frostbits-security/mitm-cheatsheetAide-mémoire recensant les attaques de type man-in-the-middle sur les couches L2-L4 et sans fil, avec les outils d'attaque, les méthodes de détection et les techniques d'atténuation pour les pentesters et les défenseurs.
Nous avons tenté de rassembler toutes les attaques MITM connues et les méthodes de protection contre ces attaques. On y trouve également des outils pour mener des attaques MITM, quelques cas d'attaque intéressants et quelques astuces associées.
Note : Presque tous les outils d'attaque décrits ici ne contiennent aucun sniffer. Ils ne fournissent que l'attaque. Les outils d'écoute réseau se trouvent ici : Data sniffing.
Une aide-mémoire pour les pentesters et les équipes défensives concernant les attaques Man In The Middle.
⏳ - partie en cours
Complexité : Faible
Pertinence : Élevée
Description :
Le protocole ARP (Address Resolution Protocol) est conçu pour résoudre les adresses IP en adresses MAC. Tous les équipements réseau qui doivent communiquer sur le réseau utilisent des requêtes ARP en diffusion pour découvrir les adresses MAC des autres machines.
Presque tous les outils d'arp spoofing utilisent une réponse arp gratuite. Une réponse ARP gratuite est une réponse envoyée sans requête ARP préalable.
Malgré l'efficacité de l'ARP gratuit, il est particulièrement peu sûr car il peut être utilisé pour assurer à l'hôte distant que l'adresse MAC d'un système sur le même réseau a changé et pour préciser quelle adresse est désormais utilisée.
Avant la réalisation de l'ARP-spoofing, les tables ARP des nœuds A et B contiennent des entrées avec les adresses IP et MAC de l'autre. Les informations sont transmises entre les nœuds A et B.
Pendant le processus d'ARP-spoofing, l'ordinateur C qui réalise l'attaque envoie des réponses ARP (sans recevoir de requêtes = gratuitous arp) =>
Il existe également une possibilité d'attaque réussie par un autre moyen. Lorsque vous surveillerez l'activité ARP dans le segment réseau et remarquerez soudainement la requête ARP de la victime, vous pouvez essayer d'envoyer la réponse ARP à la victime plus rapidement que le destinataire de cette requête. Certains fournisseurs peuvent accepter cette astuce.
Outils d'attaque :
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Détection d'attaque
Prévention des attaques
Tables ARP manuelles
Cela présente des limites car cela entraînera des difficultés de scalabilité du réseau. Et pour un réseau sans fil, c'est un défi et presque impossible.
Correctifs
Des utilitaires tels qu'Anticap et Antidote peuvent jouer un rôle vital dans la prévention de l'usurpation ARP, où Anticap empêche la mise à jour du cache ARP avec une MAC différente de celle du cache ARP existant, ce qui empêche effectivement l'usurpation ARP mais viole la spécification du protocole ARP, ce qui pose effectivement un problème, tandis qu'Antidote empêche l'empoisonnement ARP d'une manière légèrement différente. Il analyse la réponse ARP nouvellement reçue avec le cache existant. Si le nouveau cache diffère du précédent, il vérifie si l'adresse MAC est toujours active. S'il constate que l'adresse MAC du cache précédent est active, il rejette la nouvelle et ajoute l'adresse MAC de l'attaquant à la liste des adresses MAC bannies afin de prévenir d'autres tentatives d'empoisonnement ARP sur le même ordinateur cible.
Création d'un VLAN sur le commutateur
Un VLAN est créé sur le commutateur et ne contient que le commutateur lui-même et un périphérique réseau spécifique.
Création de connexions chiffrées
Cette méthode convient également aux réseaux publics, car tout le trafic est chiffré et il est impossible d'intercepter les données d'un utilisateur.
DAI
L'inspection ARP dynamique (Dynamic ARP inspection) dans les systèmes Cisco aide à prévenir les attaques de l'homme du milieu en ne relayant pas les réponses ARP invalides ou gratuites vers d'autres ports du même VLAN. L'inspection ARP dynamique intercepte toutes les requêtes ARP et toutes les réponses sur les ports non fiables. Chaque paquet intercepté est vérifié pour des liaisons IP-MAC valides via le DHCP snooping. Les paquets ARP refusés sont soit abandonnés, soit journalisés par le commutateur à des fins d'audit, ce qui permet de stopper les attaques d'empoisonnement ARP. Les paquets ARP entrants sur les ports fiables ne sont pas inspectés.
Liens connexes
Comment fonctionne ARP
Complexité : Élevée
Pertinence : Modérée
Description :
Le protocole spanning tree est conçu pour détecter et prévenir les boucles dans le réseau s'il existe des chemins redondants entre les commutateurs.