frostbits-security/mitm-cheatsheetSpickzettel-Katalog für Man-in-the-Middle-Angriffe über L2-L4- und drahtlose Schichten, mit Angriffswerkzeugen, Erkennungsmethoden und Gegenmaßnahmen für Pentester und Verteidiger.
Wir haben versucht, alle bekannten MITM-Angriffe und Methoden zum Schutz vor diesen Angriffen zusammenzustellen. Hier sind außerdem Werkzeuge zur Durchführung von MITM-Angriffen, einige interessante Angriffsfälle und einige damit verbundene Tricks enthalten.
Hinweis: Fast alle hier beschriebenen Angriffswerkzeuge enthalten keinen Sniffer. Sie stellen nur den Angriff bereit. Werkzeuge zum Sniffing finden sich hier: Data sniffing.
Ein Cheat Sheet für Pentester und Verteidigungsteams über Man-In-The-Middle-Angriffe.
⏳ - Teil in Bearbeitung
Komplexität: Niedrig
Relevanz: Hoch
Beschreibung:
Das Address Resolution Protocol (ARP) dient der Auflösung von IP-Adressen zu MAC-Adressen. Alle Netzwerkgeräte, die im Netzwerk kommunizieren müssen, verwenden Broadcast-ARP-Anfragen, um die MAC-Adressen anderer Rechner herauszufinden.
Fast alle Arp-Spoofing-Werkzeuge verwenden eine gratuitous ARP-Antwort. Eine Gratuitous-ARP-Antwort ist eine Antwort ohne eine ARP-Anfrage.
Trotz der Wirksamkeit von Gratuitous ARP ist es besonders unsicher, da es verwendet werden kann, um dem entfernten Host zu versichern, dass sich die MAC-Adresse eines Systems im selben Netzwerk geändert hat, und um anzugeben, welche Adresse nun verwendet wird.
Bevor das ARP-Spoofing durchgeführt wird, gibt es Einträge in den ARP-Tabellen der Knoten A und B mit den IP- und MAC-Adressen des jeweils anderen. Die Informationen werden zwischen den Knoten A und B übertragen.
Während des ARP-Spoofing-Prozesses sendet der Computer C, der den Angriff durchführt, ARP-Antworten (ohne Anfragen zu empfangen = gratuitous arp) =>
Außerdem besteht die Möglichkeit eines erfolgreichen Angriffs auf eine andere Weise. Wenn Sie die ARP-Aktivität im Netzwerksegment überwachen und plötzlich die ARP-Anfrage des Opfers bemerken, können Sie versuchen, die ARP-Antwort schneller an das Opfer zu senden als der Adressat dieser Anfrage. Einige Hersteller akzeptieren diesen Trick.
Angriffswerkzeuge:
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Angriffserkennung
Angriffsprävention
Manuelle ARP-Tabellen
Dies hat Einschränkungen, da es die Netzwerkskalierbarkeit erschwert. Und für drahtlose Netzwerke ist dies eine Herausforderung und nahezu unmöglich.
Patchen
Dienstprogramme wie Anticap und Antidote können eine entscheidende Rolle bei der Verhinderung von ARP-Spoofing spielen, wobei Anticap die Aktualisierung des ARP-Caches mit einer anderen MAC-Adresse bei vorhandenem ARP-Cache verhindert, was tatsächlich das ARP-Spoofing verhindert, aber gegen die ARP-Protokollspezifikation verstößt, was tatsächlich ein Problem darstellt, während Antidote das ARP-Poisoning auf etwas andere Weise verhindert. Es analysiert die neu empfangene ARP-Antwort mit dem vorhandenen Cache. Wenn der neue Cache sich vom vorherigen unterscheidet, sucht es nach der MAC-Adresse, ob diese noch aktiv ist. Wenn es feststellt, dass die MAC-Adresse des vorherigen Caches noch aktiv ist, lehnt es die neue ab und fügt die MAC-Adresse des Angreifers in die Liste der gesperrten MAC-Adressen ein, um weitere Versuche des ARP-Poisonings auf demselben Zielcomputer zu verhindern.
Erstellen eines VLAN auf dem Switch
Auf dem Switch wird ein VLAN erstellt, das nur den Switch selbst und ein bestimmtes Netzwerkgerät enthält.
Erstellen verschlüsselter Verbindungen
Diese Methode eignet sich auch für öffentliche Netzwerke, da der gesamte Datenverkehr verschlüsselt ist und es unmöglich ist, Benutzerdaten abzufangen.
DAI
Dynamic ARP Inspection in Cisco-Systemen hilft, Man-in-the-Middle-Angriffe zu verhindern, indem ungültige oder unaufgeforderte ARP-Antworten nicht an andere Ports im selben VLAN weitergeleitet werden. Dynamic ARP Inspection fängt alle ARP-Anfragen und alle Antworten auf den nicht vertrauenswürdigen Ports ab. Jedes abgefangene Paket wird über DHCP-Snooping auf gültige IP-zu-MAC-Bindungen überprüft. Abgelehnte ARP-Pakete werden entweder verworfen oder vom Switch zur Prüfung protokolliert, sodass ARP-Poisoning-Angriffe gestoppt werden. Eingehende ARP-Pakete auf den vertrauenswürdigen Ports werden nicht inspiziert.
Verwandte Links
Wie ARP funktioniert
Komplexität: Hoch
Relevanz: Mäßig
Beschreibung:
Das Spanning-Tree-Protokoll wurde entwickelt, um Schleifen im Netzwerk zu erkennen und zu verhindern, wenn redundante Pfade zwischen den Switches vorhanden sind.