tôi sẽ nhấp vào OK, và
nếu chúng ta nhìn vào đây, chúng ta có thể thấy rằng
các máy bị ảnh hưởng là bộ định tuyến, máy của chính tôi hiện tại và kẻ tấn công.
Xin lỗi, đó là tôi và đó là kẻ tấn công.
Vì vậy, về cơ bản chúng ta biết rằng máy ở mức 10. 20. 14. 203 đang cố gắng thực
hiện một cuộc tấn công bằng chất độc ARP.
Vì đó là địa chỉ Mac
của bộ định tuyến đã thay đổi thành.
Do đó, chúng tôi biết đây là máy của kẻ tấn công.
Vì vậy, công cụ này thực
sự tiện dụng vì nó thực hiện giám sát tự động cho chúng tôi và
nó sẽ cho chúng tôi biết bất cứ
khi nào ai đó đang cố gắng ARP đầu độc mạng.