Người hướng dẫn: Được rồi,
vậy bây giờ chúng ta hãy xem cách chúng ta
có thể sử dụng Wireshark, để khám phá các hoạt động đáng ngờ trong mạng của chúng ta.
Và trước khi làm bất cứ điều gì, tôi sẽ đi đến các
tùy chọn, và tôi sẽ chuyển đến
các giao thức,
ARP, và tôi sẽ bật tùy chọn
để phát hiện các cơn bão yêu cầu ARP.
Điều này sẽ làm gì nó sẽ thực sự phát hiện
ra, nếu ai đó đang cố gắng khám phá tất
cả các thiết bị trên mạng và nó sẽ
cung cấp cho tôi một thông báo.
Vì vậy, tôi sẽ nhấp vào OK, và tôi sẽ bắt
đầu quá trình chụp của mình, và bây
giờ tôi sẽ vào máy Kali của mình và tôi sẽ sử
dụng netdiscover.
Vì vậy, tôi sẽ không đầu độc ARP.
Tôi chỉ làm hoặc cố gắng
khám phá tất cả các thiết bị được kết nối với mạng của tôi.
Vì vậy, chúng tôi đang sử dụng chúng tôi đang
sử dụng chính xác lệnh mà chúng tôi đã sử dụng trước đây, netdiscover, giao diện và phạm vi.
Tôi sẽ nhấn enter và chúng ta có thể
thấy netdiscover đã hoàn thành.
Nó khám phá tất cả các thiết bị mà chúng tôi có.
Vì vậy, nếu chúng
ta đến đây, ngay cả trước khi chúng ta xem đầu ra của các thông
báo, hãy chỉ xem các gói đã được tạo.
Bạn có thể thấy rằng có một thiết bị ở đây.
Nguồn này, đang phát sóng, vì vậy về
cơ bản nó không có đích.
Nó hỏi tất cả các thiết bị khác trong
mạng và hỏi về từng IP có thể.
Vì vậy, về cơ bản là hỏi ai có IP này?
Và nói với IP 67.
Và sau đó nó hỏi ai có IP 241?
Nói với 67.
Ai có 251?
Nói với 67, và nó đang
làm điều này cho mọi IP có thể.
Vì vậy, về cơ bản nó đang
kiểm tra xem có tồn tại bất kỳ IP nào trong phạm vi hay không và
nó yêu cầu trả lại phản hồi cho IP
ở mức 10. 20. 40. 67.
Vì vậy, từ đó chúng ta có thể suy ra rằng ai đó
đang cố gắng khám phá tất cả các thiết bị được kết nối và ai đó
đang ở độ tuổi 10. 20. 40. 67.
Bây giờ nếu chúng tôi đi vào phân tích và thông tin chuyên gia,
bạn sẽ thấy rằng chúng tôi đã phát hiện một cơn bão gói ARP.
Vì vậy, về cơ bản nó có nghĩa là có một thiết bị
duy nhất gửi một số lượng rất lớn các gói ARP.
Vì vậy, họ có thể đang cố gắng khám phá các thiết bị được kết nối hoặc
cố gắng khám phá các cổng được kết nối.
Vì vậy, nó cho chúng ta biết rằng người này
đang cố gắng làm điều gì đó đáng ngờ.
Bây giờ chúng ta hãy bắt đầu và tôi sẽ thực hiện một cuộc tấn công bằng ARP và chúng tôi sẽ xem
liệu chúng tôi có thể nhận được bất kỳ thông báo hoặc cảnh báo
nào trong Wireshark hay không.
Bây giờ tôi sẽ đi phân tích và thông tin chuyên gia một lần nữa và nếu chúng ta
quan sát, chúng ta sẽ thấy rằng chúng ta có một cảnh báo ở đây
và cảnh báo cho chúng ta
biết rằng có một địa chỉ IP trùng lặp được định cấu hình.
Vì vậy, một lần nữa điều này cho
chúng ta biết rằng địa chỉ IP của bộ định
tuyến có hai địa chỉ MAC khác nhau.
Về cơ bản, điều này có
nghĩa là ai đó đã giả mạo điều này và giả
mạo bảng ARP của chúng tôi, cố gắng
đặt mình vào giữa bằng cách sử dụng một cuộc
tấn công nhiễm độc ARP.
Bây giờ chúng tôi đã thấy một số phương pháp để phát hiện ngộ độc ARP.
Hãy thảo luận về cách chúng ta có thể ngăn
chặn nó hoặc bảo vệ bản thân khỏi nó.
Bây giờ tôi sẽ chạy ARPA
và chúng ta sẽ xem xét bàn của mình.
Có các công tắc sẽ giám sát điều này cho bạn và chúng sẽ thông
báo cho bạn hoặc thậm chí
ngăn chặn các cuộc tấn công nhiễm độc ARP.
Một cách khác để làm điều đó là nếu bạn nhìn vào đây.
Nếu bạn nhìn vào bộ định tuyến của
mình, bạn sẽ thấy mục nhập này trong bảng là động.
Vì vậy, loại mục nhập này là động.
Điều đó có nghĩa là, về cơ bản điều này không thể thay đổi.
Đó là hệ thống cho phép giá trị này được thay đổi.
Bạn có thể thấy ngay tại đây, bạn có các giá trị tĩnh
về cơ bản có nghĩa là, hệ thống sẽ không bao giờ cho phép các giá
trị này thay đổi.
Vì vậy, bạn có thể sử dụng các bảng ARP tĩnh,
về cơ bản có nghĩa là bạn sẽ phải định cấu hình từng
địa chỉ IP.
Vì vậy, bạn phải thực sự cấu hình bảng ARP của mình
và ánh xạ từng địa chỉ IP thành địa chỉ MAC,
đến địa chỉ MAC có liên quan.
Nhưng một khi bạn làm điều
đó, ngay cả khi ai đó cố gắng gửi phản hồi đến máy
tính của bạn tryna để thay đổi nó,
hệ thống sẽ từ chối thay đổi bất kỳ điều
gì vì bạn đã định cấu hình bảng ARP của mình là tĩnh.
Vấn đề duy nhất với điều đó, là mỗi khi bạn kết nối
với mạng và mỗi khi có thiết bị mới kết
nối với mạng của bạn, bạn
sẽ phải định cấu hình thủ công thiết
bị đó để hoạt động với mạng của bạn.
Vì vậy, nó không phải là một giải pháp rất hữu ích nếu bạn đang ở trong
một công ty lớn hoặc nếu bạn đang ở trong một công ty lớn.
Nhưng có thể trong một ngôi nhà nhỏ hoặc trong một
công ty nhỏ thì đây sẽ là một giải pháp thực
sự tốt để ngăn chặn các cuộc tấn công
nhiễm độc ARP vì mọi thứ sẽ ở trạng thái tĩnh,
bạn sẽ phải thiết lập nó theo cách thủ công, nhưng
khi ai đó cố gắng thực hiện Cuộc tấn công nhiễm độc ARP ngay
cả khi cuộc tấn công của họ thành công
và họ sử dụng các công cụ tốt nhất có thể,
bảng của bạn được thiết lập theo cách cố định.
Nó không thể thay đổi được.
Vì vậy, hệ thống sẽ luôn từ chối thay đổi
giá trị của địa chỉ MAC, điều này về cơ bản có
nghĩa là các cuộc tấn công đầu độc ARP sẽ không bao giờ
hoạt động chống lại bạn.