Уязвимость протокола ARP. Изменение ARP-таблицы узла - объекта атаки

Лабораторная работа №2 – Уязвимость протокола ARP

Цель работы

Используя программное средство компании Network Associates Inc SnifferPro 4.6 продемонстрировать уязвимости протокола ARP, научиться удалённо изменять ARP-таблицу узла - объекта атаки.

Содержание отчета:

1.  рассмотреть основные приёмы работы с протоколом ARP;

2.  изучить ARP-запроса от чужого имени (IP-адреса);

3.  рассмотрение удалённого изменения ARP-таблицы;

4.  выводы сделанные при исследовании;

Практическая работа

Основные приёмы работы с протоколом ARP

2.  Определение MAC - адреса локального компьютера команда ipconfig /all

3.  Определение MAC - адреса удалённого компьютера команда nbtstat -а <1Р-адрес>

4.  Просмотр ARP-таблицы (кэша) команда аrр -а

Посылка ARP-запроса от чужого имени (IP-адреса)

Для проведения атаки необходимо находится в одной подсети с объектом атаки и знать его IP-адрес.

1.  Настроить программу SnifferPro на перехват ARP-запросов. При этом необходимо использовать аппаратные адреса (MAC) узлов;

2.  Перехватить ARP-запрос. Можно не дожидаться такого пакета, а инициировать его посылку, очистив кэш ARP, и послав команду Ping <объект атаки>;

3.  В перехваченном ARP-запросе найти поле Sender's protocol address. Именно в нём указывается IP-адрес инициатора запроса. Если в этом поле поменять IP-адрес, можно послать запрос от имени любого узла;

4.  Для посылки пакета необходимо щёлкнуть правой кнопкой в поле на перехваченном пакете и в меню выбрать пункт Send Current Frame;

5.  В открывшемся окне отредактировать пакет, подставив в поле Sender' s protocol address адрес объекта атаки.

6.  Нажать кнопку ОК;

Результатом является предупреждающее окно на объекте атаки, вынуждающее пользователя нажимать кнопку ОК, либо запустить на удаленном компьютере SnifferPro, повторить попытку, и просмотреть полученный пакет.

Удалённое изменение ARP-таблицы

При определении соответствия IP-адреса и МАС-адреса используется кэш ARP. Воспользовавшись программой SnifferPro, атакующий может посылать объекту атаки ложные ARP-ответы, добавляя в его кэш неправильные записи. Для этого необходимо перехватить любой ответ на ARP-запрос, скорректировать его и отправить в сеть. Необходимо знать IP и MAC адреса объекта атаки.

1.  Определить МАС-адрес объекта атаки (ping <искомый адрес>, аrр -а)

2.  Перехватить любой ответ на ARP-запрос (например, передаваемый в п. 1)

3.  Скорректировать поля запроса следующим образом:

a.  DLC : Destination - вписать МАС-адрес объекта атаки

b.  DLC:  Source - вписать ложный МАС-адрес (или несуществующий)

c.  ARP: Sender's hardware address - вписать ложный МАС-адрес (или несуществующий)

d.  ARP:  Sender's protocol address - вписать IP-адрес узла, от имени которого посылается ответ

e.  ARP: Target hardware address - вписать МАС-адрес объекта атаки

f.  ARP: Target protocol address - вписать IP-адрес объекта атаки

4.  Отправить пакет в сеть

Атака удалённо изменяет ARP-таблицу узла - объекта атаки.