Ataques a redes IPv4

Protocolo ARP
 Protocolo ARP

El protocolo Address Resolution Protocol (ARP) se publicó en 1982 como RFC 826.
ARP se encarga de convertir direcciones IP en direcciones MAC. Este protocolo opera
entre las capas de enlace y red.

El protocolo utiliza una tabla para asociar a cada dirección IP su dirección MAC
(caché ARP). Un PC antes de enviar un paquete primero consulta su tabla ARP, si no
la tiene envía un mensaje ARP request al broadcast (todos los PC de la red local)
preguntando ¿Quién tiene la dirección IP tal…? El PC que tenga tal dirección IP envía
un mensaje ARP Reply indicando su dirección MAC.
 Protocolo ARP
Como funciona el protocolo ARP

Ejemplo, los hosts A y B, se encuentran

en la misma red física. El host A tiene
asignada la dirección IP 10.0.0.99 y el
host B la dirección IP 10.0.0.100.

Los pasos que sigue el protocolo ARP

para resolver el envío de un paquete
de datos desde un equipo origen (A)
hasta un destino (B) del que se conoce
su dirección IP pero se desconoce su
dirección MAC, son:
 Protocolo ARP
Como funciona el protocolo ARP

Primero, intenta obtener la dirección

MAC del destinatario de su tabla de
caché ARP.
 Protocolo ARP
Como funciona el protocolo ARP

Si la dirección MAC del destinatario no

se encuentra en la caché ARP, lanza un
paquete de solicitud ARP (ARP

request) destinado a todos los nodos

en el segmento de red (con la
dirección destino FF.FF.FF.FF.FF.FF, la
dirección de difusión). Dicha petición
es un paquete especial que pide, al
nodo que posea una determinada
dirección IP, que responda con su
dirección física o MAC.
 Protocolo ARP
Como funciona el protocolo ARP

Todas las máquinas en el segmento de

red reciben la solicitud ARP, pero sólo
aquella máquina cuya dirección IP
coincida con la solicitada (la del
destino) contestará con un paquete de
respuesta ARP (ARP reply)
proporcionando su dirección MAC.
 Protocolo ARP
Como funciona el protocolo ARP

Con la trama que transporta la

solicitud ARP, llega implícita la
información de correspondencia entre
la dirección MAC y la dirección IP del
origen. Todos los equipos de la red que
escuchan la solicitud ARP insertan en
sus tablas de caché ARP la
correspondiente entrada asociando la
dirección MAC y la dirección IP del
origen. Es muy probable que las otras máquinas se
comuniquen en un futuro con la primera, no
necesitarán hacer la solicitud de su dirección MAC y se
reducirá así el tráfico en la red aumentando su
rendimiento.
 Protocolo ARP
Como funciona el protocolo ARP

Finalmente, la respuesta ARP con la

dirección MAC solicitada llega a la
máquina emisora. La dirección física

obtenida se utilizará para realizar

el envío de datos. En la caché ARP se
añade esa nueva entrada dinámica con
la asociación entre dirección IP y MAC
destino para su uso en futuros envíos.
 Protocolo ARP
Como funciona el protocolo ARP

Si el destino no está conectado a la misma

red, sería necesario atravesar uno o más
routers hasta llegar al equipo destino. El
equipo origen enviará el paquete a su
puerta de enlace; para ello, debe conocer
su dirección física. Si no la tiene en su tabla
ARP, formulará una petición ARP solicitando
la dirección física del router que actúa
como puerta de enlace. Cuando disponga
de la dirección MAC de la puerta de enlace,
le transferirá el mensaje.
 Protocolo ARP
Comando en Windows para consultar la tabla ARP
 Man In The Middle - MITM

Man In The Middle, es un vector de ataque muy utilizado, para lograr que la información
correspondiente a una victima circule a través de la maquina atacante . Es decir, permite
colocar a un atacante en medio de una comunicación.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

Nombre Host Dirección IP Identificador MAC

A 192.168.0.1 AA:AA:AA:AA:AA:AA
B 192.168.0.1 BB:BB:BB:BB:BB:BB
C (Atacante) 192.168.0.1 CC:CC:CC:CC:CC:CC
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

El PC A se comunica con el PC B. El PC C es el atacante que quiere interceptar la

comunicación entre A y B. El objetivo de C será engañar a los ordenadores víctima en
dirigir el tráfico hacia él mismo.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

Para evitar tener que solicitar continuamente el identificador MAC del ordenador con el
cual se quiere comunicar, el sistema operativo guarda la dirección física junto a la
dirección IP con la que se relaciona en un cache.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

Cada vez que el sistema operativo recibe un paquete Arp-Reply, guarda la

dirección física en su caché, de esta manera simplemente hace referencia a estas tablas
a la hora de crear una trama TCP/IP y rellenar el identificador MAC destinatario.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

La vulnerabilidad reside en el hecho de que el sistema operativo acepta los Arp-Reply

aun cuando nunca antes solicitó el identificador MAC mediante un Arp-Request.

 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

En el escenario descrito anteriormente, el ordenador C manda un Arp-Reply creado por

él mismo que relaciona su propia dirección física con la dirección IP de los otros
ordenadores en la red.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

El ordenador atacante envía

paquetes Arp-Reply maliciosos

Es decir, el ordenador A ahora contiene en su tabla ARP el identificador MAC

CC:CC:CC:CC:CC:CC relacionada a la dirección IP 192.168.0.2 y B contiene el identificador
CC:CC:CC:CC:CC:CC relacionada a la dirección IP 192.168.0.1.
 Man In The Middle - MITM
Considere el siguiente escenario donde hay tres equipos en una misma red.

El ordenador
atacante C
ahora recibe los
paquetes de los
ordenadores
víctima

Ahora cuando A envíe un paquete a B, lo hace con la dirección MAC que contiene

el cache. El resultado es que cuando el paquete llegue al switch, éste relaciona el

identificador MAC con el puerto del ordenador C y lo dirige de acuerdo a esto. C redirige
el paquete a B para no interrumpir la comunicación y lo mismo sucede a la inversa.
 ARP Spoofing

Para llevar a cabo esta

técnica el atacante y la
victima deben estar en la
misma red y utilizar el
protocolo IPv4 para
intercambio de datos. El
ataque se basa en el
protocolo ARP.

Man In The Middled mediante la técnica de ARP Spoofing, es un ataque en el que el

atacante crea la posibilidad de consultar, insertar o modificar información que hay en un
canal entre dos maquinas sin que ninguna de ellas se entere de tal situación.
 Proof Of Concept: arpspoof

Kali Linux

En esta prueba de concepto se realizará un ataque ARP Spoofing básico, mediante el

uso de la herramienta arpspoof de Kali Linux.

 Proof Of Concept: arpspoof
Paso 1: Identificación direcciones IP

Aquí se identifica la
dirección IP de las victimas,
este caso, de la puerta de
enlace y la victima de quien
se desea conocer lo que
trasmite.

Conociendo la puerta de enlace en Windows

Conociendo la puerta de enlace en Kali Linux

 Proof Of Concept: arpspoof
Paso 1: Identificación direcciones IP

Para identificar la dirección

IP de la victima de quien
se desea conocer lo que
trasmite, puede usar varias
herramientas.
 Proof Of Concept: arpspoof
Paso 2: Redireccionamiento del trafico

Antes de empezar se debe habilitar el forwarding, para permitir que el trafico desde y
hacia internet fluya sin ningún problema. Para ello ejecute el siguiente comando:

# echo 1 > /proc/sys/net/ipv4/ip_forward

Terminal 1
 Proof Of Concept: arpspoof
Paso 2: Envenenamiento tabla ARP

Ahora es necesario envenenar las tablas ARP tanto de la victima como la del router, en
donde se indica que la dirección física ha cambiado. Para ello se ejecuta el siguiente
comando desde la maquina atacante (Kali Linux):

# arpspoof –i <interfaz red> -t <Dirección IP victima> <Dirección IP routers>

Terminal 2

# arpspoof –i <interfaz red> -t <Dirección IP routers> <Dirección IP victima>

Terminal 3
 Proof Of Concept: arpspoof
Paso 2: Envenenamiento tabla ARP
 Proof Of Concept: arpspoof
Paso 4: Capturando trafico
 Proof Of Concept: arpspoof
Paso 4: Capturando trafico
 Proof Of Concept: arpspoof
Paso 4: Capturando trafico
 Proof Of Concept: arpspoof
Paso 4: Capturando trafico
Referencias

González, P., Sánchez, G., & Soriano, J. M. (2015). Pentesting con Kali 2.0. Móstoles, Madrid:
0xWORD.

Gómez López, J. (2010). GUIA DE CAMPO HACKERS: APRENDE A ATACAR Y A DEFENDERTE

(Primera edición ed.). México: Alfaomega Grupo Editor.

PICOUTO, Fernando; LORENTE, Iñaki; GARCÍA-MORAN, Jean; RAMOS, Antonio. Hacking y

Seguridad En Internet. México. Alfaomega, 2009. 552 p.

https://sites.google.com/site/redeslocalesyglobales/6-arquitecturas-de-redes/6-arquitectura-
tcp-ip/9-protocolos-tcp-ip/protocolos-de-nivel-de-red/protocolo-arp