ARP-спуфинг в Ettercap

Введение

В этом практическом занятии вы узнаете, как проводить атаки по типу ARP-спуфинга (ARP spoofing) с использованием Ettercap, комплексного инструмента для проведения атак типа "человек посередине" (man-in-the-middle). Вы изучите методы обнаружения сетевых устройств с помощью arp-scan и nmap, а затем попрактикуетесь в перехвате трафика между целевыми устройствами с использованием ARP-отравления (ARP poisoning).

В ходе этого упражнения вы получите практический опыт выполнения и мониторинга атак по типу ARP-спуфинга в контролируемой среде. Вы научитесь использовать важные команды на каждой стадии атаки, а также поймете реальные последствия таких атак для безопасности и методы их предотвращения.

Установка Ettercap

На этом этапе вы установите Ettercap, мощный инструмент сетевой безопасности, используемый для проведения атак типа "человек посередине" (man-in-the-middle) в локальных сетях (LAN). Прежде чем приступить, давайте разберемся, что умеет Ettercap: он позволяет перехватывать, анализировать и изменять сетевой трафик между устройствами в одной сети. Это включает такие функции, как ARP-отравление (которое мы будем использовать в этом практическом занятии), прослушивание активных соединений и различные возможности сетевого анализа.

Сначала нам нужно обновить список пакетов на вашей системе Linux. Это гарантирует, что вы установите самую последнюю версию Ettercap, доступную в репозиториях:

sudo apt update

Команда sudo предоставляет вам права администратора, а apt update обновляет список доступных программных пакетов на вашей системе.

Далее мы установим Ettercap с помощью следующей команды:

sudo apt install -y ettercap-text

Вот что происходит в этой команде:

• sudo apt install - стандартный способ установки программного обеспечения на системах Debian/Ubuntu.
• Флаг -y автоматически отвечает "да" на любые запросы в процессе установки.
• Мы специально устанавливаем ettercap-text (текстовую версию), потому что:
  1. Она более стабильна в нашей командной строковой среде.
  2. Она использует меньше системных ресурсов, чем графическая версия.
  3. Она лучше подходит для удаленных подключений и автоматических задач.

После завершения установки убедимся, что все прошло правильно, проверив установленную версию:

ettercap --version

Вы должны увидеть вывод, показывающий номер версии и информацию о сборке, похожую на следующую:

Ettercap 0.8.3.1 (built on ...)

Это подтверждает, что Ettercap успешно установлен и готов к использованию. В рамках этого практического занятия мы будем использовать текстовый интерфейс Ettercap по следующим причинам:

• Он более надежен в среде виртуальной машины LabEx.
• Он предоставляет все необходимые функции для ARP-спуфинга.
• Он помогает вам привыкнуть к использованию сетевых инструментов в командной строке.

Определение целевых устройств

Перед началом атаки по типу ARP-спуфинга (ARP spoofing) нам сначала нужно определить потенциальные цели в нашей локальной сети. ARP-спуфинг заключается в том, чтобы подманить устройства в сети верить, что мы кто-то другой, поэтому нам нужно знать, какие устройства на самом деле присутствуют в сети. Мы будем использовать два важных инструмента сетевого сканирования: arp-scan для быстрого обнаружения устройств и nmap для получения более подробной информации.

Сначала убедимся, что необходимые инструменты установлены. Запустите следующую команду для установки обоих утилит:

sudo apt install -y arp-scan nmap

Далее нам нужно определить, какой сетевой интерфейс соединяет нас с локальной сетью. В большинстве случаев, особенно в виртуальной машине LabEx, это будет eth0. Чтобы проверить доступные интерфейсы и найти правильный:

ip a

Найдите интерфейс, которому назначен реальный IP-адрес (это не будет адрес петли обратной связи 127.0.0.1). Именно этот интерфейс мы будем использовать для сканирования. Теперь мы можем сканировать нашу локальную сеть, чтобы обнаружить все подключенные устройства:

sudo arp-scan --interface=eth0 --localnet

Эта команда отправляет ARP-запросы на все возможные IP-адреса в вашей подсети и ожидает ответы. Вы увидите вывод, в котором перечислены все активные устройства, их IP-адреса, MAC-адреса и иногда информация о производителе:

192.168.1.1   00:11:22:33:44:55   Router Manufacturer
192.168.1.2   aa:bb:cc:dd:ee:ff   Target Device

Для более детального исследования конкретной цели мы можем использовать nmap. Это особенно полезно для понимания, какие сервисы запущены на целевом устройстве:

sudo nmap -sV 192.168.1.2

Флаг -sV сообщает nmap проверить открытые порты и определить информацию о сервисах и их версиях. Выберите одно устройство из результатов сканирования в качестве цели для атаки по типу ARP-спуфинга (лучше всего избегать целевого выбора сетевой инфраструктуры, такой как маршрутизаторы или шлюзы, во время учебных упражнений).

Запуск ARP-спуфинга

На этом этапе вы будете использовать Ettercap для выполнения ARP-спуфинга между целевым устройством и маршрутизатором. ARP-спуфинг - это техника, при которой атакующий отправляет поддельные ARP-сообщения, чтобы связать свой MAC-адрес с IP-адресом другого устройства. Эта атака позволит вам перехватывать сетевой трафик между целью и маршрутизатором, заставив их обмениваться данными через вашу машину.

Перед началом вам нужно определить три важных параметра:

1. Имя сетевого интерфейса (обычно eth0 в виртуальной машине LabEx)
2. IP-адрес маршрутизатора/шлюза (например, 192.168.1.1)
3. IP-адрес целевого устройства (например, 192.168.1.2)

Для запуска атаки откройте терминал и запустите Ettercap в текстовом режиме с помощью следующей команды:

sudo ettercap -T -i eth0 -M arp:remote /192.168.1.1// /192.168.1.2//

Разберем, что делает каждая часть этой команды:

• sudo: Запускает команду с правами суперпользователя (необходимо для сетевых операций).
• -T: Включает текстовый интерфейс (вместо графического).
• -i eth0: Указывает, какой сетевой интерфейс использовать.
• -M arp:remote: Активирует модуль ARP-отравления.
• Последние два аргумента задают IP-адреса маршрутизатора и целевого устройства в формате /IP// (замените их на реальные IP-адреса).

При успешном запуске атаки Ettercap выведет информацию о подделанных устройствах и их MAC-адресах:

ARP poisoning victims:
 GROUP 1 : 192.168.1.1 00:11:22:33:44:55
 GROUP 2 : 192.168.1.2 AA:BB:CC:DD:EE:FF

Для подтверждения того, что атака работает, вы можете проверить ARP-таблицу вашей машины с помощью команды:

arp -a

При успешной атаке вы увидите, что и у маршрутизатора, и у целевого устройства теперь указан MAC-адрес вашей машины вместо их реальных MAC-адресов. Это означает, что весь трафик между ними теперь проходит через вашу систему.

Запись поддельного трафика

На этом этапе вы будете захватывать и анализировать сетевой трафик, передающийся между целевым устройством и маршрутизатором, используя Wireshark и tcpdump. Это продемонстрирует эффективность вашей атаки по типу ARP-спуфинга. При успешном ARP-спуфинге весь трафик между целью и маршрутизатором будет проходить через вашу машину, что позволит вам его проверить.

Сначала установим Wireshark в командной строке. Wireshark - это мощный анализатор сетевых протоколов, а tshark - его версия для командной строки:

sudo apt install -y wireshark-common tshark

Перед захватом трафика хорошей практикой является создание специальной директории для файлов с захваченным трафиком. Это поможет организовать ваш проект и упростить поиск файлов в будущем:

mkdir -p ~/project/captures

Теперь используем tcpdump для захвата реального сетевого трафика. Откройте новое окно терминала для этой команды, так как она будет работать до тех пор, пока не будет остановлена. Флаг -i eth0 указывает на сетевой интерфейс, а -w сохраняет вывод в файл:

sudo tcpdump -i eth0 -w ~/project/captures/spoofed_traffic.pcap

Позвольте этой команде работать несколько минут, чтобы захватить значимый трафик. В это время будет записана нормальная сетевая активность между целью и маршрутизатором. Когда будете готовы, нажмите Ctrl+C, чтобы остановить захват.

Для анализа захваченного трафика будем использовать tshark. Эта команда считывает файл с захваченным трафиком и выводит сводку по всем захваченным пакетам:

tshark -r ~/project/captures/spoofed_traffic.pcap

Для более детального анализа можно отфильтровать только HTTP-трафик. Это полезно для изучения веб-запросов и ответов:

tshark -r ~/project/captures/spoofed_traffic.pcap -Y "http"

Особо важным является анализ POST-запросов, так как они часто содержат конфиденциальные данные, такие как учетные данные для входа. Эта команда фильтрует только эти запросы:

tshark -r ~/project/captures/spoofed_traffic.pcap -Y "http.request.method == POST"

Завершение атаки

На этом этапе вы должным образом остановите атаку по типу ARP-спуфинга и восстановите нормальную работу сети. Это критический этап, чтобы обеспечить целостность сети после проведения тестов безопасности. ARP-спуфинг приводит сеть в измененное состояние, поэтому нам нужно тщательно отменить эти изменения.

Сначала остановите процесс Ettercap. Если вы все еще находитесь в окне терминала Ettercap, нажмите q, чтобы корректно выйти. Это отправит соответствующий сигнал завершения Ettercap. Если вы закрыли терминал, вам нужно вручную найти и убить процесс:

sudo pkill -f ettercap

Далее нам нужно очистить ARP-кэш на вашей машине, чтобы удалить все подделанные записи. ARP-кэш хранит соответствия между IP- и MAC-адресами, и во время атаки они были изменены. Следующая команда тщательно очищает все записи о соседних узлах/ARP-записи:

sudo ip -s -s neigh flush all

Проверим, что ARP-кэш был правильно очищен. Эта команда показывает текущие записи в ARP-таблице:

arp -a

Теперь вывод должен показать правильные MAC-адреса устройств в вашей сети, соответствующие их фактическим аппаратным адресам. Чтобы обеспечить полную очистку, мы перезапустим сетевой интерфейс. Это сбросит все сетевые настройки:

sudo ifconfig eth0 down && sudo ifconfig eth0 up

Наконец, проверьте, что сетевое соединение полностью восстановлено, отправив пинги на шлюз. Это подтвердит, что нормальная работа сети возобновлена:

ping -c 4 192.168.1.1

Вы должны увидеть нормальные ответы на пинги без потери пакетов, что означает, что сеть снова работает правильно. Если у вас возникнут проблемы, вам, возможно, придется перезапустить сетевые службы или перезагрузить затронутые устройства.

Резюме

В этом лабораторном занятии вы узнали, как выполнять атаки по типу ARP-спуфинга с использованием командной строки Ettercap. В ходе упражнения вас научили устанавливать Ettercap-text, определять сетевые цели с помощью arp-scan и nmap, а также запускать MITM-атаки путем подделки ARP-кэша.

Вы практиковались в перехвате сетевого трафика между поддельными устройствами и корректном завершении атак для восстановления нормальной работы сети. В этом лабораторном занятии были продемонстрированы основные методы ARP-отравления, а также подчеркнута важность сетевой разведки в оценке безопасности сети.