ARP Spoofing con nemesis y Caín & Abel by 3QU1|\|0X

Por favor corregidme si me he equivosado en algo, estoy acostumbrado a trabajar con esto en Linux así que no fue muy cómodo hacer un tutorial de estos es Windows.

¡Recuerda que esto tiene fin únicamente didáctico!, no me responsabilizó por como uses está información aquí dada.

Bueno, este es un simple manual del envenenamiento arp en una red local pero… ¿para qué sirve esto? Bueno nos remontaremos a los principios.

En lo general el router se “comunica” y configura la señal de Internet con cada ordenador en la LAN mediante la MAC (dirección física de cada PC) y con esto puede mapear puertos, distribuir información, mantener conexión, etc. En fin con ARP spoofing podríamos hacer lo siguiente (entre otras cosas):

------------Ataques de “tumbar al Internet a una máquina local”:

Esto es muy fácil, consiste en spoofear la MAC adress de una IP en la LAN y enviar un paquete protocolo ARP al router (generalmente 192.168.1.1 o 10.0.0.1 en redes comunes) entonces procedemos con el ataque, para esto utilizaremos el nemesis, la sintaxis explicada sería:

C:\> nemesis arp –S (dirección IP a tumbar el Internet) –D (IP del router) –H 00:GF:51:KJ:65 <-- dirección de fuente MAC (falsa)

Aquí se enviará un paquete que refrescará la MAC Adress de la IP fuente ( la máquina a tumbarle el Internet)  y dado que la MAC adress es falsa el router no podrá “asociar” correctamente la IP con la MAC y así se “cortará” el Internet a ese ordenador. Pero… el router hace un query de MAC adress como cada 5 minutos, por lo tanto no duraría más de 5 minutos esa “caída del Internet a una máquina objetivo”, ¡OH no!, pero recuerda nuestra CPU tiene un registro contador!! Es decir haz uso del bucle infinito!! Y listo solo programa un bucle en el CMD para que lancé ese comando una y otra vez así adiós Internet!.

P.D.: Imagino que ya sabéis como programar un simple bucle en el CMD.

P.D.2: Imagino, también que eres capaz de obtener la dirección del router sino haz esto:
 C:\>tracert www.cualquierhost.com

Ésto te dará los “pasos” desde tu máquina hasta el host que seleccionaste, obviamente tendrá que pasar por el routers (en las LANs comunes) sino, ya el Caín & Abel te dirá la dirección indirectamente, se debería poder reconocer un router por sus características e paquetes, máscara de subred y lo más común: el típico número 10.0.0.1 y 192.168.1.1.

------------Ataques de sniffing man-in-the-middle (¿se pone interesante no?):

OK, esto es muy útil para cuando se está infiltrado en una red ¿en que consiste? Pues veamos el siguiente diagrama básico de una conexión a Internet de una máquina a través de un router:

Máquina
(objetivo) -------- Router------- Internet

Ahora ¿qué pasaría si la información corriera así?:

Máquina
(objetivo) -------- Máquina (sniffer) ------ Router ----- Internet

Pues nada más y nada menos tendríamos toda la información de la red de la máquina objetivo que fuese hacia o hasta el router (para acceder a un servicio de Internet), entre ella contraseñas, información , en fin cualquier dato e texto plano (el SSH también pero como está cifrado es un joder bien grande. Es muy fácil de hacer no recomiendo usar el nemesis, sin embargo el Caín & Abel tiene un buen sniffer que soporta un ARP automatizado con una bonita GUI ¿qué lindo verdad? Desafortunadamente este sniffer no soporta redes wireless.

Empezamos con el sencillo ataque:

Descargamos Caín & Abel de http://www.oxid.it

Abrimos el programa y nos vamos a la pestaña “sniffer”

Abrimos la pestaña ARP
 
Se selecciona la primera tabla y se le da al  “+” en la parte superior, allí dará las opciones de IPs y direcciones MAC, con lo explicado antes se podrá hacer esto fácilmente.

Se seleccionan las IPs de “un extremo a otro de la conexión”  y a activar el sniffer!!.

P.D.: Aquí he trabajado en Windows por ser más fácil pero no más completo en herramientas para estos ataques. Nemesis esta disponible también para la comunidad *.nix (http://www.packetfactory.net/projects/nemesis/).

P.D.2: Hay una forma de revisar por donde viajan los paquetes con tracert (paquees ICMP que colapsan TTL con cada salto) si el administrador es inteligente empezará a notar cosas raras si tiene un sniffer monitoreando así que con un simple tracert sabría quien está redirigiendo los paquetes por su máquina así que no te pillen!

P.D.3: Nota de Caín & Abel del ARP spoof:

“Warning !!!

APR enables you to hijack IP traffic between the selected host on the left list and all selected hosts on the right list in both directions. If a selected host has routing capabilities WAN traffic will be intercepted also. Please note that since your machine has not the same performance of a router you could cause DoS if you set APR between your Default Gateway and all other hosts on your LAN.”

P.D.4: Más información en:
http://nemesis.sourceforge.net/manpages/nemesis-arp.1.html

http://foro.elhacker.net/index.php/topic,33197.0.html

Descargar nemesis para Windows y *.nix : http://nemesis.sourceforge.net/

P.D.5: ¡Recuerda que esto tiene fin únicamente didáctico!, no me responsabilizó por como uses está información aquí dada.

Saludos. Se despide 3QU1|\|0X.

0V3R…

Muy bien el manual, aunque me gusta mas los de Gospel ahi en su pdf to chulo XD.

Aunque el tuyo esta tambien muy bien mientras mas manuales haya mejor

esta muy bien el tutorial, felicidades y gracias

Bueno lo de las capas... averno tiene razon disculpen, así que estos ataques no se debería hacer hacia el router sino hacia el switch (en caso de que hubiera). Sino ya se puede tomar que el refrescaiento ARP se realiza a través del router, y que sería una red Por ejemplo: tipo estrella o estrella circular...

Gracias por la correción, aunque la dirección de enlace en caso de la existencia de un switch distribuidor señalaría la dirección del switch... así uqe difiriría de la parte física del dispositivo (router o switch) sin embargo daría la IP del enrutador en enlace, que trabajaría, como es una función de distribuir, utilizando asi direcciones físicas.

Ahhh lo malo de estos ataques es la facilidad de que te pillen, eso podría (de hecho en cualquiera buena LAN con un buen administrador) se darían cuenta y vería tu MAC Adress infringiendo ciertos parametros de enrutamiento.

No sé si me explco con claridad.

¡Gracias por las felicitaciones!

Salu2

Hola a todos!.
Haciendo pruebas me ha surgido una duda, ¿es posible hacer el envenenamiento en vez de entre un router y un PC, entre dos routers?.

Es decir

Máquina
(objetivo) -------- Router A------- Router B--------Internet
                                       |
                                       |
                                       |
                                  PC Sniffer

Es decir, a la hora de indicar al Cain las IP's que queremos envenenar, darle las de los routers A y B.
He estado intentando hacer esto, y no soy capaz. A ver si alguien me puede echar una mano.

Un saludo!.