Cuantos de nosotros ha escuchado hablar sobre ataques a la tabla ARP o ataques de Man In The Mitle, pues la finalidad de este post, es explicar un poco los conceptos básicos de como se llevan a cabo este tipo de ataques y/o como inician estos ataques.
NOTA: No usen el conocimiento para hacer mal a las persona, úsenlo para ampliar el conocimiento y poder aplicarlo para hacer el Internet un mundo mejor para los que vienen de tras, no sean niños ratas, ser especialista de seguridad o hacker no es de la noche a la mañana y el solo dar click a las herramientas no es suficiente.
Bueno pues sin más, espero les agrade.
¿Que es ARP?
Address Resolution Protocol por sus siglas en ingles (
ARP), es un protocolo que funciona en la capa de enlace del modelo de referencia
OSI o en la capa de red del modelo de referencia
TCP/IP.
¿Para que sirve?
Este protocolo es el responsable de encontrar "todas" las direcciones
MAC de las
NICs que se encuentra conectadas en una red y relacionarlas con la dirección
IP que tienen asignada.
En la mayoría de los sistemas operativos, contamos con un comando que nos permite desplegar la tabla ARP, en ella podemos observar que dirección IP tiene que MAC y viceversa. Para poder desplegar el contenido de la tabla, basta con ejecutar el comando arp -a desde la linea de comandos (cmd o terminal).
 |
| Entradas actuales en la tabla ARP |
¿Que es ARP cache poisoning attack?
Envenenamiento de la cache ARP, es un ataque bastante viejo, el cual sigue siendo hoy en día uno de los "trucos" encontrados en la caja mágica del atacante xD, el atacante hace uso de este ataque para poder "espiar" el trafico de la victima y saber a donde y con quien se esta comunicando, si esta viajando trafico sin cifrar, para capturar passwords en texto plano, etc.
¿Como funciona el ataque?
Protocolo ARP es un protocolo muuuuy viejo y dada su naturaleza no fue pensado para hacer mal alguien al contrario fue diseñado para la comunicación, por lo tanto es un protocolo que fue diseñado no pensando en la seguridad o que existirían personas mal intencionadas que usaran este para su propósito.
Imaginemos que dentro de la red hay un usuario visitando algún sitio de internet por lo que su comunicación va de la PC del usuario, pasando por el router y llegando al servidor web, el servidor web le responde su solicitud sin ningún problema.
En la misma red se encuentra un atacante y quiere ver lo que esta visitando la victima, en la mayoría de redes LAN, se encuentran configuradas con DHCP, esto es de mucha ayuda pero igual puede ser una puerta de entrada, ya que así como asigna una dirección IP al cliente que se conecta, también le asigna su puerta de enlace predeterminada (modem o router).
El atacante dentro de la misma red consigue la dirección MAC del la puerta de enlace, la maquina envía una petición ARP al
broadcast preguntando por la dirección MAC del modem el atacante realiza la suplantación de identidad de la MAC del modem, por lo que le responde al usuario que el tiene la dirección MAC, por lo que la maquina del usuario cree esto y agrega a su tabla ARP la dirección MAC e IP del atacante, BUM!!!!
La maquina del usuario al creer que el atacante es el modem o router a donde debe enviar los paquetes, esta sigue su flujo de comunicación, el atacante realiza el mismo proceso con el modem para decir que el es la maquina victima, de esta forma puede lograr hacer MITM, de esta forma la victima enviara la información, pasando por el atacante, el atacante la manda al modem, el modem al servidor web, y de regreso. De esta forma es como funciona el ataque.
NOTA: Aveces el atacante inunda la tabla ARP para causar que sea "actualizada" y de esta forma poder realizar el ataque sin problemas.
 |
| Ilustración MITM attack |
Para una mayor comprensión, el siguiente diagrama muestra el proceso del ataque.
Bien, de acuerdo a la explicación anterior, procedemos hacer la demostración del ataque, para esto haremos uso de un script echo en python el cual hace uso de scapy, para los que no han escuchado sobre este, les dejo un post que escribí
scapy python.
Ya se que existen herramientas que pueden ayudarnos a realizar este tipo de ataques, para el fin de este post usaremos scripts echos en python.
El script que usaremos en este post lo encontraran en mi
github.
La imagen a continuación muestra la tabla ARP de una maquina virtual windows.
La dirección IP 192.168.0.1 pertenece al modem, la IP 192.168.0.22 es la IP del atacante, como pueden observar cada dirección IP tiene una dirección MAC asociada, esta no debería ser duplicada ya que "es un identificado único", sin embargo suplantaremos al modem. La dirección IP de la maquina victima es 192.168.0.17.
Utilizando el script mencionado anteriormente, debemos realizar una pequeña modificación para adaptarlo a nuestro ambiente, debemos editar el nombre de la interfaz en mi caso eth0, editar la IP del target y la IP del gateway o puerta de enlace.
Deben realizar esos ajustes sino el script no ejecutara.
Corremos el script.
Observamos que el escript configura la interfaz eth0, obtiene las direcciones MAC de las IPs mencionadas anteriormente y comienza a realizar el ataque. Vamos a la maquina victima.
Observamos que hay 2 direcciones MAC idénticas en 2 direcciones IP diferentes, BUM!!!, tenemos la tabla ARP envenenada, al finalizar la ejecución del script se generará un archivo llamada arper.pcap haciendo uso de wireshark se puede mirar el contenido de lo capturado.
Bueno hasta aquí termina este post, espero les halla gustado, si es así compartan.
NOTA: Si alguien quiere compartir su conocimiento, este Blog se encuentra abierto para quien quiera publicar algo referente a hacking, reversing, etc. Todo con el afan de enseñar y no hacer daño a nadie, el que quiera publicar me pueden contactar por Telegram como @p4y104d
by p4y104d saludo!!!!
Gracias, todo bien explicado, !
ResponderBorrar