Ho iniziato a conoscere gli attacchi MITM e non riesco a capire alcune cose

Lo sniffing passivo non è un attacco MiTM. A seconda della configurazione della rete, lo sniffing potrebbe essere in grado di visualizzare tutte le comunicazioni, ma non può cambiarne nessuna. Un MiTM è quando un utente malintenzionato controlla uno dei nodi direttamente nel percorso di connessione tra il client e il server. Come mostrato in questo diagramma da Wikimedia , pensi di stare parlando al server, direttamente o tramite una serie di nodi fidati, ma stai davvero parlando attraverso un intermediario malvagio.

Cisonomoltimodiperfarsìcheuncomputerusiilpercorsosbagliatoattraversolamacchinadell'attaccante.Lospoofingdivarieimpostazionidirete(adesempio:spoofingARPo attacco gemello malvagio ) è una strategia comune. Un altro potrebbe essere infiltrarsi nella macchina di un fornitore di rete.

Il modo in cui l'attaccante raggiunge lo status MiTM è altamente situazionale. Non è che tu possa andare su MiTM.com per attaccare qualsiasi computer al mondo. Hai bisogno di un punto d'appoggio che ottieni sfruttando una vulnerabilità o altri punti deboli della sicurezza (es .: il gemello malvagio fa affidamento su punti di accesso non sicuri).

Per quanto riguarda il motivo per cui le cache ARP sono soggette ad avvelenamento, è una combinazione della necessità di essere dinamici e performanti in una rete di grandi dimensioni e un design di sicurezza debole. Detto questo, l'avvelenamento da ARP non è banale da eseguire. I SO sono dotati di difese , ma a volte possono essere aggirati.

If the attacker is already in my LAN why does he need to try to arp spoof or dhcp spoof, can he just sniff all the traffic on the network, or is it true only if there's a hub involved? if it isn't is it only in order to deal with the encryption?

L'attaccante sarà in grado di fiutare il traffico WiFi utilizzando la modalità monitor, senza avvelenamento o hub ARP richiesti. A seconda dell'architettura di rete, l'intercettazione del traffico sul filo può essere più impegnativa. Se viene utilizzato un hub, l'attaccante può mettere la propria scheda di rete in modalità promiscua e sniffare il traffico (Wireshark ha una funzione per farlo). Se viene utilizzato un interruttore, il traffico può essere rilevato con altre tecniche come ARP spoofing o Inondazione MAC , che fa sì che un interruttore si comporti come un hub.

why does the arp chart is able to change so quickly without any confirmation is there some kind of protection we can do?

Esistono tecniche per mitigare lo spoofing ARP come ad esempio:

• voci ARP statiche che rendono le voci nella cache ARP di sola lettura
• software di rilevamento e prevenzione come XArp
• modifica del modo in cui i sistemi operativi reagiscono al traffico ARP
• filtraggio e ispezione dei pacchetti

I'm not expecting a full technical explaination of this but how does the attacker even gets into the network and gets to be part of the subnetwork? is that mean that he needs to hack into the router and make himself part of the lan? and does it means that he is part of 2 lans? one his and one the victims one?

Alcune idee per entrare nella tua stessa rete:

• l'autore dell'attacco potrebbe semplicemente connettersi al WiFi pubblico
• crea un evil twin del tuo punto di accesso per provare a ottenere la passphrase WiFi
• se WPS è abilitato, brute-force il PIN WPS
• crack un handshake a 4 vie catturato

If the attacker is already in my LAN why does he need to trp to arp spoof or dhcp spoof, can he just sniff all the traffic on the network, or is it true only if there's a hub involved? if it isn't is it only in order to deal with the encryption?

L'utente malintenzionato può vedere solo il traffico che arriva al nodo di rete che ha compromesso, perché uno switch limita il traffico solo a quel nodo. Se desidera intercettare i dati tra altri sistemi, dovrà attaccare lo switch o compromettere un altro sistema sulla rete che si trova sul segmento LAN in cui si trovano i sistemi di destinazione.

I'm not expecting a full technical explaination of this but how does the attacker even gets into the network and gets to be part of the subnetwork? is that mean that he needs to hack into the router and make himself part of the lan? and does it means that he is part of 2 lans? one his and one the victims one?

Tipicamente, l'hacker entra nella rete delle vittime sfruttando una vulnerabilità su una macchina (ingannare una persona delle risorse umane per aprire un documento dannoso etichettato "my-resume.pdf" è abbastanza comune) e quindi usa quel computer compromesso come punto d'appoggio per ulteriori esplorazioni e attacchi. Da lì, l'attaccante "fa perno" su altri sistemi della rete fino a quando raggiunge la sua destinazione.

Un utente malintenzionato potrebbe intercettare il traffico su una rete cablata solo se la rete è connessa a un hub, tuttavia la maggior parte delle reti utilizza gli switch, quindi è necessario ingannare l'infrastruttura di rete per far passare il traffico attraverso di voi. Quindi lo spoofing ARP.