ARP envenenamiento: exactamente cómo funciona

4

¿Alguien puede decirme cómo funciona exactamente el envenenamiento ARP?

Porque estaba seguro de que funcionó como dije aquí .

Pero me han dicho que no es así como funciona el envenenamiento ARP. Que la ruta que he mencionado en el enlace sea incorrecta, porque la correcta sería:
target (C) - > enrutador (A) --- > atacante (B) - > enrutador (A) - > internet.

Y me han dicho que debido a la ruta mencionada anteriormente, no necesitaría el PTK para descifrar el tráfico porque el enrutador descifraría el tráfico para mí.

Entonces, ¿cuál es el correcto?

    
pregunta loopOfNegligence 08.03.2017 - 14:42
fuente

2 respuestas

1

En pocas palabras, ambas descripciones son esencialmente correctas, ya que 802.11 está hablando a través del enrutador (piense en esto como un interruptor en este contexto) para llegar a su casilla. Desde una perspectiva de capa superior (el borde entre L2 y L3, que es esencialmente ARP), su modelo es correcto. (Víctima > Atacante > Enrutador)

Desde una capa inferior posiblemente el borde entre L1 y L2, ambos dispositivos están hablando al enrutador, por lo que (Víctima - > AP - > Atacante - > AP - > Router - > Internet)

Por lo tanto, el dispositivo víctima envía un paquete al atacante y, en el proceso, lo encapsula en un paquete 802.11 dirigido al punto de acceso. El punto de acceso desencapsula y descifra ese paquete, cifra y encapsula ese paquete dirigido al atacante.

Para responder a su otra pregunta, si funciona, entonces sí, elude la clave transitoria (teniendo en cuenta que ya conoce la contraseña para acceder a la red).

El modelo OSI no es muy bueno en la práctica, pero aún así es como pienso en las cosas ...

Como un aparte, todos los enrutadores WiFi que probé en los últimos años (solo unos pocos) han detectado la falsificación de ARP y han bloqueado, o han enviado a la víctima la dirección correcta, ya que se da cuenta de que algo anda mal. Dudo que sea tan común con los AP porque el enrutador es un dispositivo separado del cual el AP no es tan consciente. Raramente lo intento, ya que en la mayoría de los casos es más fácil descifrar el objetivo, luego capturar la clave transitoria en la reconexión.

    
respondido por el user2867314 08.03.2017 - 15:10
fuente
0

De manera simplista, el protocolo ARP es una forma de asignar su dirección de hardware (Dirección física) con una dirección IP. Dado que las direcciones HW son únicas, proporciona a los enrutadores un medio para saber a qué computadora enviar en la capa de enlace de datos.

ARP Poisoning es un método de ataque en el que el atacante envía mensajes ARP que anuncian que su dirección física está asociada con una IP y un enrutador de destino. Los sistemas de destino enviarán datos al atacante ya que parece ser el destino correcto.

Esto se aplica a los sistemas locales WiFi y cableados, ya que ARP es el protocolo de red local.

Descripción básica (que es lo que creo que muestra tu diagrama:

  • El atacante le dice a Target Server que el enrutador está en 192.168.1.1 con HW DIRECCIÓN: AA: BB: CC: DD: EE: FF
  • El atacante le dice a Router que el servidor de destino está en 192.168.1.2 con HW DIRECCIÓN: AA: BB: CC: DD: EE: FF
  • El servidor de destino piensa que los enrutadores HW ADDRR son AA: BB: CC: DD: EE: FF y a través del enlace de datos y se envían al atacante.
  • El atacante interpreta, rastrea sus datos y los envía al enrutador.
  • El enrutador obtiene la información pensando que viene de Target

Parece que hay confusión en el hilo enlazado, pero para señalar otros están haciendo, Sniffing WiFi y descifrando su algoritmo de encapsulación y ARP falsificando cosas diferentes.

    
respondido por el Shane Andrie 08.03.2017 - 19:38
fuente

Lea otras preguntas en las etiquetas