frostbits-security/mitm-cheatsheetCheatsheet che cataloga attacchi man-in-the-middle a livello L2-L4 e wireless, con strumenti di attacco, metodi di rilevamento e tecniche di mitigazione per pentester e difensori.
Abbiamo cercato di raccogliere tutti gli attacchi MITM conosciuti e i metodi di protezione contro questi attacchi. Qui sono inoltre contenuti strumenti per effettuare attacchi MITM, alcuni casi di attacco interessanti e alcuni trucchi ad essi associati.
Nota: Quasi tutti gli strumenti di attacco descritti qui non contengono alcun sniffer al loro interno. Forniscono solo l'attacco. Gli strumenti per lo sniffing sono qui: Data sniffing.
Un cheat sheet per pentester e team difensivi sugli attacchi Man In The Middle.
⏳ - parte in lavorazione
Complessità: Bassa
Rilevanza: Alta
Descrizione:
L'Address Resolution Protocol (ARP) è progettato per risolvere gli indirizzi IP in indirizzi MAC. Tutti i dispositivi di rete che devono comunicare nella rete utilizzano query ARP broadcast per scoprire gli indirizzi MAC delle altre macchine.
Quasi tutti gli strumenti di arp spoofing utilizzano una risposta arp gratuitous. Una risposta ARP gratuitous è una risposta inviata senza una richiesta ARP.
Nonostante l'efficacia dell'ARP gratuitous, esso è particolarmente insicuro perché può essere utilizzato per assicurare all'host remoto che l'indirizzo MAC di un sistema sulla stessa rete è cambiato e per specificare quale indirizzo viene utilizzato ora.
Prima che venga eseguito l'ARP-spoofing, nelle tabelle ARP dei nodi A e B sono presenti voci con gli indirizzi IP e MAC reciproci. Le informazioni vengono trasmesse tra i nodi A e B.
Durante il processo di ARP-spoofing, il computer C che esegue l'attacco invia risposte ARP (senza ricevere richieste = gratuitous arp) =>
C'è anche la possibilità di un attacco riuscito in un altro modo. Quando monitorerai l'attività ARP nel segmento di rete e noterai improvvisamente la richiesta ARP della vittima, puoi provare a inviare la risposta ARP alla vittima più velocemente del destinatario di quella richiesta. Alcuni vendor possono accettare questo trucco.
Strumenti di attacco:
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Rilevamento degli attacchi
Prevenzione degli attacchi
Tabelle ARP manuali
Presenta limitazioni perché causerà difficoltà nella scalabilità della rete. E per le reti wireless questa è una sfida e quasi impossibile.
Patching
Utility come Anticap e Antidote possono svolgere un ruolo vitale nella prevenzione dell'ARP spoofing, dove Anticap impedisce l'aggiornamento della cache ARP con un MAC diverso da quello esistente nella cache ARP, il che di fatto previene l'ARP spoofing ma viola la specifica del protocollo ARP, il che è effettivamente un problema; d'altra parte Antidote previene l'ARP poisoning in modo leggermente diverso. Analizza la risposta ARP appena ricevuta con la cache esistente. Se la nuova cache differisce dalla precedente, cerca l'indirizzo MAC per verificare se è ancora attivo. Se trova l'indirizzo MAC della cache precedente ancora attivo, rifiuta quello nuovo e aggiunge l'indirizzo MAC dell'attaccante nella lista degli indirizzi MAC vietati per prevenire ulteriori tentativi di ARP poisoning sullo stesso computer bersaglio.
Creazione di una VLAN sullo switch
Viene creata una VLAN sullo switch che contiene solo lo switch stesso e uno specifico dispositivo di rete.
Creazione di connessioni cifrate
Questo metodo è adatto anche per reti pubbliche, perché tutto il traffico è cifrato ed è impossibile intercettare qualsiasi dato dell'utente.
DAI
L'ispezione dinamica ARP nei sistemi Cisco aiuta a prevenire gli attacchi man-in-the-middle non inoltrando risposte ARP non valide o gratuite verso altre porte nella stessa VLAN. L'ispezione dinamica ARP intercetta tutte le richieste ARP e tutte le risposte sulle porte non fidate. Ogni pacchetto intercettato viene verificato per associazioni IP-MAC valide tramite DHCP snooping. I pacchetti ARP negati vengono scartati o registrati dallo switch per l'auditing, così gli attacchi di ARP poisoning vengono fermati. I pacchetti ARP in ingresso sulle porte fidate non vengono ispezionati.
Link correlati
Come funziona ARP
Complessità: Alta
Rilevanza: Moderata
Descrizione:
Il protocollo spanning tree è progettato per rilevare e prevenire i loop nella rete in presenza di percorsi ridondanti tra gli switch.