ARP Poisoning

ARP Poisoning Nedir?

ARP poisoning , ağ güvenliği ve siber güvenlik alanlarında bir saldırı tekniğidir. ARP, bir IP adresini fiziksel bir MAC adresine çevirmek için kullanılan bir protokoldür. Bu protokol, bir ağdaki cihazların birbirlerini tanımlamalarına yardımcı olur.

ARP zehirleme saldırısı, saldırganın ağ trafiğini manipüle etmesine ve gönderilen paketlerin yanlış bir fiziksel adresle eşleştirilmesine neden olur. Bu saldırı türü genellikle bir kişinin veya cihazın ağ üzerinde başka bir cihaz gibi davranmasına izin vermek veya ağ trafiğini izlemek için kullanılır.

Uygulama

Aşağıdaki ayar ile sistemimizin ağ trafiğini yönlendirmesine izin veriyoruz.

echo 1 > /proc/sys/net/ipv4/ip_forward

Diyelim 192.168.1.1 cihazında bir telnet var ve 192.168.1.3 cihazı buraya bağlanıyor. Aşağıdaki komut ile 192.168.1.3 cihazına 192.168.1.1 adresine artık bizim sahip olduğumuzu söylüyoruz ve ARP tablosunu zehirliyoruz.

Artık 192.168.1.3 cihazı 192.168.1.1 üzerindeki telnet'e bağlanmak istediğinde isteklerini bize göndericek.

arpspoof -i eth0 -t 192.168.1.3 -r 192.168.1.1

Wireshark ile trafiği izleyerek parolaları ele geçirebiliriz. Tabi bu sadece telnet veya http gibi şifreleme olmayan protokoller için geçerli.

Cain and Abel

Cain and Abel Nedir?

Bu program ağdaki cihazları keşfetmek, ağ zehirleme saldırısı yapmak, ağ trafiğini izlemek ve şifre kırma saldırıları yapmak için kullanılır. Çok eski bir programdır.

Kurulum

Herşeyden önce aşağıdaki şekilde virüs korumasını kapatıyoruz.

Sonrasında bu linkten Cain and Abel aracını indiriyoruz. Sonrasında ise Wincap aracını indiriyoruz. Öncelikle Wincap kurulumunu yapın. Sonrasında Cain and Abel Kurulumu yapıyorsunuz ve kurulumun en sonundaki Wincap indir seçeneğini kaldırıyorsunuz ve kurulum bitiyor.

Sonrasında Ağ Bağlantılarını açıyoruz ve aşağıdaki ayarları yapıyoruz.

• Ipv6 Protokolünü Kapa.

• DNS ayarlarındaki son iki seçeneği işaretlemek.

Sonrasında yönetici olarak powershell açın ve aşağıdaki komutu çalıştırın.

netsh int ip set global taskoffload=disable

Kullanım

Oncelikle ağdaki cihazları keşfedelim. Bunun için Sniffer sekmesine gidip artı işaretine tıklıyoruz ve bütün subneti seçip tarıyoruz. Bunun sonucunda arp isteklerine cevap veren bütün cihazları görmüş olucaz.

Sonrasında APR Sekmesine geliyoruz ve artı tuşuna basıyoruz. Çıkan pencerede sol tarafta Gateway aracının adresini sağ tarafta ise trafiğini izlemek istediğimiz cihazları seçiyoruz.

Radyoaktif işaretine tıkladığımızda zehirleme saldırısı başlıyor. Eğer aşağıdaki gibi Full-routing görüyorsak saldırı başarılı olmuştur ve o trafik yakalanıyordur.

Soldaki sekmeleri inceleyerek kimlerin hangi domainlere istek attığını görebiliyoruz.

Ayrıca eğer bir kullanıcı HTTP, Telnet, FTP gibi güvensiz protokollerini kullanıyorsa kullanıcı adı, parola veya indirilen dosya gibi hassas içerikleri ele geçirebiliriz.