ผู้สอน: เอาล่ะ ตอนนี้เรามาดูกันว่าเราจะใช้
Wireshark เพื่อค้นหากิจกรรมที่น่าสงสัยในเครือข่ายของเราได้อย่างไร
และก่อนที่ฉันจะทำอะไร ฉันจะไปที่การตั้งค่า
และฉันจะไปที่โปรโตคอล
ARP และฉันจะเปิดใช้งานตัวเลือกเพื่อตรวจจับพายุคำขอ
ARP
สิ่งนี้จะทำให้มันค้นพบจริง
ๆ ถ้าใครพยายามค้นพบอุปกรณ์ทั้งหมดบนเครือข่ายและมันจะแจ้งเตือนฉัน
ฉันจะคลิกตกลง ฉันจะเริ่มจับภาพ
และตอนนี้ ฉันจะไปที่เครื่องกาลี
และฉันจะใช้ netdiscover
ดังนั้นฉันจะไม่ทำพิษ ARP
ฉันแค่จะทำ หรือพยายามค้นหาอุปกรณ์ที่เชื่อมต่อกับเครือข่ายของฉันทั้งหมด
เรากำลังใช้อยู่ เรากำลังใช้คำสั่งเดียวกันกับที่เราเคยใช้ก่อนหน้านี้คือ
netdiscover ส่วนต่อประสานและช่วง
ฉันจะกด Enter และเราจะเห็นว่า
netdiscover เสร็จสิ้นแล้ว
มันค้นพบอุปกรณ์ทั้งหมดที่เรามี
ดังนั้นถ้าเรามาที่นี่
ก่อนที่เราจะดูผลลัพธ์ของการแจ้งเตือน มาดูแพ็กเก็ตที่สร้างขึ้นกันเถอะ
คุณจะเห็นว่ามีอุปกรณ์อยู่ที่นี่
แหล่งที่มานี้กำลังออกอากาศอยู่ ดังนั้นจึงไม่มีปลายทาง
กำลังถามอุปกรณ์อื่นๆ ทั้งหมดในเครือข่าย และกำลังสอบถามเกี่ยวกับ
IP ที่เป็นไปได้แต่ละรายการ
เลยถามว่าใครมี IP นี้บ้าง?
และบอก 67 IP
แล้วถามว่าใครมี 241 IP บ้าง?
บอก 67
ใครมี251บ้าง?
บอก 67 และมันทำเช่นนี้กับทุก
IP ที่เป็นไปได้
ดังนั้นโดยพื้นฐานแล้วตรวจสอบว่ามี IP ที่เป็นไปได้ในช่วงนั้นหรือไม่และขอให้ส่งคืนการตอบกลับไปยัง
IP ที่ 10
20. 40. 67.
จากนี้ เราสามารถสรุปได้ว่ามีคนพยายามค้นหาอุปกรณ์ที่เชื่อมต่อทั้งหมด
และมีคนอายุ 10 ขวบ
20. 40. 67.
ตอนนี้ถ้าเราวิเคราะห์และข้อมูลของผู้เชี่ยวชาญ
คุณจะเห็นว่าเราตรวจพบแพ็กเก็ต ARP
โดยพื้นฐานแล้วหมายความว่ามีอุปกรณ์เครื่องเดียวที่ส่งแพ็กเก็ต
ARP จำนวนมาก
ดังนั้นพวกเขาจึงอาจพยายามค้นหาอุปกรณ์ที่เชื่อมต่อหรือพยายามค้นหาพอร์ตที่เชื่อมต่อ
มันบอกเราว่าบุคคลนี้กำลังพยายามทำสิ่งที่น่าสงสัย
ไปกันเถอะ และฉันจะทำการโจมตี ARP พิษ และดูว่าเราจะสามารถรับการแจ้งเตือนหรือคำเตือนใดๆ
ใน Wireshark ได้หรือไม่
ตอนนี้ฉันจะไปวิเคราะห์และข้อมูลผู้เชี่ยวชาญอีกครั้ง และถ้าเราดู
เราจะเห็นว่าเรามีคำเตือนที่นี่ และคำเตือนกำลังบอกเราว่ามีการกำหนดค่าที่อยู่
IP ที่ซ้ำกัน
นี่เป็นอีกครั้งที่บอกเราว่าที่อยู่
IP ของเราเตอร์มีที่อยู่ MAC สองแห่งที่แตกต่างกัน
ความหมายโดยพื้นฐานแล้วหมายความว่ามีใครบางคนกำลังยุ่งเกี่ยวกับสิ่งนี้และยุ่งเกี่ยวกับตาราง
ARP ของเราโดยพยายามวางตัวเองไว้ตรงกลางโดยใช้การโจมตีด้วยพิษของ
ARP
ตอนนี้เราได้เห็นวิธีการมากมายในการตรวจจับการเป็นพิษของ ARP
มาพูดคุยกันว่าเราจะป้องกันหรือป้องกันตัวเองจากมันได้อย่างไร
ตอนนี้ฉันกำลังจะเรียกใช้
ARPA และเราจะดูที่ตารางของเรา
มีสวิตช์ที่จะตรวจสอบสิ่งนี้สำหรับคุณเช่นกันและพวกเขาจะแจ้งให้คุณทราบหรือแม้กระทั่งป้องกันการโจมตีด้วยพิษ
ARP
อีกวิธีหนึ่งคือถ้าคุณดูที่นี่
หากคุณดูที่เราเตอร์ คุณจะเห็นว่ารายการนี้ในตารางเป็นไดนามิก
ดังนั้นประเภทของรายการนี้จึงเป็นไดนามิก
หมายความว่าอย่างไร โดยพื้นฐานแล้วสิ่งนี้ไม่สามารถเปลี่ยนแปลงได้
เป็นระบบที่อนุญาตให้เปลี่ยนค่านี้
คุณสามารถเห็นได้ที่นี่ว่าคุณมีค่าคงที่
ซึ่งโดยพื้นฐานแล้วหมายความว่าระบบจะไม่ยอมให้ค่าเหล่านี้เปลี่ยนแปลง
ดังนั้น คุณสามารถใช้ตาราง ARP แบบคงที่ได้ ซึ่งโดยพื้นฐานแล้วหมายความว่าคุณจะต้องกำหนดค่าที่อยู่
IP แต่ละรายการ
ดังนั้น คุณต้องกำหนดค่าตาราง ARP ของคุณและจับคู่ที่อยู่
IP แต่ละรายการกับที่อยู่ MAC กับที่อยู่
MAC ที่เกี่ยวข้อง
แต่เมื่อคุณทำเช่นนั้น
แม้ว่าจะมีคนพยายามส่งการตอบกลับไปยังคอมพิวเตอร์ของคุณพยายามที่จะเปลี่ยน
แต่ระบบจะปฏิเสธที่จะเปลี่ยนแปลงสิ่งใดๆ
เนื่องจากคุณกำหนดค่าตาราง ARP ของคุณให้เป็นแบบคงที่
ปัญหาเดียวคือทุกครั้งที่คุณเชื่อมต่อกับเครือข่าย
และทุกครั้งที่มีอุปกรณ์ใหม่เชื่อมต่อกับเครือข่ายของคุณ คุณจะต้องกำหนดค่าอุปกรณ์นั้นด้วยตนเองเพื่อให้ทำงานกับเครือข่ายของคุณ
ดังนั้นจึงไม่ใช่วิธีแก้ปัญหาที่มีประโยชน์มากหากคุณอยู่ในบริษัทขนาดใหญ่หรือถ้าคุณอยู่ในบริษัทขนาดใหญ่
แต่บางทีในบ้านหลังเล็กๆ หรือในบริษัทเล็กๆ
นี่อาจเป็นทางออกที่ดีจริงๆ ในการป้องกันการโจมตีจากพิษของ
ARP เพราะทุกอย่างจะคงที่ คุณจะต้องตั้งค่าด้วยตนเอง แต่เมื่อมีคนพยายามทำ การโจมตีด้วยพิษของ ARP แม้ว่าการโจมตีของพวกเขาจะประสบความสำเร็จและพวกเขาจะใช้เครื่องมือที่ดีที่สุดเท่าที่ทำได้ ตารางของคุณก็ถูกจัดวางในลักษณะที่ได้รับการแก้ไข
มันเปลี่ยนไม่ได้
ดังนั้นระบบจะปฏิเสธที่จะเปลี่ยนค่าของที่อยู่
MAC เสมอ ซึ่งโดยพื้นฐานแล้วหมายความว่าการโจมตีด้วยพิษจาก ARP จะไม่ทำงานกับคุณ