Tutto quello che ho letto quando viene rilevato un uomo nell'attacco centrale è che la tabella della cache ARP avrà voci duplicate per l'indirizzo MAC dell'attaccante, ma non riesco a trovare il motivo per cui.
Il modo in cui penso sia (perché uno è falso e l'altra la normale risposta ARP) mi porta a pensare: supponendo che io sia l'attaccante, non sarebbe così facile come non inviare la vera risposta ARP, ma solo quello falso?
Diciamo che abbiamo una rete con Bob, Alice e il router. Sei un attaccante, chiamato Eva.
Ora, desideri eseguire un MITM tra Bob e il router. Ora ci sono più opzioni:
La tabella ARP della vittima (Bob's) avrà un aspetto diverso in ciascuno dei seguenti scenari:
Scenario 1
Scenario 2
Scenario 3
Scenario 4
Quello che potresti descrivere è Avvelenamento ARP (o spoofing), in cui l'attaccante "avvelena" le cache ARP degli host nella sottorete inviando un sacco e un sacco di pacchetti ARP contenenti l'attaccante l'indirizzo di livello 2 (MAC) e il livello 3 della vittima (indirizzo IP), in modo che inviino i loro dati al MAC dell'aggressore quando viene assemblata la cornice ethernet invece del MAC della vittima.
Immagino che se dovessi eseguire la scansione delle tabelle ARP delle macchine interessate, troverai due voci per lo stesso indirizzo MAC, una per il vero indirizzo IP dell'attacker e una per l'indirizzo IP della vittima, sia per stesso MAC (The attackers.)
Leggi altre domande sui tag man-in-the-middle arp-spoofing