frostbits-security/mitm-cheatsheetCatálogo de cheatsheets sobre ataques man-in-the-middle nas camadas L2-L4 e sem fio, com ferramentas de ataque, métodos de detecção e técnicas de mitigação para pentesters e defensores.
Tentamos reunir todos os ataques MITM conhecidos e métodos de proteção contra esses ataques. Aqui também estão incluídas ferramentas para realizar ataques MITM, alguns casos de ataque interessantes e alguns truques associados a eles.
Nota: Quase todas as ferramentas de ataque descritas aqui não possuem nenhum sniffer interno. Elas apenas fornecem o ataque. Ferramentas para sniffing aqui: Data sniffing.
Uma folha de referência para pentesters e equipes de defesa sobre ataques Man In The Middle.
⏳ - parte em processo
Complexidade: Baixa
Relevância: Alta
Descrição:
O Address Resolution Protocol (ARP) foi projetado para resolver endereços IP em endereços MAC. Todos os dispositivos de rede que precisam se comunicar na rede usam consultas ARP de broadcast para descobrir os endereços MAC de outras máquinas.
Quase todas as ferramentas de arp spoofing usam uma resposta arp gratuitous. Uma resposta Gratuitous ARP é uma resposta sem uma solicitação ARP.
Apesar da eficácia do gratuitous ARP, ele é particularmente inseguro porque pode ser usado para assegurar ao host remoto que o endereço MAC de um sistema na mesma rede mudou e para especificar qual endereço é usado agora.
Antes de o ARP-spoofing ser realizado, existem entradas nas tabelas ARP dos nós A e B com os endereços IP e MAC um do outro. As informações são transmitidas entre os nós A e B.
Durante o processo de ARP-spoofing, o computador C que realiza o ataque envia respostas ARP (sem receber solicitações = gratuitous arp) =>
Também há a possibilidade de um ataque bem-sucedido por outra via. Quando você monitorar a atividade ARP no segmento de rede e de repente notar a requisição ARP da vítima, você pode tentar enviar a resposta ARP à vítima mais rápido do que o destinatário daquela requisição. Alguns fabricantes podem aceitar esse truque.
Ferramentas de ataque:
bettercap -T 10.10.10.10 -X --httpd --proxy-https --proxyarpspoof -i eth0 -t 10.10.10.10Detecção de ataques
Prevenção de ataques
Tabelas ARP manuais
Possui limitações porque causará dificuldades na escalabilidade da rede. E para redes sem fio isso é um desafio e quase impossível.
Aplicação de patches
Utilitários como Anticap e Antidote podem desempenhar um papel vital na prevenção do ARP spoofing, em que o Anticap impede a atualização do cache ARP com um MAC diferente do cache ARP existente, o que na prática previne o ARP spoofing, mas viola a especificação do protocolo ARP, o que de fato é um problema; por outro lado, o Antidote previne o ARP poisoning de uma forma ligeiramente diferente. Ele analisa a resposta ARP recém-recebida com o cache existente. Se o novo cache diferir do anterior, ele verifica se o endereço MAC ainda está ativo. Se constatar que o endereço MAC do cache anterior está ativo, rejeita o novo e adiciona o endereço MAC do atacante à lista de endereços MAC banidos para evitar novas tentativas de ARP poisoning no mesmo computador alvo.
Criação de uma VLAN no switch
Uma VLAN é criada no switch contendo apenas o próprio switch e um dispositivo de rede específico.
Criação de conexões criptografadas
Este método também é adequado para redes públicas, pois todo o tráfego é criptografado e é impossível interceptar quaisquer dados do usuário.
DAI
A inspeção dinâmica de ARP (Dynamic ARP inspection) em sistemas Cisco ajuda a prevenir ataques man-in-the-middle ao não retransmitir respostas ARP inválidas ou gratuitas para outras portas na mesma VLAN. A inspeção dinâmica de ARP intercepta todas as requisições ARP e todas as respostas nas portas não confiáveis. Cada pacote interceptado é verificado quanto a associações válidas de IP para MAC via DHCP snooping. Pacotes ARP negados são descartados ou registrados pelo switch para auditoria, de modo que os ataques de ARP poisoning são interrompidos. Pacotes ARP recebidos nas portas confiáveis não são inspecionados.
Links relacionados
Como o ARP funciona
Complexidade: Alta
Relevância: Moderada
Descrição:
O protocolo spanning tree foi projetado para detectar e prevenir loops na rede quando existem caminhos redundantes entre os switches.
Qualquer pessoa que consiga emular um dispositivo com um identificador de switch raiz (inferior) (conectando um novo dispositivo virtual com prioridade menor ou usando a ferramenta de geração de pacotes STP) pode interceptar parcial ou totalmente o tráfego da rede virtual. Normalmente, um atacante não possui conexão física com dois switches, então o método de ataque descrito é dificilmente possível. No entanto, em redes sem fio, a situação muda, pois a conexão por cabo (tomada no escritório) e a conexão sem fio (ponto de acesso) podem terminar em switches diferentes.