Ataque de Hombre En El Medio (MITM) con ArpSpoof

La mayoría de estudiantes me pregunta como se puede lograr ver el tráfico de una máquina cualquiera; para eso existen diversas técnicas, desde troyanizar la máquina, reconfigurar el proxy de la víctima, hasta generar un ataque de Hombre en  el Medio.
Este ataque es de los más utiles debido a que no se requiere hacer absolutamente nada en la maquina que deseamos escuchar el tráfico;
Debemos tener en cuenta que en las redes interconectadas por switch solo el tráfico broadcast es el que llega a todas las máquinas, asi que si activamos un sniffer sin realizar un ataque de Hombre en el medio, vamos a ver únicamente este tipo de trafico, es decir consultas y respuestas ARP.

Para realizar esta prueba de concepto necesitamos:

• Una Máquina corriendo Linux; preferiblemente BackTrack (Yo utilizo la version 5 R2)
• Una Máquina que haga las veces de Víctima del Ataque
• Las dos máquinas deben estar en la misma red y utilizar la misma puerta de enlace o gateway.

El Linux BackTrack (Una de mis Herramientas Favoritas) ya incorpora todas las aplicaciones que utilizaremos para este efecto; lo mas importante es que tengamos la suit dsniff; si usamos un Linux que no la tenga instalada, entonces simplemente podemos escribir:

root@linux:~# apt-get install dsniff

Una vez instalada la suite dsniff podemos comenzar.

Lo primero que debemos conocer es la dirección ip de la máquina víctima y su puerta de enlace;
con esta información

Como debemos estar en una Red Local, será muy facil el encontrar la IP de la maquina víctima, para eso tenemos herramientas excelentes como Nmap, Hping3, Genlist; si alguien necesita mas información sobre ellas, por favor escribame un mensaje y trataré de postear información util sobre ellas, y probablemente algunos links a libros indispensables.

Conociendo la IP de la victima, vamos a iniciar el envenenamiento de ARP (ARP Poisoning); para esto, lo primero que debemos hacer es activar el reenvío de paquetes en nuestro linux, de lo contrario cuando activemos el envenenamiento, los paquetes se quedarian en el BackTrack y no seguirian su destino hacia o desde la internet, lo cual resultaria mas bien en una Denegación de Servicio, tema apasionante que espero tratar en otra oportunidad.

Una imagen del envenenamiento seria:
                             

En donde el trafico que va desde y hacia Bob y Alice no viaja directo entre ellos sino que pasa por la maquina Attacker, de esta forma podemos hacer sniffing y ver todo su trafico.

Como decíamos debemos activar el Forwarding o reenvío de paquetes asi:

root@linux:~# echo 1 > /proc/sys/net/ipv4/ip_forward

El colocar en 1 el valor del archivo ip_forward indica al S.O. que active el reenvio, que por defecto viene desactivado.

Bien; ahora en la misma pantalla de Terminal, debemos escribir:

root@linux:~#arpspoof -i (Tu Tarjeta de red, eth correspondiente) -t (ip de la víctima ej. 10.0.0.7) (ip de la puerta de enlace ej 10.0.0.1).

Abrimos otra Terminal y escribimos:

root@linux:~#arpspoof -i (Interfase de red eth correspondiente) -t (Ip de la Puerta de Enlace ej. 10.0.0.1) (ip de la victima ej 10.0.0.7)

Activamos nuestro Wireshark en el BackTrack, lo ponemos a escuchar en la misma interfase que estamos utilizando para el envenenamiento; asi veremos todo el tráfico desde y hacia la víctima; todos los protocolos en texto plano como http, telnet, pop, smtp, ftp podran ser vistos sin problema;
Para el trafico encriptado, es decir htttps, podemos utilizar otra técnica que mas adelante en otro post explicaré.



Les deseo un Happy Ethical Hacking!!.