frostbits-security/mitm-cheatsheetHoja de referencia que cataloga ataques de intermediario (man-in-the-middle) en las capas L2-L4 y en las capas inalámbricas, con herramientas de ataque, métodos de detección y técnicas de mitigación para pentesters y defensores.
Hemos intentado reunir todos los ataques MITM conocidos y los métodos de protección contra estos ataques. Aquí también se incluyen herramientas para llevar a cabo ataques MITM, algunos casos de ataque interesantes y algunos trucos asociados con ellos.
Nota: Casi todas las herramientas de ataque descritas aquí no tienen ningún sniffer incorporado. Solo proporcionan el ataque. Herramientas para sniffing aquí: Data sniffing.
Una hoja de referencia para pentesters y equipos defensivos sobre ataques Man In The Middle.
⏳ - parte en proceso
Complejidad: Baja
Relevancia: Alta
Descripción:
Address Resolution Protocol (ARP) está diseñado para resolver direcciones IP a direcciones MAC. Todos los dispositivos de red que necesitan comunicarse en la red utilizan consultas ARP de broadcast para descubrir las direcciones MAC de otras máquinas.
Casi todas las herramientas de arp spoofing utilizan una respuesta arp gratuita. Una respuesta ARP gratuita es una respuesta sin una solicitud ARP.
A pesar de la eficacia del ARP gratuito, es particularmente inseguro porque puede utilizarse para asegurar al host remoto que la dirección MAC de un sistema en la misma red ha cambiado y para especificar qué dirección se utiliza ahora.
Antes de realizar el ARP-spoofing, existen entradas en las tablas ARP de los nodos A y B con las direcciones IP y MAC de cada uno. La información se transmite entre los nodos A y B.
Durante el proceso de ARP-spoofing, el equipo C que realiza el ataque envía respuestas ARP (sin recibir solicitudes = gratuitous arp) =>
También existe la posibilidad de un ataque exitoso de otra manera. Cuando monitorees la actividad ARP en el segmento de red y de repente notes la solicitud ARP de la víctima, puedes intentar enviar la respuesta ARP a la víctima más rápido que el destinatario de esa solicitud. Algunos fabricantes pueden aceptar este truco.
Herramientas de ataque:
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Detección de ataques
Prevención de ataques
Tablas ARP manuales
Tiene limitaciones porque causará dificultades en la escalabilidad de la red. Y para las redes inalámbricas esto es un desafío y casi imposible.
Parcheo
Utilidades como Anticap y Antidote pueden desempeñar un papel vital en la prevención del ARP spoofing, donde Anticap impide actualizar la caché ARP con una MAC diferente a la existente en la caché ARP, lo que en realidad previene el ARP spoofing, pero viola la especificación del protocolo ARP, lo cual es ciertamente un problema; por otro lado, Antidote previene el envenenamiento ARP de una manera ligeramente diferente. Analiza la respuesta ARP recién recibida con la caché existente. Si la nueva caché difiere de la anterior, entonces busca la dirección MAC para ver si sigue activa. Si encuentra que la dirección MAC de la caché anterior está activa, rechaza la nueva y añade la dirección MAC del atacante a la lista de direcciones MAC bloqueadas para prevenir futuros intentos de envenenamiento ARP sobre el mismo equipo objetivo.
Creación de una VLAN en el switch
Se crea una VLAN en el switch que contiene solo el propio switch y un dispositivo de red específico.
Creación de conexiones cifradas
Este método también es adecuado para redes públicas, porque todo el tráfico está cifrado y es imposible interceptar cualquier dato del usuario.
DAI
La inspección dinámica de ARP en sistemas Cisco ayuda a prevenir los ataques de intermediario (man-in-the-middle) al no retransmitir respuestas ARP inválidas o gratuitas hacia otros puertos de la misma VLAN. La inspección dinámica de ARP intercepta todas las solicitudes ARP y todas las respuestas en los puertos no confiables. Cada paquete interceptado se verifica para comprobar que las vinculaciones IP-MAC sean válidas mediante DHCP snooping. Los paquetes ARP denegados se descartan o se registran por el switch para auditoría, de modo que los ataques de envenenamiento ARP se detienen. Los paquetes ARP entrantes en los puertos confiables no se inspeccionan.
Enlaces relacionados
Cómo funciona ARP
Complejidad: Alta
Relevancia: Moderada
Descripción:
El protocolo spanning tree está diseñado para detectar y prevenir bucles en la red si existen rutas redundantes entre los switches.