Funktionsweise von Sniffen an Switches

Dieser Artikel hier beschreibt das Mitlesen von Daten an Switches kurz und gut. Allerdings sind meine ARP-Kenntnisse nicht die besten -- einen Satz zweifle ich an, kann da jemand erklärend eingreiffen?

The attacker's system sends out a forged ARP packet to the target system, telling it that its default gateway has changed to the attacker's system.

Zum Vergrößern anklicken....

War das bei ARP wirklich so, dass jeder jedem erzählen kann "du, default gateway ist jetzt das hier" ?

Gruß und Dank

- Praetorian

Hallo,

um ein IP-Paket an eine System senden zu können, musst Du dessen MAC-Adressen kennen. Die wird üblicherweise über ARP vom Sender aus ermittelt. Schickt ein Angreifer nun eine Antwort, die die falsche MAC-Adresse enthält, so werden alle Pakete an diese Adresse geschickt (und von dort aus an das eigentliche Zielsystem).

Nic

Hmm ok vielleicht sollte ich konkreter werden. Ich habe einen DSL-Router (Router 1) mit eingebautem Switch. DSL führt ins Internet, ist ja klar. Am Switch hängen ein Rechner der u.U. von einem Angreifer übernommen werden könnte (böser Rechner) und ein Router (Router 2) für mein lokales Netz, Router 2 nimmt Router 1 als Gateway. So, kann der böse Rechner dem Router 2 jetzt erzählen: "Du, die IP von Router 1 die du suchst ist über meine MAC-Adresse zu erreichen."? Ok, wahrscheinlich schon, danke für den Hinweis. Eigentlich müsste Router 2 das aber von Router 1 UND vom bösen Rechner gesagt kriegen, oder? Macht für mich einen Unterschied, weil sich sowas entdecken lässt...und mit einem statischen ARP-Talble Eintrag verhindern!

Original geschrieben von Praetorian
[...] Eigentlich müsste Router 2 das aber von Router 1 UND vom bösen Rechner gesagt kriegen, oder? Macht für mich einen Unterschied, weil sich sowas entdecken lässt...und mit einem statischen ARP-Talble Eintrag verhindern!

Zum Vergrößern anklicken....

Jup, völlig korrekt. Der böse Rechner und der Router antworten beide auf die ARP-Anfrage. Das sollte einen anständig konfigurierten PC/Router schon misstrauisch machen (Stickwort: arpwatch).

Mit einer statischen ARP-Tabelle und mit deaktiviertem ARP-Protokoll, bist du auf der sicheren Seite.

Alles klar, danke!