• Meetings e Workshop
    l'associazione organizza workshop e meeting periodici

  • HowTo e manuali
    come costruire da te gadget elettronici e come programmarli

  • Hacking della PS3
    howto su come installare linux ed effettuare altri hack

  • Una comunità organizzata
    entra a far parte di una associazione organizzata e attiva

  • Strumenti di supporto
    per mantenersi in contatto e favorire la cooperazione

compendio - ARP poisoning PDF Stampa E-mail
Scritto da Carlo Denaro - Blackout   
Carlo Denaro - Blackout

La letteratura informatica dice in merito: è una tecnica di hacking che permette di concretizzare l'attacco man-in-the-middle in una rete switched lan mediante l'utilizzo di pacchetti ARP reply creati ad hoc.

 

 

Esempio pratico

Questo attacco si basa sulla insicurezza intrinseca del protocollo ARP  dato che manca un protocollo di autenticazione. Difatti ARP utilizza come autenticazione un codice di 48bit meglio conosciuto come MAC.

Un host che entra in rete effettua un ARP Request in broadcast e riceve tanti ARP Reply in unicast quanti sono gli altri host collegati allo stesso network switched. Il protocollo ARP successivamente associa un IP (32bit) a un MAC e si costruisce la tabella ARP.

L'attacco di conseguenza è semplice, inviando una mole di dati preconfezionati a dovere ARP Reply a un determinato host, forziamo la cache a "cambiare" e di conseguenza inquiniamo (o avveleniamo) tramite ARP la percezione degli altri host della vittima. In pratica facciamo credere alla vittima di essere un altro.

Se abbiamo una rete del genere

IP: 192.168.1.1 (Vincent) MAC: 00:00:00:00:00:AA <<<< Attacker

IP: 192.168.1.2 (Alice) MAC: 00:00:00:00:00:BB <<<< Victim #1

IP: 192.168.1.3 (Bob) MAC: 00:00:00:00:00:CC <<<< Victim #2

noi con dei pacchetti ARP Reply appositi inviati a Alice e Bob forziamo la loro cache in questo modo

Cache di Alice

IP: 192.168.1.1 (Vincent) MAC: 00:00:00:00:00:AA

IP: 192.168.1.2 (Alice) MAC: 00:00:00:00:00:BB

IP: 192.168.1.3 (Bob) MAC: 00:00:00:00:00:AA

Capite quindi che "avvelenando" anche Bob abbiamo raggiunto lo scopo. Adesso se forwardiamo i messaggi di Bob ad Alice e quelli di Alice a Bob (visto che transitano da noi) abbiamo effettuato con successo un attacco man-in-the-middle.

Come si fa?

Semplicissimo, basta creare pacchetti ARP Reply contaminati. Il software più conosciuto e più completo è Ettercap, esso permette di effettuare questo tipo di attacco. In accoppiata con Wireshark diventa uno strumento spaventoso.

Come ci si difende?

Difendersi da un ARP Poisoning non è molto semplice, possiamo asserire senza pericolo di sbagliare che i metodi migliori sono quelli euristici che effettuano una analisi della rete e della ARP Cache. Fra questi abbiamo Nast, ArpON, Arpwatch. Essi sono principalmente dei "demoni" che si mettono in ascolto e analizzano in continuazione il traffico. Ovviamente capite che se abbiamo una manciata di IP che riconducono a un solo MAC, c'è qualcosa che non va di fondo.

La migliore soluzione resta quella di non fidarsi, di connettersi a reti estranee usando dei tunnel ssh o delle VPN, di far collegare guest nella propria rete su una rete separata da quella principale, in modo che non possano fare danni.

Forum

[Thread nel forum]


 

Aggiungi commento


Codice di sicurezza
Aggiorna


grayhats.org, Powered by Joomla!; Joomla templates by SG web hosting
valid xhtml valid css