El protocolo ARP permite encontrar la dirección hardware equivalente a una determinada dirección IP, actuando como traductor e intermediario. El mensaje ARP identifica el tipo de hardware, protocolo, tamaño de direcciones y operación. El envenenamiento ARP falsifica las tablas ARP para interceptar el tráfico entre un host y el router, permitiendo al atacante insertarse como intermediario.
2. ARP
Permite encontrar la dirección hardware
equivalente a una determinada dirección IP,
actuando como traductor e intermediario.
3. ARP El mensaje
Tipo de HW: identifica el tipo
de hardware que se utiliza:
Ethernet, ATM, HDLC,
Tipo de protocolo: IPv4.
Tamaño de dirección HW:
para Ethernet (MAC) son 6
bytes.
Tamaño de dirección de
protocolo: Para la IPv4 son 4
bytes.
Operación ARP: petición o
respuesta.
5. Envenenamiento ARP
Este tipo de vulnerabilidad consiste en el
envenenamiento de las tablas ARP de los host
implicados.
También conocido como ARP Spoofing,
falsificación ARP.
Se aprovecha de que las tablas son dinámicas y
cambian conforme la llegan respuesta ARP,
aunque no hayan pedido petición ninguna.
6. Envenenamiento ARP: Escenario
El objetivo es envenenar la tabla ARP para poder
llegar a situarse en medio de la comunicación
entre el router y el host de la victima. Este
método se conoce como MITM (Man in the
Middle).
Utilizar un cliente de mensajería para comprobar
la vulnerabilidad a la hora de mandar mensajes.
7. Envenenamiento ARP
Manos a la obra
Despues de instalar todas las herramientas
necesarias poner el ip_forward a 1 para habilitar
el reenvio de paquetes desde nuestro equipo
atacante.
Ahora utilizando una herramienta que es parte de
DnsSpoof invocamos los procesos para
envenenar las caché ARP.
8. Envenenamiento ARP
La obra continua
Si en el host de la victima visualizamos su cache
ARP podemos encontrarnos con lo siguiente:
Donde antes teníamos:
Imaginemos que utilizamos un cliente de
mensajería, el MSN y escribimos algunos
mensajes a algún contacto: