Attaque par ARP

**thebarbarius** · 30/06/2012, 13h58

Bonjour,

Je me prends des attaques par le protocole ARP.

Comment m'en proteger ?

Invité · 30/06/2012, 14h01

Je me prends des attaques par le protocole ARP.

Salut,

comment es-tu arrivé à cette conclusion ?

Steph

Invité · 30/06/2012, 14h06

Salut,

Sur quoi te bases-tu?

Tu devrais également faire quelques recherches avant de poser ce genre de question.

http://http://www.google.fr/#hl=fr&sclient=psy-ab&q=protection+against+arp+attack+on+windows&oq=protection+against+arp+attack+on+windows&gs_l=serp.3...1828.5203.0.5391.15.13.2.0.0.3.609.2953.3j2j4j1j1j1.12.0...0.0.o-XInMOlVQY&pbx=1&bav=on.2,or.r_gc.r_pw.r_qf.,cf.osb&fp=6c138ae164cee506&biw=1280&bih=711

**JML19** · 30/06/2012, 15h41

Bonjour

Utilises une application comme Cports X64 pour savoir qui utilise tes ports.

Invité · 30/06/2012, 16h02

Envoyé par JML19

Bonjour

Utilises une application comme Cports X64 pour savoir qui utilise tes ports.

Avec cet outil, tu listes simplement les ports utilisés.

Une attaque ARP passive redirige le traffic vers la machine de l'attaquant en vue de sniffer le traffic de façon complètement transparente pour TCP/UDP.

Sans outil particulier autre qu'un sniffer, les attaques ARP se détectent en observant le traffic ARP et en surveillant les changement de cache ARP.

Steph

**hackoofr** · 30/06/2012, 17h06

Vous pouvez aussi essayer Malware Defender pour pister qui vous attaquent afin de les bloquer

Invité · 30/06/2012, 17h20

Je ne pense pas que cet outil soit capable de détecter des attaques ARP passives, à moins qu'il ne soit configurable pour monitorer le cache ARP local de la machine sur lequel il est installé (mais généralement, quand c'est le cas, c'est écrit explicitement dans la datasheet).

Ce soft me semble positionné dans les protections de couches plus hautes que le datalink (d'après ce que peux comprendre, je me trompe peut-être).

Steph

**JML19** · 30/06/2012, 18h09

Bonjour IP_Steph

Oui mais, pour une attaque ARP il doit infiltrer le réseau, soit sur le LAN en câble ou en Wifi ?

S'il passe par Internet il apparaîtra sur un port il me semble du moins son IP.

Puis avec la commande arp -a il verra bien si son IP est substituée et est associée à son adresse MAC.

Une attaque ARP a pour but de recevoir les informations du PC de la personne attaqué.

De se faire passer pour elle il me semble en associant l'IP de l'attaquant à l'adresse MAC de la carte réseau du PC attaqué ?

Invité · 30/06/2012, 20h52

JML,

tes questions sont pertinentes

Oui mais, pour une attaque ARP il doit infiltrer le réseau, soit sur le LAN en câble ou en Wifi ?

Effectivement, les attaques ARP font partie de la catégorie des attaques "Man in The Middle". Ce sont des attaques locales parce que le traffic ARP reste confiné à un réseau IP.

Voyons ça d'un peu plus près...

Supposes un réseau local avec 2 stations A et B qui échangent des données. Pour se faire, A et B maintiennent en permanence un cache ARP, qui permet d'encapsuler les paquets IP dans des trames de niveau 2. Lorsqu'une entrée du cache ARP est arrivée à échéance, la station émet un ARP Request avec comme cible l'adresse IP qu'elle cherche à joindre.

Petit schéma ASCCII pour illustrer

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
          +---+ IP(A)               IP(B) +---+
          | A |       <----------->       | B |
          +---+ MAC(A)              MAC(B)+---+

      cache ARP de A                  cache ARP de B
     IP(B) <-> MAC(B)                IP(A) <-> MAC(A)

L'attaque ARP la plus classique (ARP spoofing/poisining) se déroule de la façon suivante.

1. L'attaquant accède au réseau et écoute le traffic IP. Si on prend le cas d'un environnement Ethernet switché, l'attaquant ne peut pour l'instant que voir le traffic L2 broadcast/multicast/flooded. Le trafic ARP étant constitué de trames broadcast/multicast, il suffit de quelques minutes à l'attaquant pour construire la cartographie ARP du réseau.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
          +---+ IP(A)               IP(B) +---+
          | A |       <----------->       | B |
          +---+ MAC(A)      ^       MAC(B)+---+
                            |
      cache ARP de A        |         cache ARP de B
     IP(B) <-> MAC(B)       |        IP(A) <-> MAC(A)
                            |
                            |
                            |
                     attaquant MAC(x)
                     IP(A) <-> MAC(A)
                     IP(B) <-> MAC(B)
                           ...
                           ...
                     IP(n) <-> MAC(N)

2. Maintenant, l'attaquant passe à l'étape de "poisining" des caches ARP (ARP Spoofing) des cibles attaquées.
Pour se faire, il émet de façon cyclique (toutes les 30 secondes par exemple), des ARP Replies vers A et B en donnant sa propre MAC addresse comme adresse de résolution pour IP(A) et IP(B) (on appelle ces paquets des 'gratuitous ARP').
Les stations A et B vont donc alimenter en permanence leur cache ARP avec ces informations.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
          +---+ IP(A)               IP(B) +---+
          | A |       <----------->       | B |
          +---+ MAC(A)      ^       MAC(B)+---+
                            |
      cache ARP de A        |         cache ARP de B
     IP(B) <-> MAC(x)       |        IP(A) <-> MAC(x)
                            |
                            |
                            |
                     attaquant MAC(x)
                     IP(A) <-> MAC(A)
                     IP(B) <-> MAC(B)

3. L'attaquant est maintenant inséré. A chaque fois que la station A envoie une trame à B, elle utilise la MAC adresse de l'attaquant. L'attaquant connaissant les MAC adresses de A et B, il redirige les trames vers les destinations réelles.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
          +---+ IP(A)     +-----------+     IP(B) +---+
          | A |       <---| attaquant |--->       | B |
          +---+ MAC(A)    +-----------+     MAC(B)+---+
                              MAC(x)
      cache ARP de A     IP(A) <-> MAC(A)     cache ARP de B
     IP(B) <-> MAC(x)    IP(A) <-> MAC(A)    IP(A) <-> MAC(x)

Ce genre d'attaque est **complètement** transparente aux couches IP et plus hautes (d'où ma remarque quand tu parlais de cport). Cette technique permet notamment à l'attaquant de sniffer tout le traffic entre A et B en toute impunité (attaque passive).

L'attaquant peut aussi injecter des adresses fictives dans les gratuitous ARP. Auquel cas les trames émises par l'attaqué n'arriveront jamais à destination (l'attaqué est mis en black out). Imagines que l'attaqué soit un host avec une appli critique, dans une centrale nucléaire en Iran par exemple, cette appli critique sera mise en rideau (attaque active)...

A noter d'autre part, et c'est souvent l'objet des attaques passives, que dans l'étape 1, si l'outil de l'attaquant est bien construit, il lui est très facile d'isoler les gateways du réseau local ou bien les "hosts intéressants". Ce sont les MAC addresses qui sont associées à différentes adresses IP destinations. Les outils "de très bonne qualité" implémentent même les protocoles HSRP/VRRP pour détecter les gateways redondantes sur des réseaux un peu plus complexes..

S'il passe par Internet il apparaîtra sur un port il me semble du moins son IP.

Puis avec la commande arp -a il verra bien si son IP est substituée et est associée à son adresse MAC.

Pour fixer les idées, considérons le scénario suivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
station A ---------- gateway ------> Internet --- attaquant
  IP(A)               IP(G)                        IP(N)
  MAC(A)              MAC(G)                       MAC(N)

Si l'attaquant veut rediriger le traffic vers sa station, ARP ne lui sera d'aucun secours.

En effet, lorsque la station A veut envoyer un paquet IP en dehors de son réseau directement connecté, elle **doit** encapsuler le paquet dans une trame qui utilise la MAC adresse MAC(G) comme MAC addresse destination. Donc même si l'attaquant avait la possibilité de forcer l'apprentissage de sa propre MAC adresse à la station A, elle ne serait jamais utilisée parce que cette adresse n'est pas accessible pour A d'un point de vue L2...

La protection la plus efficace contre les attaques ARP, c'est de renseigner de façon statique les caches ARP de telle façon qu'aucune station intrusive ne puisse substituer son adresse MAC à une autre (surtout en ce qui concerne la MAC address de ou des gateways du réseau). Mais c'est très galère bien sûr...

Les réseaux sensibles utilisent également des softs qui remontent des alarmes lorsqu'il y a des fluctuations de caches ARP.

Et dans les environnements Ethernet switchés sensibles, les switches sont configurés pour n'accepter qu'une seule adresse MAC par port (parfois définie de façon statique), et tous les autres ports sont 'shutdown' pour rendre la vie dure aux attaquants Man in The Middle...

Pour détecter les tentatives d'intrusion ARP si on n'a pas d'outil, le mieux est de collecter les ARP Replies/Gratuitous puis de faire la liste des MAC addresses qui s'annoncent puis vérifier une par une ces MAC addresses...

Steph

**thebarbarius** · 01/07/2012, 01h10

Donc pour se protéger faut connaitre le port qu'il utilise ?

Invité · 01/07/2012, 01h32

Non, il faut surveiller l'intégrité des caches ARP des machines (y compris la gateway). Si les caches ARP révèlent une ou des adresses MAC inconnues, c'est qu'il y a attaque.

Steph

**JML19** · 01/07/2012, 10h52

Bonjour IP_Steph

Bravo pour les explications qui sont très claires.

L'attaque ARP est donc une attaque locale, il faut donc protéger son réseau LAN, soit par câble, soit par Wifi.

Pour le câble il y a effectivement le blocage des ports par l'adresse MAC, pour le Wifi il y a la clé de cryptage style WPA2.

Merci IP_Steph

**thebarbarius** · 01/07/2012, 11h24

J'ai un serveur dédié chez ovh (windows 2008 R2).
J'ai un site web.
Et un serveur de jeux.

Sa fait beacooup trop d'ip.

Comment detecter une attaque ARP ?

Et malware defender ne fonctionne pas sur mon dédié.

Invité · 01/07/2012, 11h48

Envoyé par thebarbarius

J'ai un serveur dédié chez ovh (windows 2008 R2).
J'ai un site web.
Et un serveur de jeux.

Sa fait beacooup trop d'ip.

Comment detecter une attaque ARP ?

Et malware defender ne fonctionne pas sur mon dédié.

Entre ton premier post

Je me prends des attaques par le protocole ARP.

et ton dernier

Comment detecter une attaque ARP ?

il y a des années-lumière

Tu n'es donc pas sûr d'être victime d'attaques ARP ?

L'attaque ARP ne peut être possible que si l'attaquant a accès physiquement au réseau local. Si tu as des ressources hébergées quelque part, c'est de la responsabilité de l'hébergeur de prévenir ce genre d'attaque...

Envoyé par JML19

Pour le câble il y a effectivement le blocage des ports par l'adresse MAC, pour le Wifi il y a la clé de cryptage style WPA2.

Oui, pour le LAN, on peut verrouiller les ports du switch si c'est possible, ou bien définir des entrées ARP de façon statique sur les stations. En revanche, il y a des stack TCP/IP qui écoutent les 'Gratuitous ARP' et qui écrasent les entrées statiques (rare mais possible).

L'ARP Spoofing est évidemment en recrudescence avec la banalisation du Wifi puisque l'accès physique est facilité. Comme tu suggères, une bonne clé WPA2 est encore la meilleure solution. A condition qu'elle soit sufisamment résistante contre les attaques "brute force" (pas de trucs du genre 'ABCDE...." mais plutôt ";6AC)..%A&1...").

A noter enfin qu'il existe des softs pour lce genre de protection. Le plus connu est NetCut.

Steph

**thebarbarius** · 01/07/2012, 12h42

Je voulais dire comment les détecter et mon protéger.

j'utilisé bien un logiciel qui les détecter mais c'est tout.

**hackoofr** · 01/07/2012, 13h06

Envoyé par thebarbarius

Je voulais dire comment les détecter et mon protéger.
j'utilisé bien un logiciel qui les détecter mais c'est tout.

[ame="http://www.youtube.com/watch?v=Lw0rZtu4Kh4"]http://www.youtube.com/watch?v=Lw0rZtu4Kh4[/ame]

[ame="http://www.youtube.com/watch?v=A9HDsFeE0mM"]http://www.youtube.com/watch?v=A9HDsFeE0mM[/ame]

Invité · 01/07/2012, 13h17

Envoyé par thebarbarius

Je voulais dire comment les détecter et mon protéger.

j'utilisé bien un logiciel qui les détecter mais c'est tout.

Envoyé par IP Steph

Sans outil particulier autre qu'un sniffer, les attaques ARP se détectent en observant le traffic ARP et en surveillant les changement de cache ARP.

Envoyé par IP Steph

La protection la plus efficace contre les attaques ARP, c'est de renseigner de façon statique les caches ARP de telle façon qu'aucune station intrusive ne puisse substituer son adresse MAC à une autre (surtout en ce qui concerne la MAC address de ou des gateways du réseau). Mais c'est très galère bien sûr...

Les réseaux sensibles utilisent également des softs qui remontent des alarmes lorsqu'il y a des fluctuations de caches ARP.

Et dans les environnements Ethernet switchés sensibles, les switches sont configurés pour n'accepter qu'une seule adresse MAC par port (parfois définie de façon statique), et tous les autres ports sont 'shutdown' pour rendre la vie dure aux attaquants Man in The Middle...

Pour détecter les tentatives d'intrusion ARP si on n'a pas d'outil, le mieux est de collecter les ARP Replies/Gratuitous puis de faire la liste des MAC addresses qui s'annoncent puis vérifier une par une ces MAC addresses...

Envoyé par IP Steph

il faut surveiller l'intégrité des caches ARP des machines (y compris la gateway). Si les caches ARP révèlent une ou des adresses MAC inconnues, c'est qu'il y a attaque.

Envoyé par IP Steph

Si tu as des ressources hébergées quelque part, c'est de la responsabilité de l'hébergeur de prévenir ce genre d'attaque...

Envoyé par IP Steph

pour le LAN, on peut verrouiller les ports du switch si c'est possible, ou bien définir des entrées ARP de façon statique sur les stations. En revanche, il y a des stack TCP/IP qui écoutent les 'Gratuitous ARP' et qui écrasent les entrées statiques (rare mais possible).

Envoyé par IP Steph

une bonne clé WPA2 est encore la meilleure solution. A condition qu'elle soit sufisamment résistante contre les attaques "brute force" (pas de trucs du genre 'ABCDE...." mais plutôt ";6AC)..%A&1...").

A noter enfin qu'il existe des softs pour lce genre de protection. Le plus connu est NetCut.

J'ai fourni des plans d'action, je ne sais pas quoi dire de plus

Steph

**thebarbarius** · 01/07/2012, 13h36

Sa a l'air bien compliquer.

Il existe pas un soft qui permettrai une protection optimale ?

J'ai pas de KVM.
Donc je suis limiter dans les choix.

Invité · 01/07/2012, 15h02

Là, j'ai vraiment l'impression d'avoir écrit des choses dans le vide

Envoyé par thebarbarius

J'ai pas de KVM.

Encore une fois, demandes à ton hébergeur quelles sont les parades mises en jeu pour protéger des attaques ARP

Mais bon, c'est pas gagné parce qu'ils vont te poser la même question : "qu'est-ce qui vous amène à soupçonner des attaques ARP, avez-vous des preuves concrètes ?". Et comme apparemment tu n'as pas les moyens de le prouver, ils s'en foutront.

Il existe pas un soft qui permettrai une protection optimale ?

Il me semble bien avoir parlé de NetCut

Des softs freewares de protection ARP, il y en a sûrement d'autres. Tu installes ça sur tes ressources hébergées et lorsque tu auras une alarme, tu questionnes l'hébergeur.

Steph

**thebarbarius** · 01/07/2012, 15h30

NetCut permet quoi exactement ?

Attaque par ARP

Sécurité

Discussions similaires

Partager

Partager