Underc0de

Para hacer sniffer siempre es necesario hacer antes mitm arp envenamiento o no tiene porqué ?

Por qué siempre se habla de hacer sniffering con wireshark, pero wireshark no vale para hacer arp por si solo no? A ver si alguien me aclara

A ver te explico:

Punto 1.-

Normalmente una red cableada es "conmutada" y eso significa que el switch que brinda acceso al medio conoce las direcciones MAC de cada equipo conectado a el, de esa forma si un Host A envia una trama a un Host B la envia con una direccion MAC de destino y el switch "conmutara" esa trama unicamente hacia el enlace que tiene conectado al Host B y ningun otro mas (a menos que sea una trama broadcast). Y eso lo logra con una tabla donde almacena las direcciones MAC registradas en las cabeceras de las tramas.

Esto significa que si quieres olfatear/capturar esa trama estando conectado a otro enlace (otra boca del switch) normalmente no podras.

Punto 2.-

Cada maquina tiene una tabla con las direcciones MAC de la mayoria de equipos en su misma red, si escribimos en un cmd esto:
arp -a

Veriamos algo asi:

(https://www.petri.com/images/arp_cache_01.jpg)

Donde podemos ver que hay una relacion entre las direcciones IP y las direcciones MAC de cada equipo, esto facilita la comunicacion entre los equipos, aumenta el rendimiento de la red y de cierta forma asegura que no sea tan sencillo olfatear la red.

Punto 3.-

Envenenar las tablas ARP no es mas que inundar la red con informacion falsa sobre nuestra direccion MAC en donde divulgamos que nuestra direccion MAC esta asociada a la direccion IP de nuestra victima, de la puerta de enlace, o de cualquier otro equipo dependiendo lo organizado del envenamiento. Luego si una trama va dirigida del Host A hasta el Host B podemos conseguir que la trama sea enviada al Host C donde tenemos algun snifer listo para capturar la trama. Incluso podriamos luego de leer, manipular o lo que sea que queramos hacerle volver a reenviar la trama a su destino real, y eso seria MitM.

Resumen:

CitarPara hacer sniffer siempre es necesario hacer antes mitm arp envenamiento o no tiene porqué ?

Si.

CitarPor qué siempre se habla de hacer sniffering con wireshark, pero wireshark no vale para hacer arp por si solo no?

No, no puedes hacer envenenamiento con wireshark, para eso se usa Ettercap.


Saludos por alla y cualquier cosa danos un toque.

Para agregar,

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Para hacer sniffer siempre es necesario hacer antes mitm arp envenamiento o no tiene porqué ?

"sniffer" se entiende por "packet sniffer", "network analyzer", "protocol analyzer" o "packet analyzer", no es un verbo. Un sniffer es un programa o un hardware que intercepta el tráfico.

Un sniffer no necesariamente va a interceptar todo el tráfico de una red.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Por qué siempre se habla de hacer sniffering con wireshark, pero wireshark no vale para hacer arp por si solo no?

Con lo dicho anteriormente, Wireshark es un sniffer.

El ataque con un software MITM (el cual realiza ARP Poisoning), como bien lo explica @Cl0udswX (https://underc0de.org/foro/index.php?action=profile;u=23003), lo utilizas para que todo tráfico difigido a una IP, que no es la del atacante, sea enviada al atacante, valga la redundancia.

Saludos

O configuras un switch para que te mande todo el trafico

Sent from my ALE-L21 using Tapatalk

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
O configuras un switch para que te mande todo el trafico

Hacer Port-mirroring es un poco mas complicado, pues necesitarías saber a que boca del switch esta conectada la victima y en cual estas conectado tu y suponiendo que sea una red decentemente configurada no es posible acceder a la configuracion del SW sin las credenciales.

Pero en una red en la que seamos administradores, seria pan comido (y me parece que no es el caso)

Saludos.

Dadas las respuestas de @Cl0udswX (https://underc0de.org/foro/index.php?action=profile;u=23003) y @grep (https://underc0de.org/foro/index.php?action=profile;u=59176) creo que han sabido responder a la pregunta de forma excelente, además de aportar conocimientos para el resto de usuarios que han leído este topic. Que sepáis que este tema va para mis favoritos por la gran explicación de ambos.

Un saludo