Arp spoofing

De SeRoM - Wiki
Aller à : navigation, rechercher


Description

L'usurpation d'adresse ARP est une technique utilisée en informatique pour attaquer un réseau Ethernet. Cette technique peut permettre à l'attaquant d'écouter les flux transitant sur un réseau local switché, ou de bloquer son trafic.

Installation

apt-get install dsniff

Il faut activer l'ip_forwarding pour que cela fonctionne:

echo 1 > /proc/sys/net/ipv4/ip_forward

Mise en oeuvre

Description de l'exemple

Soit la machine cible (victime) 192.168.2.157, sa gateway 192.168.2.1 et la machine du pirate 192.168.2.129. Le pirate accède au réseau local via sa carte réseau sans fil, étant eth2 dans son cas.

Réalisation

Le cache ARP de la machine cible est:

# arp

Address            HWtype        HWAddress                Flags Mask       Iface
192.168.2.1         ether         00:C0:49:5B:6D:3E        C                eth2
192.168.2.129       ether         00:12:F0:9B:C7:18        C                eth2

Le pirate lance alors:

arpspoof i -eth2 -t 192.168.2.157 192.168.2.1

En n'utilisant pas le paramètre -t et l'adresse IP de la cible, les paquets ARP seront envoyés à tout le monde. Pratique pour empoisonner entièrement tout un LAN facilement.

Les paquets envoyés sont des paquets ARP empoisonnant le cache ARP de la machine 192.168.2.157 avec des ARP Reply indiquant que l'adresse MAC associée à 192.168.2.1 est maintenant celle du pirate.

le cache ARP de la machine cible est maintenant:

# arp

Address           HWtype        HWAddress                Flags Mask       Iface
192.168.2.1        ether        00:12:F0:9B:C7:18        C                eth2
192.168.2.129      ether        00:12:F0:9B:C7:18        C                eth2

Le pirate est désormais capable de sniffer le trafic de la machine 192.168.2.157 vers 192.168.2.1.

Problème

De cette manière, le pirate aura beau envoyer un packet ARP au LAN entier (où à une cible précise), si la machine ciblée a déjà dans son cache ARP une entrée concernant l'adresse 192.168.2.1 (celle qu'on souhaite rediriger donc), le cache ARP ne se mettra pas à jour.

Solutions

MAJ auto du cache ARP

Un cache ARP permet de ne pas saturé le réseau de requêtes constamment. Une fois une machine détectée, on enregistre la relation IP - MAC, et on la garde un certain temps. Après un labs de temps, le cache ARP se met à jour, il interroge les machines dans son cache et vérifie le tout. C'est à ce moment que le pirate devra attaquer, en injectant ses packets ARP empoisonnés à l'aide de arpspoof.

Supprimer cache ARP

Cette solution n'est pas vraiment ... recommandée. Elle implique que le pirate a un accès physique au réseau qu'il souhaite infecté (ou la machine). Il faut que chaque machine a infectée, supprime son cache arp, et qu' ensuite le pirate envoie ses packets ARP avec arpspoof. La commande pour supprimer le cache est:

 arp -d

ARP cache poisoning

Voir cette page.