arp-validator

arp पॉइज़निंग हमलों का पता लगाने के लिए सुरक्षा उपकरण

विशेषताएँ

• ARP पॉइज़निंग हमलों का पता लगाने में निष्क्रिय दृष्टिकोणों की तुलना में तेज़ दृष्टिकोण का उपयोग करता है
• न केवल ARP पॉइज़निंग की उपस्थिति का पता लगाता है बल्कि वैध IP-MAC मैपिंग भी (जब LAN होस्ट गैर-अनुकूलित नेटवर्क स्टैक का उपयोग कर रहे हों)
• गति सुधार के लिए मान्य होस्ट को संग्रहीत करता है
• सामान्य ट्रैफ़िक में हस्तक्षेप किए बिना डेमन प्रक्रिया के रूप में काम करता है
• किसी भी बाहरी फ़ाइल में लॉग करता है

आर्किटेक्चर

  +-------------+                +---------------+                  +------------+    
  |  ARP packet |    ARP Reply   | Mac-ARP Header|    Consistent    |   Spoof    |
  |   Sniffer   |  ------------> |  consistency  |  --------------> |  Detector  |
  |             |     Packets    |    Checker    |    ARP Packets   |            |
  +-------------+                +---------------+                  +------------+
                                        |                                 /
                                   Inconsistent                         /
                                   ARP Packets                     Spoofed
                                        |                        ARP Packets
                                        V                         /
                                +--------------+                /
                                |              |              /
                                |   Notifier   |  <----------
                                |              |
                                +--------------+

1. ARP पैकेट स्निफर

   यह सभी ARP पैकेटों को स्निफ करता है और निम्नलिखित को छोड़ देता है

   • ARP अनुरोध पैकेट
   • टूल का उपयोग करने वाली मशीन द्वारा भेजे गए ARP उत्तर पैकेट (यह मानते हुए कि टूल चलाने वाला होस्ट ARP पॉइज़निंग नहीं कर रहा है 😜)

2. Mac-ARP हेडर संगति जाँचकर्ता

   यह मिलान करता है

   • MAC हेडर में स्रोत MAC पतों का ARP हेडर से
   • MAC हेडर में गंतव्य MAC पतों का ARP हेडर से

   यदि उपरोक्त में से कोई भी मेल नहीं खाता है, तो सूचित किया जाएगा।

3. स्पूफ डिटेक्टर

   यह TCP/IP स्टैक के मूल गुण पर काम करता है।

   root@kitploit:~

   The network interface card of a host will accept packets sent to its MAC address, Broadcast  address
   and subscribed multicast addresses. It will pass on these packets to the IP layer. The IP layer will
   only  accept  IP packets  addressed to its IP address(s) and will  silently  discard the rest of the
   packets.
   If  the  accepted  packet  is a TCP packet it is passed on to the TCP  layer. If a TCP SYN packet is
   received then the host will either respond back with a TCP SYN/ACK packet if the destination port is
   open or with a TCP RST packet if the port is closed.
   

   तो दो प्रकार के पैकेट हो सकते हैं:

   • सही MAC - सही IP
   • सही MAC - गलत IP (स्पूफ पैकेट)

   प्रत्येक संगत ARP पैकेट के लिए, हम एक TCP SYN पैकेट का निर्माण करेंगे जिसमें गंतव्य MAC और IP पता ARP पैकेट द्वारा विज्ञापित होगा, कुछ यादृच्छिक TCP गंतव्य पोर्ट के साथ, और स्रोत MAC और IP पता टूल चलाने वाले होस्ट का होगा।

   यदि SYN के लिए TIME LIMIT के भीतर RST (पोर्ट बंद है) या ACK (पोर्ट सुन रहा है) प्राप्त होता है, तो होस्ट (जिसने ARP पैकेट भेजा था) वैध है।

   अन्यथा TIME LIMIT के भीतर कोई प्रतिक्रिया नहीं मिलती है, इसलिए होस्ट वैध नहीं है और सूचित किया जाएगा।

4. सूचक

   यह ARP स्पूफिंग का पता चलने पर डेस्कटॉप सूचनाएं प्रदान करता है।

स्थापना

npm

[sudo] npm install arp-validator -g

स्रोत

git clone https://github.com/rnehra01/arp-validator.git
cd arp-validator
npm install
Use the binary in bin/ to run

उपयोग

[sudo] arp-validator [action] [options]

actions:

	start		start arp-validator as a daemon

		options:
			--interface, -i
				Network interface on which tool works
				arp-validator start -i eth0 or --interface=eth0

			--hostdb, -d
				stores valid hosts in external file (absolute path)
				arp-validator start -d host_file or --hostdb=host_file

			--log, -l
				generte logs in external files(absolute path)
				arp-validator start -l log_file or --log=log_file


	stop		stop arp-validator daemon


	status		get status of arp-validator daemon


global options:

	--help, -h
		Displays help information about this script
		'arp-validator -h' or 'arp-validator --help'

	--version
		Displays version info
		arp-validator --version

निर्भरताएँ

• libpcap-dev: नेटवर्क ट्रैफ़िक कैप्चर के लिए लाइब्रेरी
• node-pcap/node_pcap
• stephenwvickers/node-raw-socket
• indutny/node-ip
• scravy/node-macaddress
• codenothing/argv
• niegowski/node-daemonize2
• mikaelbr/node-notifier

समस्याएँ

• वर्तमान में, यह माना जाता है कि होस्ट गैर-अनुकूलित नेटवर्क स्टैक का उपयोग कर रहे हैं, इसलिए दुर्भावनापूर्ण होस्ट TCP SYN पैकेट का जवाब नहीं देगा। लेकिन यदि दुर्भावनापूर्ण होस्ट अनुकूलित नेटवर्क स्टैक का उपयोग कर रहा है, तो वह सीधे लेयर 2 से TCP SYN पैकेट कैप्चर कर सकता है और स्व-निर्मित TCP RST या ACK के साथ जवाब दे सकता है, जिससे हमारा टूल दुर्भावनापूर्ण होस्ट को मान्य कर देगा।
• यदि कोई होस्ट फ़ायरवॉल का उपयोग कर रहा है जो केवल कुछ विशिष्ट पोर्ट के लिए TCP पैकेट की अनुमति देता है, तो उस स्थिति में एक वैध होस्ट भी TCP SYN पैकेट का जवाब नहीं देगा और टूल ARP पॉइज़निंग डिटेक्शन का एक गलत सकारात्मक परिणाम देगा।

संदर्भ

विवेक रामचंद्रन और सुकुमार नंदी, “ARP स्पूफिंग का पता लगाना: एक सक्रिय तकनीक”