ARP-spoofing

Степан Ильин aka Step

Xakep, номер #068, стр. 068-060-3

Несложно догадаться, что для перехвата идущих от Куттера к Синтезу данных мы должны подкорректировать ARP-кэш отправителя. А так как протокол ARP не требует аутентификации, то выполнить это крайне просто. Достаточно послать ложный ARP-пакет Кутте (даже без соответствующего запроса!), в котором под якобы Синтезовскими координатами скрыт наш MAC-адрес. Не имея возможности проверить достоверность входящих данных, бедолаге ничего больше не останется, как принудительно занести в ARP-кэш полученные лжеданные. А значит, в обновленном ARP-кэше IP-адрес Синтеза будет соотнесен с МАС-адресом нашего компьютера, и весь предназначенный ему трафик попадет к нам. Это и называется ARP-спуфингом.

Разумеется, для полноценного (читай - двустороннего) перехвата данных потребуется провернуть аналогичные действия и с ARP-кэшем Куттера. При этом важно отметить, что, послав раз ложный ARP-пакет и подменив ARP-кэш чужого компьютера, нужно периодически выполнять эту процедуру вновь и вновь, так как любая операционная система также постоянно обновляет свой ARP-кэш через определенные промежутки времени.

Как я уже говорил, следующий важный шаг - обеспечение передачи всего чужого трафика настоящему владельцу. То есть все полученные нами пакеты должны дойти до истинного адресата, причем без видимых следов перехвата. Эта задача предельно проста и решается с помощью технологии IP forwarding, которую поддерживают многие операционки. Мы, правда, в чистом виде ею пользоваться не будем, а пойдем дальше и заюзаем сторонний софт, способный помимо переадресации пакетов выполнить саму подмену MAC-адресов в ARP-кэше каждой рабочей станции.

В действии

Поддержкой приема ARP-spoofing пока могут похвастать немногие сниферы. Тем не менее, в последнее время я все чаще и чаще встречаю софтины, имеющие соответствующий пункт в списке поддерживаемых функций. Среди них - набравшая немалую популярность утилита ettercap (http://ettercap.sourceforge.net). Эта программа заточена как под Windows, так и под многочисленные *nix платформы. И если с установкой виндовой версии проблем не будет по определению, то с *nix`овыми могут возникнуть некоторые трудности. Дело в том, что проге необходимы дополнительные внешние библиотеки libpcap (www.tcpdump.org/release/) и libnet (www.sourceforge.net/project/showfiles.php?group_id=4223). Желательно также проапдейтить ncurses (www.gnu.org/software/ncurses/ncurses.html) и openssl (www.openssl.org) для поддержки соответственно cursed-интерфейса и SSH/SSL-дешифровки. После установки этого хозяйства компиляция ettercap'а должна пройти как по маслу, если ты, конечно, не забудешь заветные "./configure, make, make install" из-за внезапного приступа амнезии.