Tutorials

Guida all'ARP Spoofing con il Tool `arpspoof`

L'ARP spoofing o ARP poisoning è una tecnica utilizzata in attacchi Man-in-the-Middle MitM che sfrutta il protocollo ARP Address Resolution Protocol. Il protocollo ARP è utilizzato per mappare gli ind

#networking

Guida all'ARP Spoofing con il Tool arpspoof

Introduzione

L'ARP spoofing (o ARP poisoning) è una tecnica utilizzata in attacchi Man-in-the-Middle (MitM) che sfrutta il protocollo ARP (Address Resolution Protocol). Il protocollo ARP è utilizzato per mappare gli indirizzi IP a indirizzi MAC nelle reti locali (LAN). Un attaccante può inviare pacchetti ARP falsificati per associare il proprio indirizzo MAC all'indirizzo IP di un'altra macchina, rendendo possibile intercettare, alterare o manipolare il traffico di rete.

Uno degli strumenti più comunemente utilizzati per effettuare un ARP spoofing è arpspoof, un programma che fa parte del pacchetto di strumenti dsniff. Questa guida esplorerà i passaggi per eseguire un attacco ARP spoofing utilizzando arpspoof.

Prerequisiti

1. Sistema operativo: Linux (è possibile usare anche macOS, ma questa guida è centrata su Linux). 2. Accesso alla rete: Per eseguire ARP spoofing, è necessario essere connessi alla rete LAN e avere privilegio di root (sudo). 3. Pacchetto dsniff: arpspoof è incluso nel pacchetto dsniff. Puoi installarlo facilmente su una distribuzione basata su Debian/Ubuntu con il comando:

bash
sudo apt-get update
    sudo apt-get install dsniff

Come funziona ARP Spoofing

Il processo di ARP spoofing coinvolge la manipolazione delle tabelle ARP di un dispositivo di rete. Queste tabelle contengono la mappatura tra gli indirizzi IP e gli indirizzi MAC.

Passaggi chiave di un attacco ARP spoofing:

1. L'attaccante invia un pacchetto ARP falsificato alla macchina di destinazione per associare l'indirizzo MAC dell'attaccante all'indirizzo IP della macchina di destinazione. 2. Lo stesso pacchetto ARP viene inviato anche al gateway della rete per associare l'indirizzo MAC dell'attaccante all'indirizzo IP del gateway. 3. Entrambi i dispositivi (la macchina di destinazione e il gateway) ora credono che l'attaccante sia il loro punto di comunicazione legittimo. 4. A questo punto, l'attaccante può intercettare, modificare o bloccare il traffico tra la macchina di destinazione e il gateway.

Eseguire ARP Spoofing con arpspoof

1. Preparazione dell'ambiente

Per prima cosa, devi identificare gli indirizzi IP e MAC della macchina di destinazione e del gateway. Puoi ottenere queste informazioni utilizzando il comando arp-scan o con il comando nmap.

#### Esempio con nmap:

bash
nmap -sn 192.168.1.0/24

Questo comando esegue una scansione di rete per trovare tutti i dispositivi connessi alla rete locale.

#### Esempio con arp-scan:

bash
sudo apt-get install arp-scan
sudo arp-scan 192.168.1.0/24

2. Eseguire l'attacco ARP Spoofing

Una volta identificato l'indirizzo IP della macchina di destinazione (ad esempio, 192.168.1.10) e del gateway (ad esempio, 192.168.1.1), possiamo utilizzare arpspoof per inviare pacchetti ARP falsificati.

#### Attacco verso la macchina di destinazione:

bash
sudo arpspoof -i eth0 -t 192.168.1.10 192.168.1.1

In questo comando:

  • -i eth0: specifica l'interfaccia di rete da utilizzare (assicurati che sia corretta per il tuo sistema).
  • -t 192.168.1.10: l'indirizzo IP della macchina di destinazione.
  • 192.168.1.1: l'indirizzo IP del gateway.

Questo comando invia pacchetti ARP alla macchina di destinazione, dicendo che l'indirizzo MAC dell'attaccante è il corrispondente indirizzo MAC del gateway.

#### Attacco verso il gateway:

Per completare l'attacco, devi anche inviare pacchetti ARP al gateway per associarlo all'indirizzo MAC dell'attaccante:

bash
sudo arpspoof -i eth0 -t 192.168.1.1 192.168.1.10

Questo comando inganna il gateway, facendogli credere che l'attaccante sia la macchina di destinazione.

3. Intercettazione del traffico (Man-in-the-Middle)

Una volta che il traffico è intercettato, l'attaccante può utilizzare strumenti come tcpdump o Wireshark per analizzare i pacchetti di rete in transito.

#### Esempio di cattura del traffico con tcpdump:

bash
sudo tcpdump -i eth0 -w capture.pcap

Questo comando cattura tutto il traffico che passa sull'interfaccia di rete eth0 e lo salva nel file capture.pcap, che può essere successivamente analizzato con Wireshark.

4. Ripristinare la connessione legittima

Dopo aver completato l'attacco, è fondamentale ripristinare la configurazione ARP legittima. Puoi farlo inviando pacchetti ARP corretti alla macchina di destinazione e al gateway per ripristinare le tabelle ARP.

#### Comando per ripristinare la macchina di destinazione:

bash
sudo arpspoof -i eth0 -t 192.168.1.10 -r 192.168.1.1

#### Comando per ripristinare il gateway:

bash
sudo arpspoof -i eth0 -t 192.168.1.1 -r 192.168.1.10

Questi comandi inviano pacchetti ARP legittimi per ripristinare le associazioni tra indirizzi IP e MAC.

Considerazioni legali ed etiche

L'ARP spoofing è una tecnica potente, ma va usata solo in ambienti controllati, come laboratori di pentesting o reti permesse per la sicurezza. Eseguire un attacco ARP spoofing su reti senza autorizzazione è illegale e può portare a gravi conseguenze legali. Assicurati di avere il permesso esplicito di eseguire test di sicurezza su una rete.

Conclusioni

L'ARP spoofing è un attacco potente, ma anche facile da eseguire con il tool arpspoof. Conoscere come funziona ti permette di proteggere meglio le tue reti e di rilevare attività sospette. In un contesto di pentesting, è utile per dimostrare le vulnerabilità di una rete alla manipolazione del traffico.

Se desideri approfondire, puoi esplorare strumenti come ettercap o mitmproxy per attacchi più avanzati o per l'intercettazione e la manipolazione attiva del traffico.