Vale, entonces ya me he puesto mi tabla ARP fija 

Llevo tiempo equivocándome entre por qué necesito un router enganchado a un módem, y no un switch. Porque un siwtch es capa 2, y no es capaz de leer las IP's?

Lo que ni entiendo es por qué cuando tiene un modem y un switch no funciona, pero si tienes todo eso+un router sí que funcion, al fin y al cabo el swtich seguirá sin poder dirigir los paquetes bien.

Un router tradicionalmente es un dispositivo capa 3 del modelo OSI, capa de red del modelo TCP/IP. Por lo tanto funciona revisando la cabecera de los paquetes IP y toma decisiones en base a la dirección lógica (es decir la dirección IP) haciendo un mapeo con su tabla de rutas, luego encamina el paquete por el puerto físico asociado ( encapsulándolo en una trama específica de la capa 2 que se use, puede ser por ejemplo ppp). Entonces es un dispositivo indispensable como dijo Bulld0z3r para unir redes diferentes (internets e Internet), por ejemplo una red 802.3 de México que envía paquetes a una ethernet en España a través de varias líneas ppp o de otro tipo. El router entonces implementa las tres primeras capas, por eso no tiene nada que ver con puertos lógicos como el 80, pues no implementa ni la capa de transporte ni la de aplicación, algo que si hacen los equipos o hosts finales.

El switch tradicional no toma decisiones para dirigir tramas (y paquetes) en base a la dirección IP sino en base a la dirección física, en el caso de un switch ethernet, revisa la dirección MAC en la cabecera de la trama y la dirige al puerto físico que esté mapeado en la tabla de forwarding con esa dirección. Por lo tanto el switch tradicional solo implementa las dos primeras capas y tampoco ve nada de puertos lógicos como el tcp 80 pues no implementa capa de red, ni de transporte ni de aplicación.

Hay que decir que hay dispositivos específicos que filtran por ejemplo tráfico en capa de aplicación que hoy se da por llamar gateways de aplicación.

Y bueno el modem es necesario junto al router por que la señal se modula de una determinada forma y tiene que demodularse igual. Asunto de capa física.

Hoy día existen dispositivos híbridos que incluyen modem, router y switch en un mismo aparato. El caso más común es el modem-router que dan las telco a sus clientes de ADSL.

Saludos.

Perdón por contestar hasta ahora, no pensé que el hilo continuara.


Ese es el sentido de un ataque Man in the middle (ponerse en medio e interceptar el tráfico entre el destino y la víctima o entre ésta y aquél), es también la forma en como funcionan las redes IP que lo permiten. Cuando la máquina que ataca manda paquetes ARP reply a la víctima (envenenamiento del ARP caché) le hacen creer que ella es el router y que si quiere enviar paquetes de conexión a hotmail, los tiene que mandar a través de ella. La víctima actualiza su caché y pone la dirección MAC del atacante en lugar de la del router y le manda todos sus paquetes destinados a cualquier máquina fuera de la LAN mientras continue el envenenamiento, sea a hotmail o gmail o facebook.

Ahora bien, el atacante configura su equipo para que reciba el tráfico http de la víctima (todo el tráfico dirigido al bien conocido puerto tcp 80 discriminando todo lo demás que no le interesa) y efectivamente actuar como un router, procesa los paquetes en todo el camino de desencapsulamiento (trama, paquete, segmento), entra en escena sslstrip para hacer creer que es una conexión segura cuando no lo es y finalmente los encamina al verdadero router quien se encarga de mandarlos al servidor de hotmail.  


El equipo atacante se está haciendo pasar por el router que manda los paquetes de la víctima, fuera de la LAN al servidor de hotmail. Sólo se pone en medio para husmear los paquetes y hacerse de los pass, es decir nunca en este caso se encarga de contestar.

Como ya te expliqué la máquina atacante recibe paquetes dirigidos al puerto 80 porque ese puerto está asociado con el tráfico http de la víctima, no le interesa otro, y de hecho a través de esa configuración descartará todo lo demás que pueda venir de la víctima. En realidad el equipo atacante no tiene a la escucha ningún servidor web, sólo tiene una regla del cortafuego para aceptar tráfico dirigido al puerto 80, porque no desea recibir todo lo que venga del equipo al que se está atacando, a ver si ahora me entiendes mejor.


No entiendo bien a que te refieres.

Por supuesto en este caso particular es sólo el equipo que esté siendo atacado mediante el envenenamiento ARP el que manda paquetes al atacante. De regreso de hotmail los paquetes llegan al router, usa NAT y como éste no está siendo atacado con envenenamiento ARP sabe a que equipo mandarlos. Todo el ataque incluyendo el uso de sslstrip es para capturar información privada que iría dirigida a una aplicación http aunque el usuario crea que es https.

 

Si no hubiera ataque de envenenamiento ARP en la víctima y pudieras 'ver' los paquetes que pasan por el router efectivamente podrías ver el tráfico http, si fuera tráfico https iría cifrado. Pero recuerda un router tradicionalmente no está diseñado para 'ver' el contenido de los paquetes IP, sólo revisa la cabecera de éstos para tomar decisiones de por cual puerto físico encaminarlo(mapeando la dirección IP con sus tablas de rutas) o si encuentra un error en ella regresar un paquete de control (ICMP) al equipo que los mandó.

Saludos.

Jajaja
Sí, supongo que error de dedo, es sslstrip. Me imagino que sabes que es la herramienta que se utiliza en este ataque para 'remover' ssl de la conexión segura. Que más bien es para hacerle creer a la víctima que está usando conexión https pero que en realidad es http. Como este protocolo no cifra la data entonces esta viaja en plano en la red local y ese es el contexto en el que se puede dar este ataque.


Así como lo planteas creo que no, pues primero se estableció la conexión segura. Segundo el envenenamiento ARP permitiría capturar los paquetes de la víctima (ésta cree que su comunicación de capa 3 es con quien supone: el router) pero de nada serviría pues éstos irían cifrados porque la conexión ya se estableció con uso de SSL. En cambio si de alguna forma pudiera el atacante lograr que las conexiones no fueran cifradas, es decir que tanto el server como el cliente negociaran una conexión en donde los datos viajaran en texto plano de ida y regreso sin que se percate la víctima, entonces sería teoricamente posible. Con sslstrip al menos para los mensajes de ida ayudándose de un analizador de paquetes y con algún filtro o search por /ajax/chat/send.php podría servir pero no lo he probado. También si la conexión pasa por un proxy http si mal no recuerdo es posible interceptar los paquetes de la víctima.



Aunque existen versiones win32 del httpd de Apache, tienes razón, dudo mucho que lo utilicen en los servers de Hotmail xDD


Saludos.