Ya vimos en su momento como detectar sniffers en redes conmutadas y no conmutadas. donde también vimos como funciona el protocolo ARP.
En este artículo vamos estudiar como detectar un Arp-poison o Envenenamiento ARP en Tshark.
La vulnerabilidad
De forma muy básica. Es posible engañar a un determinado host diciéndole que la dirección MAC con quien se comunica sea otro host (C) distinto al que pretende comunicarse. De esta forma podemos redireccionar hacia (C) todo el tráfico que supuestamente debería ir de (A) –> (B). Una explicación más detallada en la Wikipedia.
Ettercap ARP-Poison
Los pasos seguidos para realizar en nuestra red un Envenenamiento ARP son los siguientes:
- Sniff > Unified Sniffing... (seleccionamos interface de red)
- Hosts > Scan for Hosts
- Hosts > Hosts List
- Target 1 (seleccionamos por ejemplo la Puerta de Enlace)
- Target 2 (seleccionamos la «víctima»)
- Mitm > Arp poisoning..
- Start > Start Sniffing > Sniff remote connections.
- Al terminar. Mitm > Stop mitm attack(s) y Start > Stop Sniffing
Detectando con Tshark
Filtramos por protocolo ARP y vemos lo siguiente:
Seguridad y Redes 