Piratage éthique - Empoisonnement ARP
Le protocole ARP (Address Resolution Protocol) est un protocole sans état utilisé pour résoudre les adresses IP en adresses MAC machine. Tous les périphériques réseau qui doivent communiquer sur le réseau diffusent des requêtes ARP dans le système pour trouver les adresses MAC des autres machines. L'empoisonnement ARP est également connu sous le nom deARP Spoofing.
Voici comment fonctionne ARP -
Lorsqu'une machine a besoin de communiquer avec une autre, elle recherche sa table ARP.
Si l'adresse MAC n'est pas trouvée dans le tableau, le ARP_request est diffusé sur le réseau.
Toutes les machines du réseau compareront cette adresse IP à l'adresse MAC.
Si l'une des machines du réseau identifie cette adresse, elle répondra au ARP_request avec son adresse IP et MAC.
L'ordinateur demandeur stockera la paire d'adresses dans sa table ARP et la communication aura lieu.
Qu'est-ce que l'ARP Spoofing?
Les paquets ARP peuvent être falsifiés pour envoyer des données à la machine de l'attaquant.
L'usurpation d'ARP construit un grand nombre de paquets de demande et de réponse ARP falsifiés pour surcharger le commutateur.
Le commutateur est réglé sur forwarding mode et après le ARP table est inondé de réponses ARP falsifiées, les attaquants peuvent renifler tous les paquets réseau.
Les attaquants inondent le cache ARP d'un ordinateur cible avec des entrées falsifiées, également appelées poisoning. L'empoisonnement ARP utilise l'accès Man-in-the-Middle pour empoisonner le réseau.
Qu'est-ce que le MITM?
L'attaque Man-in-the-Middle (abrégé MITM, MitM, MIM, MiM, MITMA) implique une attaque active où l'adversaire usurpe l'identité de l'utilisateur en créant une connexion entre les victimes et envoie des messages entre elles. Dans ce cas, les victimes pensent communiquer entre elles, mais en réalité, l'acteur malveillant contrôle la communication.
Un tiers existe pour contrôler et surveiller le trafic de communication entre deux parties. Certains protocoles tels queSSL servent à empêcher ce type d'attaque.
Empoisonnement ARP - Exercice
Dans cet exercice, nous avons utilisé BetterCAP pour effectuer un empoisonnement ARP dans un environnement LAN à l'aide du poste de travail VMware dans lequel nous avons installé Kali Linux et Ettercap outil pour renifler le trafic local dans le LAN.
Pour cet exercice, vous aurez besoin des outils suivants -
- Station de travail VMware
- Système d'exploitation Kali Linux ou Linux
- Outil Ettercap
- connexion LAN
Note- Cette attaque est possible dans les réseaux filaires et sans fil. Vous pouvez effectuer cette attaque dans le LAN local.
Step 1 - Installez le poste de travail VMware et installez le système d'exploitation Kali Linux.
Step 2 - Connectez-vous à Kali Linux en utilisant le mot de passe «root, toor».
Step 3 - Assurez-vous que vous êtes connecté au LAN local et vérifiez l'adresse IP en tapant la commande ifconfig dans le terminal.
Step 4 - Ouvrez le terminal et tapez «Ettercap –G» pour démarrer la version graphique d'Ettercap.
Step 5- Cliquez maintenant sur l'onglet «sniff» dans la barre de menu et sélectionnez «unified sniffing» et cliquez sur OK pour sélectionner l'interface. Nous allons utiliser «eth0» qui signifie connexion Ethernet.
Step 6- Cliquez maintenant sur l'onglet «hôtes» dans la barre de menu et cliquez sur «rechercher des hôtes». Il commencera à analyser l'ensemble du réseau pour les hôtes actifs.
Step 7- Ensuite, cliquez sur l'onglet «hôtes» et sélectionnez «liste d'hôtes» pour voir le nombre d'hôtes disponibles sur le réseau. Cette liste comprend également l'adresse de la passerelle par défaut. Nous devons être prudents lorsque nous sélectionnons les cibles.
Step 8- Il faut maintenant choisir les cibles. Dans MITM, notre cible est la machine hôte, et la route sera l'adresse du routeur pour transférer le trafic. Lors d'une attaque MITM, l'attaquant intercepte le réseau et renifle les paquets. Nous allons donc ajouter la victime comme «cible 1» et l'adresse du routeur comme «cible 2».
Dans l'environnement VMware, la passerelle par défaut se terminera toujours par «2» car «1» est attribué à la machine physique.
Step 9- Dans ce scénario, notre cible est «192.168.121.129» et le routeur est «192.168.121.2». Nous allons donc ajouter la cible 1 commevictim IP et cible 2 comme router IP.
Step 10- Cliquez maintenant sur «MITM» et cliquez sur «Empoisonnement ARP». Ensuite, cochez l'option «Sniff remote connections» et cliquez sur OK.
Step 11- Cliquez sur «démarrer» et sélectionnez «commencer à renifler». Cela va commencer l'empoisonnement ARP dans le réseau, ce qui signifie que nous avons activé notre carte réseau en «mode promiscuous» et que maintenant le trafic local peut être sniffé.
Note - Nous n'avons autorisé que le reniflage HTTP avec Ettercap, donc ne vous attendez pas à ce que les paquets HTTPS soient reniflés avec ce processus.
Step 12- Il est maintenant temps de voir les résultats; si notre victime s'est connectée à certains sites Web. Vous pouvez voir les résultats dans la barre d'outils d'Ettercap.
C'est ainsi que fonctionne le reniflement. Vous devez avoir compris à quel point il est facile d'obtenir les informations d'identification HTTP simplement en activant l'empoisonnement ARP.
L'empoisonnement ARP a le potentiel de provoquer d'énormes pertes dans les environnements d'entreprise. C'est ici que sont désignés les hackers éthiques pour sécuriser les réseaux.
Comme l'empoisonnement ARP, il existe d'autres attaques telles que l'inondation MAC, l'usurpation MAC, l'empoisonnement DNS, l'empoisonnement ICMP, etc. qui peuvent causer des pertes importantes sur un réseau.
Dans le chapitre suivant, nous aborderons un autre type d'attaque appelé DNS poisoning.