Per prima cosa, chiariamo cosa si intende per una voce arp statica. Il protocollo di risoluzione degli indirizzi viene utilizzato per mappare l'indirizzo di livello 2 all'indirizzo di livello 3, in genere Ethernet e IP. Una voce arp statico significa che ci si aspetta sempre che un indirizzo IP specifico sia a un determinato indirizzo hardware. Con un'implementazione predefinita di Windows o Linux, utilizzerai uno stack TCP / IP e non potrai semplicemente fare comunicazioni dirette con solo gli indirizzi di livello 2.
Lo switch è un dispositivo relativamente stupido, determina dove inviare il traffico, ma quale traffico riceve. Senza informazioni sulla destinazione, lo switch invierà qualsiasi dato input su tutte le altre porte. Una volta che un messaggio viene inviato attraverso l'input, lo switch aggiornerà la sua tabella CAM e dirà "chiunque desideri inviare a quell'indirizzo che invierò quella porta", cioè, la sorgente per un ingresso può essere usata come destinazione per le uscite successive.
Con questa conoscenza, ora possiamo considerare l'exploit. La prima possibilità è quella di interrompere la funzionalità che decide di inviare l'uscita solo a una porta e inviarla a tutte le porte sullo switch. Potresti essere in grado di sovraccaricare lo switch in modo che continui a riempire la tabella CAM con il risultato che le voci con Alice e la posizione di Bob andranno perse. Potresti anche essere in grado di compromettere lo switch stesso attraverso una vulnerabilità o una configurazione errata. A seconda del modello, è possibile installare le utilità di sniffing sullo switch stesso, oppure è possibile trasformare la porta in una porta span / mirror e quindi monitorare il traffico o reindirizzare il traffico.
Per un attacco di overflow, leggi ulteriori informazioni su dsniff / macof.
A meno che non si utilizzino alcuni meccanismi sullo switch o qualche tipo di 802.1x che corregge l'indirizzo MAC su una determinata porta, si dovrebbe essere in grado di sovrascrivere le voci nella tabella CAM. Normalmente lo switch non suppone che un componente hardware sia sempre collegato a una particolare porta fisica. Quindi Eve può semplicemente mentire e dire all'interruttore di avere l'indirizzo MAC di Bob o di Alice. Quindi lo switch aggiornerà la tabella CAM e indirizzerà il traffico verso di me. Questo potrebbe non essere sempre efficace se c'è poco altro traffico per aggiornare la tabella ARP. Se comunichi al commutatore che sei Bob, non sarai chiaramente in grado di inviare traffico a Bob, perché lo switch pensa che la tua porta sia anche la porta di Bob a meno che Bob non invii traffico per aggiornare la tabella CAM. In ARP il poisioning è un attacco all'host, ma puoi anche attaccare nel punto dello switch.
Follow Up